주식회사 로버무트 블로그

[긴급] React2Shell(CVE-2025-55182) 취약점 안내

로버무트 — Wed, 10 Dec 2025 17:31:13 +0900

최근 React2Shell 이라는 취약점(CVE-2025-55182)이 발견되었으며, 심각도 점수는 10.0 점 만점인 Critical로 분류되었습니다.

이러한 취약점 심각도는 약 4년 전의 Log4j 와 동일한 점수로 매우 심각한 취약점이라고 보시면 되겠습니다.

해당 취약점은 React Server Components(RSC) 에서 발생하는 취약점으로 취약한 버전의 React 버전을 사용하는 웹 서비스의 경우 인증 없이 원격코드 실행이 가능하며, React를 기반으로 하는 Next.js 프레임워크 또한 동일한 취약점에 노출되어, 그 위험도가 상당히 높은 것으로 보입니다.

아래는 React2Shell 취약점 스캐닝 사이트로 운영 중인 웹서비스가 해당 취약점에 노출되어 있는지 확인하는 사이트 입니다.

React2Shell Scanner - Powered by Xint ( xint.io에서 제공)

취약점에 노출되었다고 판단되는 경우에는 빠르게 패치하여 발생할 수 있는 보안 이슈에 대처가 필요한 상태이며, 아래는 React 및 Next.js 에 대한 취약 버전과 Fix된 버전에 대한 안내 사이트이니 참고하시기 바랍니다.

React

> https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Next.js

> https://nextjs.org/blog/CVE-2025-66478

Microsoft Entra Internet Access 로 어디서나 안전한 인터넷 접속!

로버무트 — Wed, 1 Oct 2025 16:57:01 +0900

금일은 앞서 소개해 드렸던 Microsoft SASE 서비스 중에 Etnra Internet Access에 대해 소개해 드리고자 합니다. Microsoft의 Entra Internet Access는 Client 단말기의 위치에 관계 없이, 어디서나 안전한 인터넷 접속 환경을 제공하고, 관리자에게는 Client의 인터넷 접속에 대해 인증 기반으로 제어와 가시성을 제공하는 서비스 입니다.

Entra Internet Access의 주요 기능은 간략하게 아래와 같이 정리해 보았습니다.

Client는 Entra Internet Access 접속 시, Microsoft Cloud를 통해 인터넷 연결.
Client는 관리자가 정의한 Microsoft SASE 정책에 따라 인터넷 연결이 제어됨.
Secure Web Gateway(SWG)를 통해 특정 카테고리나 웹사이트 접속을 제어할 수 있음.
그 외에 위협방지 또는 DLP(데이터 손실 방지), TLS검사(HTTPS Inspection) 등의 기능을 제공. (현재 Preview 상태)

Entra Internet Access를 활성화 하면, Client의 Agent 에서 아래와 같이 Channel이 활성화 됩니다. 이때 부터 해당 Client에서 웹페이지 접속 시에 Cloud 구간을 거쳐 연결됩니다.

관리자는 Client가 인터넷을 접속하는데에 불필요한 카테고리나 웹페이지들을 아래와 같이 제한할 수 있으며, *.domain.com과 같이 Wildcard 를 통해 특정 도메인의 다양한 Host 페이지들에 대해 허용/차단을 적용할 수 있습니다.

또한, 관리자는 Client의 트래픽 로그를 아래와 같이 확인하여, 특정 사용자의 인터넷 접속 이력이나, 전체적인 어플리케이션 사용 현황과 위협 통계를 확인할 수 있습니다.

이러한 Microsoft의 Entra Internet Access는 외부 인원에 대한 Internet 통제가 필요하거나, 관련된 솔루션을 도입하기 어려운 고객사에서 사용하시면 도움이 될 것으로 보입니다.

Microsoft 에서는 Entra Internet Access를 포함하여 앞서 소개해 드린 SSE 기능인 Entra Private Access 또한 30일 동안의 데모를 지원하고 있으니, 해당 기능들을 체험해 보시고, 업무 환경에 필요한 서비스를 제공하고 있는지 검토해 보시는 것을 권장 드리면서, Microsoft의 SASE 서비스 소개를 마무리 하도록 하겠습니다.

