네트워크 장치 모니터링이 네트워크 보안에 중요한 이유

안전한 네트워크 인프라는 조직에 매우 중요하며, 이를 위해서는 라우터, 스위치 및 기타 네트워크 장치에서 무슨 일이 일어나고 있는지 면밀히 파악해야 합니다. 구성에 대한 무단 변경, 수상한 로그온 시도, 스캐닝 위협 같은 외곽(페리미터) 보안 위협을 신속하게 탐지하고 조사할 수 있어야 합니다. 예를 들어, 네트워크 장치의 설정에서 부적절한 변경을 적시에 감지하지 못하면 공격자가 네트워크에 침입해 심지어 네트워크를 장악할 수 있는 상태가 됩니다.

이번 블로그 게시물에서는 네트워크 장치 감사를 통해 해결할 수 있는 상위 4가지 문제를 공유하고, 네트워크 장치를 효과적으로 감사하기 시작하기 위한 3단계 절차를 제공합니다.

네트워크 장치에서 중요한 보안 이슈 4가지

사례 #1: 잘못 구성된 장치

부적절한 구성 변경은 네트워크 장치와 관련된 핵심 위협 중 하나입니다. 단 한 번의 부적절한 변경만으로도 방화벽 보안이 약화되고 규제 감사에서 문제가 제기될 수 있으며, 심지어 막대한 비용이 드는 장애로 이어져 비즈니스가 마비될 수도 있습니다. 예를 들어, 잘못 구성된 방화벽은 공격자에게 네트워크에 쉽게 접근할 수 있는 통로를 제공해, 조직에 장기적인 피해를 초래할 수 있습니다.

네트워크 장치에 대한 감사(auditing)와 알림(alerting) 기능을 함께 적용하면 필요한 통찰과 제어력을 얻을 수 있습니다. 감사는 부적절한 설정 변경을 신속하게 파악하고 누가 무엇을 변경했는지 이해할 수 있게 해주므로, 사용자 책임성을 높이고 실제 문제로 번지기 전에 잠재적인 보안 사고를 탐지하는 데 도움이 됩니다.

이슈 #2: 무단 로그인

네트워크 장치에 로그인하려는 대부분의 시도는 네트워크 관리자가 수행하는 정상적인 작업이지만, 일부는 그렇지 않습니다. 의심스러운 로그인 시도를 즉시 감지하지 못하면 공격자가 네트워크에 침투하려는 시도를 하는 동안 조직이 취약해질 수 있습니다. 따라서 IT 담당자가 보안 침해를 예방하기 위해 조치를 취할 수 있도록, 휴일이나 업무 시간 외에 관리자가 장치에 액세스하는 경우, 실패한 로그인 시도, 액세스 권한이 변경되는 경우 등 비정상적인 이벤트에 대해 즉시 알림을 받아야 합니다.

네트워크 장치 모니터링 과 알림(alerting)을 구축해 두는 것 또한 컴플라이언스 감사에 필수적입니다. 이를 통해 특권 사용자와 장치에서의 활동을 면밀히 감시하고 있음을 입증하는 증거를 제시할 수 있습니다(예: 누가 로그인하는지, 얼마나 자주 로그인하는지).

이슈 #3: VPN 로그인

많은 조직이 원격 연결의 보안을 강화하기 위해 가상 사설망(virtual private network, VPN) 액세스를 구현하지만, 반드시 간과해서는 안 되는 여러 관련 위험이 존재합니다. 실제로 VPN은 100% 안전하지 않으며, 어떤 VPN 연결이든 위험이 따릅니다. 이상적으로는 VPN을 통해 네트워크 리소스에 접근할 수 있는 권한을 적절한 승인 후에만 부여하고, 사용자는 업무를 수행하는 데 필요한 자산만 이용할 수 있어야 합니다. 그러나 현실에서는 일반적으로 조직 내 누구나 별도의 승인 없이 VPN 연결을 사용할 수 있습니다.

따라서 공용 Wi‑Fi를 통해 접속하는 사용자(누군가가 그 사용자의 인증 정보를 탈취할 수 있기 때문)나, 평소에는 VPN을 사용하지 않던 사용자가 갑자기 VPN을 사용하기 시작하는 경우(사용자가 기기를 분실했으며 다른 누군가가 해당 기기를 이용해 로그인하려고 시도하고 있을 수 있다는 신호일 수 있음)처럼 위협을 포착할 수 있어야 합니다. 네트워크 장치를 면밀히 모니터링하고 각 VPN 로그온 시도(시도 횟수)를 추적하면, 누가 네트워크 장치에 접근을 시도했는지, 각 인증 시도가 이루어진 IP 주소가 무엇인지, 그리고 각 실패한 VPN 로그온의 원인이 무엇인지도 빠르게 파악하는 데 도움이 됩니다.

