보안 업체 Rescana의 보고서에 따르면, Ivanti Connect Secure VPN 어플라이언스를 겨냥한 제로데이 익스플로잇 체인이 실제 공격에서 발견되었습니다. 보고된 영향은 심각합니다: 인증되지 않은 공격자가 완전히 패치된 어플라이언스에서도 루트 수준의 원격 코드 실행에 도달하고 자격 증명을 탈취할 수 있습니다. 이 Ivanti Connect Secure 제로데이 익스플로잇은 네트워크 경계에 위치한 VPN 게이트웨이가 공격자가 선택할 수 있는 가장 가치 있는 표적 중 하나라는 점을 상기시켜 줍니다.
원본 보고서는 일부만 입수할 수 있으므로, 이 기사는 확인된 내용에만 집중하고 기술적 세부 사항에 대한 추측은 피합니다. 당사가 제공하는 지침은 벤더가 발행한 지시가 아닌 일반적인 보안 관행입니다.
완전히 패치된 VPN 어플라이언스가 여전히 침해된 이유
"제로데이"라는 단어가 대부분을 설명합니다. 제로데이는 수정이 존재하기 전에 공격자가 악용하는 결함이므로, 사용 가능한 모든 업데이트를 설치해도 이로부터 보호되지 않습니다. 완전히 패치된 어플라이언스는 이미 알려지고 수정된 문제에 대해서만 보호됩니다.
보고서는 익스플로잇 체인, 즉 여러 취약점이 연결된 것을 설명합니다. 체인은 심각한 공격에서 흔한데, 하나의 버그만으로는 완전한 제어를 얻기 어렵기 때문입니다. 결합된 일련의 작은 결함들은 공격자를 전혀 접근 권한이 없는 상태에서 로그인 없이 장치의 완전한 제어로 이끌 수 있습니다.
시기적 배경으로, vpn.social은 이미 Ivanti가 결함의 일부를 사전에 인지한 사실을 보도한 바 있습니다. 해당 보도에서 Ivanti는 공격자가 악용하기 수개월 전에 결함의 일부를 발견했지만, 대역 외 릴리스 기준에 미치지 못한다고 판단했다고 밝혔습니다. 이 역사는 벤더가 문제를 인지하고 고객이 수정을 받기까지의 격차가 얼마나 길 수 있는지를 보여주기에 중요합니다.
루트 접근과 자격 증명 탈취가 사용자에게 의미하는 것
루트는 Linux 기반 시스템에서 최고 권한 수준입니다. VPN 어플라이언스에서 루트를 가진 공격자는 일반 사용자가 할 수 있는 것으로 제한되지 않습니다. 잠재적으로 장치가 처리하는 모든 것을 읽거나 변경하고, 구성을 변경하며, 자체 코드를 실행할 수 있습니다.
자격 증명 탈취는 일반 사용자에게 가장 큰 영향을 미치는 부분입니다. VPN 어플라이언스는 직원, 계약자, 파트너의 로그인을 처리합니다. 공격자가 해당 자격 증명을 탈취할 수 있다면 피해는 어플라이언스를 훨씬 넘어 확산될 수 있습니다:
- 탈취된 사용자 이름과 비밀번호는 내부 시스템, 이메일, 클라우드 서비스에 접근하는 데 재사용될 수 있습니다.
- 침해된 계정은 정당한 원격 근무자처럼 보일 수 있어 악성 활동을 발견하기 어렵게 만듭니다.
- 공격자는 어플라이언스 자체가 정리된 후에도 탈취된 자격 증명을 통해 접근을 유지할 수 있습니다.
Connect Secure를 통해 직장에 연결한다면, 실질적 위험은 귀하가 잘못한 것이 없는데도 로그인 정보가 노출될 수 있다는 것입니다.