감사합니다.

Microsoft SSE 서비스로 취약한 SSLVPN을 극복!

로버무트 — Thu, 25 Sep 2025 17:55:39 +0900

요즘 SK나 KT 등의 여러 보안 이슈가 발생하고 있고, 침해 사고의 원인으로 빠르고 편하게 내부망에 접근하기 위해 사용해 왔던 SSLVPN의 취약점이 주요 원인 중에 하나로 지목되고 있습니다.

이에 따라 기업들은 오랜 기간 동안 사용되어 왔던 SSLVPN을 대체할 서비스로 SSE (Secure Service Edge)에 주목하고 있습니다.

앞서 Microsoft의 SASE 서비스인 Global Secure Access (GSA)를 소개해 드리고, GSA는 Private Access(SSE)와 Internet Access 라는 크게 2가지 기능을 제공한다고 안내 드렸습니다.

이 중에 Private Access 가 SSE 서비스에 해당하는 기능으로 외부 Client가 회사 내부 네트워크에 연결되도록 하며, 구성은 쉽고 빠릅니다. 회사 네트워크에는 Windows Server 기반의 Connector만 있으면 되며, Azure 와 연결하고, 해당 기능을 활성화하는 것으로 거의 대부분의 준비는 완료 됩니다.

Connector는 N+1 로 구성하여 용량과 고가용성을 쉽게 확보할 수 있고, SSE 접속을 위해 외부에서 내부로 어떠한 서비스도 허용할 필요가 없어, SSLVPN 보다 보안적으로 유리합니다.

기본적으로 Azure AD(Entra ID) 기반으로 사용자 인증이 진행되며, 사용자는 Agent를 통한 SSE 연결을 통해 회사 내부에 있는 것과 동일한 사용자 경험으로 필요한 네트워크에 접근할 수 있고, 관리자는 사용자에 대한 네트워크 접근 이력을 간편하게 확인할 수 있습니다.

또한, 회사 내부에서 운영하던 기존 보안 솔루션을 Connector 와 내부 네트워크 사이에 적용될 수 있도록 구성하면, SSE 구간에 추가적인 보안 정책을 적용할 수 있을 것이라 기대됩니다.

대부분의 Cloud 서비스의 특징이기는 하지만, 기존 SSLVPN에서는 사용자 증가에 따른 확장에 제약사항이 있었으나, Cloud 기반의 서비스인 Microsoft SSE 는 사용자 증감에 유연하게 대처할 수 있습니다.

현 시점에서 SSE 서비스는 기존의 SSLVPN을 대체할 수 있는 가장 적합한 솔루션이며, 앞으로 SSLVPN은 이러한 솔루션들로 대체될 것이라 보여집니다.

다만, SSE는 서비스 측면에서 내부 네트워크에 접근할 수 있도록 하는 SSLVPN과 동일한 결과값을 제공하지만, 관리자 측면에서는 기존의 SSLVPN 동작 방식에 맞춰 SSE 서비스 도입에 접근하기 보다는 SSE는 사용자 인증 기반으로 내부 네트워크 접근을 제어한다는 것을 고려하여 접근하시면 좋을 듯 합니다.

이렇게 오늘은 Microsoft의 SSE 서비스인 Private Access에 대해 소개해 드렸고, 다음에는 Internet Access에 대해 소개해 드리도록 하겠습니다.

감사합니다.

Microsoft SASE 서비스 소개

로버무트 — Wed, 10 Sep 2025 16:13:29 +0900

Microsoft 에서 Global Secure Access 라는 이름으로 Zero Trust 구현을 위한 서비스를 24년도에 출시하였습니다. 아직까지는 국내에서 많이 알려지지는 않은 서비스 입니다만, 이러한 Cloud 기반의 SSE 및 SASE 서비스는 Microsoft 외에도 이미 여러 벤더에서 제공하는 서비스이며, 세계적인 추세이고, 최근에 빈번하게 발생하고 있는 SSLVPN을 통한 피해 사례를 보자면, 기존의 SSLVPN을 대체할 서비스라고 생각됩니다.

