Ivanti는 새롭게 악용된 Ivanti Connect Secure 제로데이의 결함 일부를 공격자들이 이를 사용하기 몇 달 전에 발견했지만, 해당 문제가 대역 외(out-of-band) 배포 기준에 부합하지 않는다고 판단했다고 밝혔습니다. CyberScoop의 보도에 따르면, 이 회사는 6월 내부 보안 점검 중 결함의 일부를 발견했습니다. 수정이 시급해질 무렵에는 이미 공격자들이 해당 버그를 실제 환경에서 악용하고 있었습니다.

이러한 순서가 이 사안을 주목할 만하게 만듭니다. 이것은 예상치 못한 취약점에 관한 이야기라기보다, 결과적으로 좋지 않게 된 판단에 관한 이야기입니다.

Ivanti가 6월에 발견한 것과 기다린 이유

CyberScoop이 요약한 Ivanti의 설명은 범위는 좁지만 중요합니다. 이 회사의 자체 내부 점검에서 6월에 결함의 일부가 발견되었습니다. Ivanti는 이를 대역 외 배포, 즉 정기 업데이트 주기 외에 배포되는 패치에 대한 기준에 비추어 평가했고, 그 기준에 미치지 못한다고 결론 내렸습니다.

실제로 벤더들은 발견 사항을 심각도, 악용 가능성, 악용 정황을 기준으로 분류합니다. 그 자체로는 접근하기 어렵거나 영향이 낮아 보이는 버그는 종종 다음 정기 업데이트까지 기다리게 됩니다. 문제는 이 회사가 결함의 일부만 보았다고 말한다는 점입니다. 결함에 대한 부분적인 시야는 누군가 나머지를 찾아낸 뒤에는 그것이 얼마나 위험한지 과소평가하게 만들 수 있습니다.

여기에 제공된 원자료는 버그의 전체 기술적 성격을 자세히 설명하지 않으므로, 무엇이 알려졌고 알려지지 않았는지에 대해 신중할 필요가 있습니다. 보도된 내용은 발견 시점, 내부 평가, 그리고 수정을 서두르지 않기로 한 결정입니다.

어떻게 이 결함이 악용된 제로데이가 되었는가

취약점은 패치가 존재하기 전에 공격자들이 이를 악용할 때 제로데이가 됩니다. 이것이 Connect Secure에 대해 보도된 상황입니다. 수정이 배포되지 않았기 때문에, 실제 악용이 시작되었을 때 방어자들에게는 공식적인 해결책이 없었습니다.

Connect Secure는 널리 배포된 VPN 게이트웨이이며, 이는 중요합니다. 이런 게이트웨이는 네트워크 경계에 위치하고, 설계상 인터넷에 노출되며, 외부 사용자와 내부 시스템 사이에서 종종 특권적 위치를 차지합니다. 그중 하나의 약점은 공격자에게 매력적인데, 단 하나의 침해된 장치가 직원의 노트북이나 받은편지함을 건드리지 않고도 들어갈 수 있는 방법을 제공할 수 있기 때문입니다.

이 부류의 장치를 누가 노리는지 기억하는 것도 도움이 됩니다. 법무부와 FBI가 Flax Typhoon 도구 Microscan과 FishHub를 압수한 방법에 대한 우리의 보도는 국가 연계 그룹들이 인터넷에 노출된 인프라를 겨냥한 도구에 막대한 투자를 한다는 것을 보여줍니다. Ivanti에 대한 보도는 이 악용을 특정 행위자에게 귀속시키지 않으므로, 이를 결론이 아닌 맥락으로 다루십시오.