Connect Secure 어플라이언스가 노출되었는지 확인하는 방법
Ivanti Connect Secure를 운영한다면, 반대 증거가 있을 때까지 잠재적 표적으로 가정하십시오. 몇 가지 합리적인 점검 사항:
- 노출 여부를 확인하십시오. 어플라이언스가 인터넷에서 접근 가능한지, 그리고 관리 인터페이스에 누가 접근할 수 있는지 파악하십시오. 공개될 필요가 없는 것은 공개되어서는 안 됩니다.
- Ivanti의 권고를 주시하십시오. 벤더는 공식 수정, 완화 조치, 탐지 지침의 권위 있는 출처이며, 조사가 계속됨에 따라 이러한 세부 사항은 변경될 수 있습니다.
- 벤더의 무결성 도구를 사용하십시오. Ivanti가 해당 제품에 무결성 검사기 또는 유사한 도구를 제공한다면 실행하십시오. 루트 수준의 공격자가 장치가 자체적으로 보고하는 내용을 변조할 수 있으므로 깨끗한 결과를 어느 정도 주의하여 다루십시오.
- 로그를 검토하십시오. 비정상적인 로그인, 예상치 못한 관리 변경, 이상한 아웃바운드 연결, 이상한 시간대나 낯선 위치에서의 인증 활동을 찾으십시오.
- 보안 팀이나 제공업체에 문의하십시오. 귀하가 관리자가 아니라면, 어플라이언스가 점검되었는지 직접 물어보십시오.
완화 조치: 자격 증명 교체, 모니터링, 다층 방어
패치가 제로데이 문제를 완전히 해결할 수 없으므로, 방어는 계층화되어야 합니다.
- 자격 증명을 교체하십시오. 침해 가능성이 있다면 VPN 사용자, 서비스 계정, 어플라이언스에 저장되거나 이를 통과하는 모든 비밀의 비밀번호를 변경하십시오. 장치를 확보한 후에 하십시오. 그렇지 않으면 새 자격 증명도 탈취될 수 있습니다.
- 다중 인증을 시행하십시오. 탈취된 비밀번호만으로 할 수 있는 것을 제한하지만, 공격자가 게이트웨이 자체를 제어한다면 완전한 해답은 아닙니다.
- 네트워크를 분할하십시오. VPN 사용자는 필요한 시스템에만 접근해야 하므로, 침해된 계정이나 장치가 자유롭게 이동할 수 없습니다.
- 지속적으로 모니터링하십시오. 어플라이언스 로그를 어플라이언스가 변경할 수 없는 별도 시스템으로 전송하고, 이상 징후에 대해 경보를 설정하십시오.
- 재구축을 계획하십시오. 침해 징후를 발견하면, 단순한 정리로 충분하다고 가정하지 말고 장치 재구축에 관한 벤더 지침을 따르십시오.
이것이 귀하에게 의미하는 것
관리자라면, 교훈은 패치 상태가 안전과 같지 않다는 것입니다. 엣지 장치에는 모니터링, 제한된 노출, 사고 대응 계획이 필요하며, 단순한 업데이트만으로는 부족합니다. Connect Secure를 운영하는 조직의 VPN 사용자라면, 어플라이언스를 제어하지는 못하지만 비밀번호를 변경하고, 제공되는 경우 다중 인증을 활성화하며, 예상치 못한 로그인 프롬프트나 보안 경보와 같은 이상한 점을 보고할 수 있습니다.
다음 단계
오늘 Ivanti Connect Secure 제로데이 익스플로잇 노출을 검토하십시오: 누가 어플라이언스에 접근할 수 있는지 확인하고, 최신 Ivanti 지침을 읽으며, 침해 징후가 있으면 자격 증명을 교체하십시오. 공개 및 패치 일정이 어떻게 전개되었는지에 대한 배경은 Ivanti가 6월에 결함을 발견하고 수정을 발행하지 않은 이전 보고서를 읽어보십시오. 이 익스플로잇 체인의 세부 사항은 더 많은 정보가 나옴에 따라 변경될 수 있으므로, 공식 출처를 계속 확인하십시오.