Microsoft Global Secure Access (이하 GSA)는 크게 아래와 같이 2가지의 기능을 제공하여, 인터넷과 내부 Resource의 접근을 모두 하나의 통합된 플랫폼에서 관리할 수 있습니다.

- Entra Internet Access : 인증 기반의 Secure Web Gateway(SWG)로 SaaS 및 인터넷 연결에 대한 보안 기능을 제공.

- Entra Private Access : Zero Trust 기반의 기존 SSLVPN을 대체할 수 있는 기능으로 접근제어 및 MFA 등을 기능을 제공.

GSA는 Microsoft의 Public Cloud 서비스인 Azure를 통해 제공되며, 아래 라이선스 구독을 통해 사용이 가능하며, SSLVPN 기능을 대체하는 Entra Private Access 기능은 월 6,800(VAT별도)로 Microsoft 에서 구독이 가능하고, 30일 데모 기간을 지원하기 때문에 충분히 사용하고, 도입 여부를 검토해 볼 수 있습니다.

- Entra ID P1 (필수)

- Entra Suite (패키지 라이선스) 또는 Entra Private Access 및 Entra Internet Access 중 필요한 기능 선택 구독.

GSA의 Entra Private Access 기능을 사용하기 위해서는 접속할 내부 네트워크에 Windows Server (2016 이상)에 Connector를 설치하고, 간단하게 네트워크 및 사용자를 지정하면 사용할 준비가 완료됩니다.

사용자 PC는 Entra ID에 Join만 하고, Client 프로그램을 설치 및 접속하면, 간단하게 내부 네트워크 접근이 가능하고, 관리자는 Azure 포털에서 제공하는 기능으로 사용 현황에 대해 확인할 수 있습니다.

GSA의 기능에 대한 상세 소개는 추후에 다시 소개해 드릴 예정이니 기다려 주시면 감사하겠습니다. GSA에 대한 Feature Table은 아래와 같으니, 참고 부탁 드립니다.

감사합니다.

국내 SASE 시장, 왜 더딜까? 기대만큼 뜨겁지 않은 이유

로버무트 — Thu, 3 Jul 2025 17:24:31 +0900

요즘 IT 보안 업계에서 자주 거론되는 키워드 중 하나가 바로 SASE(Secure Access Service Edge)입니다. 가트너가 처음 개념을 정립한 이후, 네트워크와 보안을 통합해 클라우드 기반으로 제공하는 접근 방식은 분산 근무와 클라우드 전환이 빠르게 진행되는 지금의 환경에 딱 맞는 솔루션으로 주목받고 있습니다.

그런데 국내에서는 이 흐름이 예상보다 더디게 진행되고 있습니다. 주변 기업들과 이야기를 나눠봐도, 개념에 대한 관심은 분명 존재하지만 도입은 매우 조심스럽고 느리게 진행되는 편입니다. 그 이유를 현업의 시각에서 정리해보았습니다.

1. SASE에 대한 개념적 혼선과 인지 부족

SASE는 단순한 보안 솔루션이 아닙니다. SD-WAN, CASB, SWG, ZTNA, FWaaS 등 여러 기술이 유기적으로 통합되어야 의미가 있습니다. 실제 현장에서 많은 기업 담당자들은 SASE를 단순히 VPN의 고급 버전으로 오해하거나, 단일 보안 솔루션으로 인식하는 경우가 많습니다. 제품명이 너무 다양하고, 각 벤더마다 설명 방식도 제각각이다 보니 개념 자체를 어렵게 느끼는 경우도 많습니다.

2. 여전히 강한 온프레미스 선호

보안에 있어 ‘직접 관리’에 대한 국내 기업의 선호는 여전히 강합니다. 물리적으로 내 서버에 있어야 마음이 놓인다는 경영진들의 심리는 쉽게 바뀌지 않습니다. 특히 제조업이나 금융권처럼 기밀 데이터가 많은 산업군일수록 클라우드 전환에 대한 거부감이 큽니다. SASE는 본질적으로 클라우드 기반 모델이기 때문에 이런 보수적인 마인드와 충돌이 생기기 쉽습니다.