Connect Secure 관리자가 지금 확인해야 할 사항

귀하의 조직이 Connect Secure를 운영한다면, 다음 단계가 합리적인 출발점입니다:

  • 버전을 확인하십시오. 잊기 쉬운 테스트 및 페일오버 장치를 포함하여 모든 게이트웨이의 정확한 소프트웨어 빌드를 확인하십시오.
  • 현재 Ivanti 권고를 읽으십시오. 이 결함과 관련된 패치 또는 임시 완화책을 찾아, 변경 프로세스가 허용하는 즉시 적용하십시오.
  • 내장 무결성 도구를 사용하십시오. Ivanti가 어플라이언스용 무결성 검사기를 제공한다면 실행하고, 나중에 비교할 수 있도록 출력을 보관하십시오.
  • 비정상적인 활동이 있는지 로그를 검토하십시오. 예상치 못한 관리자 세션, 새 계정, 이상한 아웃바운드 연결, 또는 본인이 하지 않은 구성 변경을 찾으십시오.
  • 침해 가능성이 있는 곳의 자격 증명을 교체하십시오. 악용 징후를 발견하면 게이트웨이에 저장되거나 게이트웨이가 사용하는 비밀번호와 비밀 값을 재설정하십시오. 자격 증명 노출은 별개의 흔한 문제입니다. 정보 탈취 악성코드에 노출된 상수도 시설에 대한 SpyCloud의 발견은 도난당한 로그인이 엣지 장치 위험을 어떻게 가중시킬 수 있는지 상기시켜 줍니다.
  • 노출을 제한하십시오. 관리 인터페이스가 개방형 인터넷에서 접근되지 않도록 제한하십시오.

즉시 패치할 수 없다면, 벤더가 게시한 완화 지침을 따르고 패치할 수 있을 때까지 장치를 더 면밀히 모니터링하십시오.

벤더 패치 정책이 VPN 신뢰에 의미하는 것

6월의 발견은 벤더가 긴급 수정의 기준을 어떻게 설정하는지에 대한 정당한 의문을 제기합니다. 대역 외 패치는 고객에게 혼란을 주므로, 벤더는 모든 발견 사항에 대해 이를 발행하고 싶어 하지 않습니다. 그러나 기다림의 대가는 제품이 경계에 위치한 보안 게이트웨이일 때 한쪽으로 치우칩니다.

그 절충의 어느 쪽도 표면상으로는 불합리하지 않습니다. 교훈은 벤더의 내부 심각도 평가가 현실 세계의 위험과 같지 않다는 것입니다. 공격자들은 결함이 배포 기준 이하로 분류되었는지 신경 쓰지 않고, 그것이 작동하는지 신경 씁니다.

고객 입장에서 이는 벤더에게 직접 질문할 것을 요구합니다: 무엇이 대역 외 수정을 정당화하는지 어떻게 결정하는가? 내부적으로 발견된 문제에 대해 고객에게 얼마나 빨리 알리는가? 부분적으로 이해된 버그가 나중에 악용 가능한 것으로 밝혀지면 어떻게 되는가? 그러한 질문에 대한 답변이 마케팅 페이지보다 신뢰에 대해 더 많은 것을 말해줍니다.

이것이 귀하에게 의미하는 바

Connect Secure에 의존하는 고용주나 학교의 VPN을 사용하는 개인이라면, 게이트웨이를 직접 패치할 수는 없지만 행동할 수는 있습니다. IT 팀에 어플라이언스가 업데이트되었는지 물어보고, 이와 관련된 모든 계정에 강력하고 고유한 비밀번호와 다중 인증을 사용하십시오. 비밀번호를 변경하라는 지시를 받으면 즉시 하십시오.

게이트웨이를 운영한다면, 이를 하나의 제품만이 아니라 전체 엣지 인벤토리를 검토하라는 계기로 삼으십시오. 인터넷에 노출된 모든 장치는 버전, 노출, 로깅에 대해 동일한 주의를 기울일 가치가 있습니다.

핵심 요점

Ivanti Connect Secure 제로데이는 발견과 수정 사이의 창이 결함 자체만큼이나 중요하다는 것을 상기시켜 줍니다. Ivanti는 6월에 결함의 일부를 발견하고 대역 외 기준 이하로 판단했다고 밝혔으며, 그 후 공격자들이 먼저 도달했습니다.

Ivanti 게이트웨이를 운영하거나 이에 의존한다면, 오늘 버전을 확인하고, 최신 패치와 완화책을 적용하며, 상황이 전개됨에 따라 Ivanti의 보안 권고를 계속 확인하십시오. 엣지 장치를 누가 왜 노리는지에 대한 더 넓은 맥락은 Flax Typhoon 도구 압수에 대한 우리의 보고서를 읽어보십시오.