중대한 보안 취약점이 막 세상에 드러났고, 공격자들은 이미 이를 실제 환경에서 시험하고 있다. 이는 패치가 완전히 배포되기도 전에 악용 시도가 진행 중인 새로운 제로데이 취약점을 설명하는 최근 보고서의 핵심이다. 전담 보안 운영 센터를 갖춘 대기업에게 이런 사건은 혼란스럽긴 해도 관리 가능한 수준이다. 그러나 중소기업에게는 존폐를 좌우할 수 있는 문제다. 바로 이런 이유로 제로데이 취약점에 대한 중소기업 보호가, 간소한 IT 팀을 운영하는 소규모 조직에게 가장 시급하면서도 가장 논의가 부족한 우선순위 중 하나가 되었다.

제로데이 공격이 소규모 기업에 특히 위험한 이유

제로데이 취약점은 공급업체가 수정 프로그램을 마련하기 전에, 또는 그 수정 프로그램이 널리 적용되기 전에 공개되거나 실제로 악용되는 결함이다. 공격자들은 시스템이 노출되었다는 사실을 알게 되는 순간 빠르게 움직이며, 방어자가 대응하기 전에 인터넷 전체를 자동으로 스캔해 취약한 모든 기기를 찾아내곤 한다. 대기업은 보통 위협 인텔리전스 피드를 24시간 모니터링하고 몇 시간 안에 긴급 완화 조치를 배포할 수 있는 보안 팀을 갖추고 있다. 중소기업은 그런 여유가 거의 없다. IT는 종종 한 명의 제너럴리스트가 담당하거나, 수십 개 고객사를 동시에 처리하는 관리형 서비스 제공업체에 외주로 맡겨진다. 소프트웨어 자체의 기술적 약점이 아니라 이런 모니터링 역량의 격차가, 중소기업에게 제로데이 공개를 실제 침해 사고로 바꾸는 원인이 되는 경우가 많다.

판돈도 다르다. 대기업은 보통 통제된 방식으로 시스템을 패치하는 동안 며칠간의 중단을 감내할 수 있다. 소수의 서버, POS 시스템, 또는 고객 데이터베이스를 운영하는 소규모 기업은 이중화가 갖춰져 있지 않을 수 있다. 제로데이 공격에 이어 랜섬웨어나 데이터 탈취가 발생하면, 한정된 현금 reserves와 전담 사고 대응 인력이 없는 기업에게 복구 비용과 평판 손상은 비례적으로 훨씬 더 심각할 수 있다.

공격자들이 수정 프로그램 배포 전 패치 공백을 악용하는 방식

취약점이 알려진 시점과 조직이 실제로 수정 프로그램을 적용하는 시점 사이의 기간은 흔히 패치 공백이라고 불리며, 실제 피해의 대부분이 이곳에서 발생한다. 공급업체 권고, 보안 연구원의 공개, 또는 유출된 익스플로잇 코드 등 어떤 경로로든 결함이 공개되면, 공격자들은 이를 빠르게 리버스 엔지니어링하고 노출된 시스템을 스캔하기 시작한다. 자동화 도구 덕분에 이는 며칠, 때로는 몇 시간 안에 일어날 수 있다.

중소기업이 이 기간에 뒤처지는 데는 몇 가지 예측 가능한 이유가 있다. 패치가 정해진 일정에 따라 테스트되고 배포되지 않거나, 업무 시간 중에는 중요한 시스템을 오프라인으로 전환할 수 없거나, 새로운 권고를 추적할 책임자가 특별히 없기 때문이다. VPN 게이트웨이와 원격 데스크톱 서비스를 포함한 원격 접속 인프라는 이 기간에 특히 매력적인 표적이다. 침해된 단일 진입점 하나로 공격자가 전체 내부 네트워크에 발판을 확보할 수 있기 때문이다.