3. 기존 투자 비용 및 전환의 어려움

이미 수년 전부터 구축해온 방화벽, VPN, 프록시 등 다양한 솔루션들이 각 회사마다 나름대로 잘 돌아가고 있습니다. SASE로 전환하려면 이 기존 인프라를 통합하거나 대체해야 하는데, 이 과정에서 기술적, 비용적 부담이 큽니다. 특히 투자 대비 효과(ROI)가 명확히 드러나지 않으면, 내부 설득은 더 어려워집니다. 보안의 특성상 '문제없으면 손대지 말자'는 문화도 SASE 도입에 장애 요인이 되곤 합니다.

4. 국내 공급업체의 제한적인 포트폴리오

글로벌 시장에서는 지스케일러(Zscaler), 팔로알토(Palo Alto), 시스코(Cisco), 소닉월(Sonicwall), 휴렛패커드(HPE) 같은 강자들이 완성도 높은 SASE 포트폴리오를 제공하고 있지만, 국내에서는 아직까지 모든 요소를 아우르는 통합형 SASE 솔루션은 드뭅니다. 결국 여러 벤더의 기능을 따로 조합해서 아키텍처를 구성해야 하며, 이 과정에서 복잡성이 증가하며 도입이 지연되기도 합니다.

5. 보안 규제 및 컴플라이언스 문제

국내의 경우, 금융권이나 공공기관 등 특정 산업 분야에서는 보안 규제가 매우 엄격합니다. 클라우드 기반 서비스 도입 시 규제 준수 여부를 꼼꼼하게 따져야 하며, SASE가 이러한 복잡한 규제를 모두 충족하는지에 대한 검토 과정이 필수적입니다. 경우에 따라서는 특정 보안 요구사항을 충족시키기 위해 커스터마이징이 필요하거나, 온프레미스 솔루션과의 병행이 불가피해지면서 SASE 도입의 이점이 희석될 수 있습니다.

그럼에도 불구하고, 흐름은 분명하다.

국내 SASE 시장이 느린 건 사실이지만, 분산된 업무 환경이 보편화되고 클라우드 전환이 가속화됨에 따라 SASE는 피할 수 없는 흐름이 될 것이라고 생각합니다.

공급자 입장에서 앞으로는 단순히 제품을 파는 것이 아니라, SASE가 어떤 구조에서 왜 필요한지, 실제 전환은 어떻게 설계할 수 있는지를 이해시키는 교육과 컨설팅이 병행돼야 한다고 생각합니다. 고객의 상황을 깊이 이해하고, 단계적 도입 전략과 기술 지원 체계를 마련해야 진정한 확산이 가능할 것입니다.

랜섬웨어의 먹잇감, MICROSOFT AD 환경의 기업 네트워크: 왜 해커는 AD를 핵심 표적으로 할까?

로버무트 — Mon, 2 Jun 2025 14:37:30 +0900

요즘 기업들을 가장 두렵게 만드는 사이버 위협 중 하나는 단연 '랜섬웨어'일 것입니다. 중요한 데이터를 암호화하고 돈을 요구하는 악랄한 공격이죠.

그런데 많은 기업들이 사용하고 있는 MICROSOFT Active Directory (AD) 환경이 이런 랜섬웨어 공격에 특히 취약할 수 있다는 사실을 알고 계셨나요?

오늘은 MICROSOFT AD 환경의 기업 네트워크가 왜 랜섬웨어의 쉬운 먹잇감이 되는지, 그 구조적인 취약점들을 보고자 합니다.

MICROSOFT AD, 왜 랜섬웨어에 취약할까요? 핵심은 '중앙 집중화'와 '오용 가능성'

MICROSOFT AD는 기업 네트워크에서 사용자, 컴퓨터, 그룹, 정책 등을 중앙에서 관리하는 핵심 인프라입니다. 편리함과 효율성 때문에 대부분의 기업이 AD를 도입하고 있죠. 하지만 바로 이 '중앙 집중화'와 특정 기능들의 '오용 가능성'이 랜섬웨어 공격자들에게는 매력적인 목표가 됩니다.

