Zyxel이 GS1900 시리즈 네트워크 스위치의 제로데이 취약점을 패치했으며, 공격자들은 이 취약점을 악용해 전 세계 약 1,000대의 장치를 침해했다. BleepingComputer의 보도에 따르면, 해커들은 이 결함을 이용해 구성 파일과 자격 증명을 탈취했다. 가정, 소규모 사무실, 또는 홈랩에서 이 스위치 중 하나를 운영하고 있다면, Zyxel GS1900 제로데이 취약점은 오늘 펌웨어를 확인해야 할 충분한 이유가 된다.

Zyxel GS1900 스위치에 무슨 일이 있었나

지금까지 확인된 사실은 명확하다. GS1900 시리즈의 이전에 알려지지 않았던 결함이 수정본이 존재하기 전에 악용되고 있었다. 공격자들은 이를 이용해 전 세계 약 1,000대의 장치에 침입하여 민감한 데이터, 구체적으로 구성 파일과 자격 증명을 빼냈다. Zyxel은 이제 패치를 출시했다.

원문 보도는 여기서 완전한 기술적 분석을 제공하지 않으므로, 익스플로잇이 어떻게 작동하는지 또는 누가 배후에 있는지에 대해 추측하지 않겠다. 소유자에게 중요한 것은 간단하다. 이 결함은 실제 공격에 사용되었고, 수정본이 이제 제공되며, 패치되지 않은 장치는 여전히 노출되어 있다.

탈취된 구성 파일과 자격 증명이 그토록 위험한 이유

스위치는 지루한 배관 설비처럼 보일 수 있지만, 네트워크의 중심에 위치한다. 스위치의 구성 파일은 사실상 해당 네트워크의 지도이며, 장치가 어떻게 연결되어 있고 스위치가 어떻게 관리되는지에 대한 세부 정보를 포함할 수 있다.

자격 증명은 문제를 악화시킨다. 탈취된 로그인 정보는 비밀번호를 절대 변경하지 않으면 취약점이 패치된 후에도 공격자가 나중에 다시 돌아올 수 있게 해준다. 자격 증명은 또한 장치와 서비스 전반에 걸쳐 재사용되는 경우가 많아서, 한 스위치에서 탈취된 비밀번호가 다른 장비로 들어가는 통로가 될 수 있다.

이것이 이런 사건 이후 패치만으로는 충분하지 않을 수 있는 이유다. 구멍을 막으면 해당 결함을 통한 새로운 침입은 중단되지만, 이미 탈취된 데이터를 되돌리지는 못한다.

제로데이가 네트워크 하드웨어 소유자에게 의미하는 것

제로데이는 공격자들이 벤더가 패치를 제공하기 전에 악용하는 취약점이다. 방어자들은 사전 우위가 없으며, 첫날에 설치할 것이 없다.

네트워크 하드웨어는 여러 가지 면에서 이것을 더 어렵게 만든다:

  • 업데이트는 수동이다. 휴대폰이나 노트북과 달리, 많은 스위치와 라우터는 스스로 업데이트하지 않는다. 누군가 로그인해서 펌웨어를 다운로드하고 적용해야 한다.
  • 장치는 잊힌다. 벽장에 밀어넣은 스위치는 아무도 들여다보지 않은 채 수년간 작동할 수 있다.
  • 가시성이 제한적이다. 이러한 장치는 보안 소프트웨어를 거의 실행하지 않으므로 침해가 unnoticed 지나갈 수 있다.

이런 종류의 장비에 제로데이가 발생하면, 첫 공격과 소유자가 패치를 적용하는 순간 사이의 기간이 길어질 수 있다. 바로 그 간극에서 여기 보고된 약 1,000대와 같은 침해가 누적된다.

가정과 소규모 사무실에서 스위치와 라우터를 강화하는 방법

벤더가 결함을 출시하는 것을 막을 수는 없지만, 그것이 침해로 이어질 가능성을 줄일 수는 있다. 이는 일반적인 모범 사례이며, Zyxel을 훨씬 넘어서 적용된다.

  1. 펌웨어를 업데이트하라. GS1900 시리즈 스위치를 사용한다면, Zyxel의 공식 지원 채널에서 패치된 펌웨어를 확인하고 설치하라.
  2. 관리 인터페이스를 인터넷에서 차단하라. 웹 및 원격 관리 페이지는 신뢰할 수 있는 내부 네트워크 또는 전용 관리 연결에서만 접근 가능해야 한다. 라우터의 포트 포워딩과 방화벽 규칙을 확인하여 스위치를 노출하는 것이 없는지 확인하라.
  3. 자격 증명을 교체하라. 영향을 받은 장치의 관리자 비밀번호를 변경하고, 구성에 저장되었거나 재사용된 다른 모든 비밀번호도 변경하라. 각 장치에 고유하고 강력한 비밀번호를 사용하라.
  4. 구성을 검토하라. 인식하지 못하는 계정, 설정 또는 변경 사항을 찾아라. 무언가 이상해 보이면, 설정을 다시 적용하기 전에 장치를 알려진 양호한 상태로 복원하는 것을 고려하라.
  5. 네트워크를 분할하라. 하드웨어가 허용하는 경우 관리 트래픽, 게스트 장치, 스마트홈 가젯을 분리하여 침해된 장치 하나의 영향 범위를 줄여라.
  6. 인벤토리를 유지하라. 소유한 모든 네트워크 장치, 모델, 펌웨어 버전을 기록하라. 잊어버린 것은 패치할 수 없다.

VPN은 신뢰할 수 없는 네트워크에서 트래픽을 보호하는 데 도움이 될 수 있지만, 자신의 네트워크에 있는 취약한 스위치를 고치지는 못한다. 하드웨어 자체를 보호하는 것은 별개의 작업이다.

이것이 당신에게 의미하는 것

Zyxel GS1900 스위치를 소유하고 있다면, 이것을 시급한 문제로 취급하라. 펌웨어를 업데이트하고, 관리 인터페이스가 인터넷에서 접근 불가능한지 확인하고, 노출된 장치에 저장된 자격 증명이 노출되었을 수 있다고 가정하라. 변경하는 것은 저렴한 보험이다.

소유하고 있지 않다면, 교훈은 여전히 적용된다. 홈랩과 소규모 사무실은 종종 대규모 조직과 동일한 종류의 무인 네트워크 장비를 운영하지만, 이를 지켜보는 사람은 더 적다. 공격자들은 이를 알고 있으며, 단일 제품 라인의 결함이 빠르게 수백 대의 침해된 장치로 전환될 수 있다.

다음 단계

Zyxel GS1900 제로데이 취약점은 네트워크 하드웨어가 컴퓨터와 휴대폰과 동일한 관심을 받을 자격이 있다는 것을 상기시켜 준다. 오늘 다음 세 가지를 하라:

  • Zyxel 펌웨어를 확인하고 GS1900 시리즈 스위치를 운영한다면 패치된 버전을 설치하라.
  • 인터넷에 노출된 관리를 비활성화하여 관리 페이지가 신뢰할 수 있는 네트워크 내부에서만 접근 가능하도록 하라.
  • 자격 증명을 교체하라. 스위치와 그 비밀번호를 공유한 모든 것에서.

그런 다음 모든 네트워크 장치의 펌웨어를 몇 달마다 검토하도록 캘린더에 알림을 설정하라. 몇 분의 유지 관리는 침해 후 수습하는 것보다 훨씬 쉽다.