이슈 #4: 스캐닝 위협

네트워크 스캐닝은 본질적으로 적대적인(호스틸한) 과정은 아니지만, 해커들은 종종 네트워크의 구조와 동작을 파악해 공격을 실행하기 위해 이를 사용합니다. 스캐닝 위협에 대해 네트워크 장치를 모니터링하지 않으면, 데이터 침해가 발생하고 민감한 데이터가 유출될 때까지 부적절한 활동을 놓칠 수 있습니다.

네트워크 장치 모니터링과 알림 기능은, 어떤 호스트와 서브넷이 스캔되었는지, 스캔이 시작된 IP 주소가 무엇인지, 그리고 스캔 시도가 몇 번이나 이루어졌는지를 확인함으로써 스캐닝 위협에 선제적으로 대응해 네트워크를 방어하는 데 도움이 됩니다.

사례 연구: D-Link 네트워크 장치의 보안 결함으로 인해 사용자가 공격에 노출됨

경험에 따르면 많은 보안 사고는 네트워크 장치를 대상으로 한 공격에서 시작됩니다. 따라서 이러한 장치에 존재하는 취약점은 조직의 시스템과 데이터에 큰 위험을 의미합니다. 그 한 가지 예로 2016년에 보안 스타트업 기업 Senrio의 연구진이 발견한 D-Link 장치의 중대한 보안 결함 이 있습니다. 연구진은 Wi-Fi 기능이 탑재된 카메라 D-Link DCS-930L에서 스택 오버플로우 문제가 발생했으며, 이로 인해 웹 기반 관리 인터페이스의 관리자 비밀번호를 조용히 변경할 수 있었다고 보고했습니다. 이 취약점은 공격자가 관리자 비밀번호를 덮어쓰고 장치에 악성코드를 설치하는 데 악용될 수 있었습니다. 보고에 대응하여 D-Link는 취약점을 수정하기 위해 DCS-930L에 대한 펌웨어 업데이트를 배포하겠다고 약속했으며, 자사의 다른 모델에 대한 결함의 영향도 테스트를 시작했습니다.

D-Link가 자사 장치에서 심각한 취약점을 스스로 발견하지 못한 것은 이것이 마지막이 아니었습니다. 2018년 폴란드의 시레지아 공과대학교(Silesian University of Technology) 연구진이 보고했습니다 회사의 소규모/홈오피스용 “DWR” 범위에 속한 8종의 D-Link 라우터 모델이 완전한 장악(탈취)에 취약하다는 점을요. 이번에는 D-link가 8대 중 2대만 패치할 예정이며, 나머지는 더 이상 지원하지 않겠다고 밝혔습니다.

네트워크 장치 점검(감사) 시작하기

세 가지 기본 단계만 따르면 올바른 네트워크 인프라 모니터링을 시작하는 데 도움이 됩니다. 이는 조직의 요구 사항에 맞게 조정해야 하는 일반적인 권장 사항이며, 네트워크 장치를 가장 효과적인 방식으로 감사하려면 IT 환경과 비즈니스 프로세스를 잘 파악해야 합니다.

• 정기적으로 위험을 평가하고 침투 테스트를 수행하세요.

공격 표면 영역을 이해하고, 위험에 처하게 만들 수 있는 취약점을 식별해야 합니다. 정기적인 위험 평가는 이 부분에 큰 도움이 되지만, 이상적으로는 해커가 이를 발견하고 악용하기 전에 네트워크 장치의 결함을 파악하기 위해 정기적으로 침투 테스트도 수행해야 합니다.

• 감사해야 할 장치가 무엇인지 결정하세요.

감사해야 하는 네트워크 장치의 확정적인 목록은 없습니다. 이는 비즈니스의 구체적인 상황, 업종, 그리고 네트워크의 규모와 아키텍처에 따라 달라집니다. 저는 조직에서 가장 중요한 자산을 담당하는 장치뿐만 아니라 인터넷에 연결된 모든 장치를 모니터링할 것을 확실히 권장합니다.

• 감사(감사 기록) 수행 빈도를 결정하세요.

가장 흔한 질문 중 하나는 네트워크 장치를 얼마나 자주 감사(감사 기록)해야 하는가입니다. 어떤 준수(컴플라이언스) 표준도 네트워크 장치 감사에 대한 특정한 기간을 정의하고 있지 않으며, 실제로는 사업의 성격과 네트워크 인프라의 복잡성에 따라 달라진다는 점이 관행으로 확인됩니다. 일반적인 가이드라인 하나는 네트워크 장치의 전반적인 상태를 매월 점검하고, 장치 설정 변경과 같은 네트워크 환경에 위협이 될 수 있는 의심스러운 활동에 대해 즉각적인 알림을 받을 수 있도록 하는 것입니다.