실질적 완화: 세분화, VPN 접속 제어, 패치 워크플로

제로데이 악용 위험을 완전히 제거할 방법은 없지만, 중소기업은 몇 가지 구체적인 조치로 노출 기간을 상당히 줄일 수 있다. 네트워크 세분화가 가장 효과적인 방법 중 하나다. 중요 시스템(금융 데이터, 고객 기록, 백업)을 일반 사무 네트워크와 분리하면, 공격자가 한 세그먼트를 침해하더라도 다른 모든 곳으로 자유롭게 이동할 수 없다.

VPN 구성은 특히 주의가 필요하다. 원격 근무의 현관문 역할을 하는 경우가 많기 때문이다. 기업은 모든 VPN 계정에 다중 인증을 적용하고, 사용하지 않거나 구식 프로토콜을 비활성화하고, VPN 접속을 실제로 필요한 사용자와 기기에만 제한하고, 연결 시도를 기록해 비정상 활동이 빠르게 드러나도록 해야 한다. 잘못 구성되었거나 지나치게 허용적인 VPN은 탈취된 자격 증명 하나를 전체 네트워크 접속 권한으로 바꿔버릴 수 있으며, 이는 공격자들이 제로데이를 악용한 뒤 의존하는 바로 그런 종류의 측면 이동이다.

패치 측면에서 중소기업은 단순하더라도 정의된 패치 워크플로를 갖추면 도움이 된다. 공급업체 권고 모니터링을 담당하는 지정된 인력 또는 제공업체, 중요 패치를 정해진 일수 내에 적용하는 규칙, 그리고 패치가 아직 제공되지 않은 상황을 위한 대체 계획(예: 취약한 서비스에 대한 접속을 일시적으로 제한) 등이 그것이다.

다음 제로데이 발생 전 사고 대응 계획 수립

공격이 진행 중일 때 누가 무엇을 하는지 파악하려고 기다리는 것은 큰 비용을 치르는 실수다. 기본적인 사고 대응 계획은 정교할 필요가 없다. 누구에게 가장 먼저 통보할지, 시스템을 어떻게 네트워크에서 격리할지, 깨끗한 백업은 어디에 보관하는지, 데이터가 영향을 받으면 고객이나 규제 기관과의 소통은 누가 담당하는지를 명시하면 된다. 이 계획을 1년에 한 번이라도 간단한 테이블톱 훈련으로 시험해보면, 시간 압박 속에서 실제 사건이 발생할 때 엄청난 차이를 만든다.

이것이 당신에게 의미하는 것

소규모 기업의 IT를 담당하고 있다면, 이런 종류의 공개에서 얻을 교훈은 특정 결함에 대해 공황에 빠지라는 것이 아니다. 중요 취약점이 발표되고 공격이 거의 즉시 뒤따르는 이 패턴이 앞으로도 거듭 반복될 것임을 인식하라는 것이다. 당신의 복원력은 단일 패치보다는 노출을 얼마나 빨리 탐지하고 피해를 얼마나 제한할 수 있는지에 달려 있다. 공격을 당한 뒤가 아니라 지금 원격 접속 설정을 점검하는 것이, 대부분의 소규모 조직이 활용할 수 있는 가장 효과가 큰 단일 행동이다.

핵심 요점

  • 지금 VPN 및 원격 접속 구성을 감사하라: MFA를 적용하고, 역할별로 접속을 제한하고, 사용하지 않는 계정을 제거하라.
  • 단일 침해 시스템이 모든 것을 노출하지 않도록 네트워크를 세분화하라.
  • 공급업체 보안 권고를 추적하고 중요 패치를 신속히 적용할 명확한 책임자를 지정하라.
  • 간단한 사고 대응 계획을 작성하고 필요해지기 전에 시험하라.

제로데이 취약점은 사라지지 않을 것이며, 소규모 기업은 대기업 보안 팀의 자원 없이 계속 이에 맞서야 할 것이다. 기본을 강화하는 것, 특히 원격 접속 보안이 공개와 패치 사이의 위험한 기간 동안 실질적인 승산을 안겨준다.