1. 중앙 집중화된 권한 관리: "한 번의 성공이 모든 것을 무너뜨린다"

AD는 모든 사용자 및 컴퓨터에 대한 인증 및 권한을 관리합니다. 공격자가 AD를 장악하면, 네트워크 내의 모든 시스템에 접근하여 랜섬웨어를 배포할 수 있는 막강한 권한을 얻게 됩니다

도메인 관리자(Domain Admin) 계정의 치명적인 매력: 도메인 관리자 계정은 AD 환경의 모든 것을 제어할 수 있는 최상위 권한을 가집니다. 만약 이 계정이 탈취된다면, 공격자는 네트워크 전체에 랜섬웨어를 삽시간에 퍼뜨릴 수 있습니다. 많은 기업들이 편의상 도메인 관리자 계정을 너무 광범위하게 사용하거나, 심지어 일반 사용자 계정과 동일한 워크스테이션에서 로그인하는 경우가 있는데, 이는 매우 위험한 행동입니다.
SID History 및 AdminSDHolder의 오용: AD는 SID History를 통해 사용자의 과거 보안 식별자를 유지할 수 있고, AdminSDHolder는 특권 그룹의 권한을 보호하는 데 사용됩니다. 하지만 이 기능들도 공격자가 특정 권한을 유지하거나, 승격된 권한을 획득하는 데 악용될 수 있습니다.

2. GPO(Group Policy Object)의 양면성: "편리한 배포 도구가 악성코드 배포 도구로"

GPO는 AD 환경에서 사용자 및 컴퓨터 설정을 중앙에서 관리하고 배포하는 강력한 도구입니다. 보안 정책부터 소프트웨어 설치까지 광범위하게 활용되죠. 하지만 바로 이 강력한 배포 능력이 랜섬웨어에게는 양날의 검이 됩니다.

악성코드 배포의 용이성: 공격자가 AD를 장악하면, GPO를 이용하여 네트워크 내 모든 컴퓨터에 랜섬웨어 실행 파일을 배포하고, 특정 시간에 실행되도록 스케줄링할 수 있습니다. 정상적인 시스템 관리 도구가 악성코드 배포의 통로가 되는 셈입니다.
보안 설정 무력화: GPO를 통해 안티바이러스 프로그램 비활성화, 방화벽 설정 변경 등 보안 설정을 무력화하는 명령을 내려 랜섬웨어의 공격을 더욱 쉽게 만들 수도 있습니다.

3. Kerberos 인증 프로토콜의 취약점: "황금 티켓과 은빛 티켓"

AD는 Kerberos를 주 인증 프로토콜로 사용합니다. Kerberos는 강력한 인증 방식이지만, 특정 취약점이 존재하며, 공격자들은 이를 악용하여 네트워크 내에서 자유롭게 움직일 수 있습니다.

Golden Ticket 공격: 공격자가 도메인 컨트롤러의 KRBTGT 계정(Kerberos Ticket Granting Ticket) 해시를 획득하면, 위조된 TGT(Ticket Granting Ticket)를 생성하여 네트워크 내의 어떤 서비스에도 접근할 수 있는 '황금 티켓'을 만들 수 있습니다. 이는 사실상 도메인 전체를 장악하는 것과 다름없습니다.
Silver Ticket 공격: 특정 서비스의 서비스 계정 해시를 획득하면, 해당 서비스에만 유효한 위조된 서비스 티켓(TGS)을 생성하여 해당 서비스에 접근할 수 있는 '은빛 티켓'을 만들 수 있습니다.
Kerberoasting: 서비스 계정의 SPN(Service Principal Name)을 이용하여 패스워드 해시를 추출하고 오프라인으로 크랙하여 서비스 계정의 권한을 획득하는 공격 기법입니다.

4. 레거시 시스템 및 설정: "오래된 구멍들이 새로운 위협을 부른다"

많은 기업들이 AD를 오랫동안 사용해 왔기 때문에, 과거에 설정되었던 취약한 정책이나 사용되지 않는 계정들이 방치되어 있는 경우가 많습니다.

취약한 비밀번호 정책: 강력한 비밀번호 정책이 적용되지 않았거나, 주기적인 비밀번호 변경이 이루어지지 않아 공격자가 쉽게 크랙할 수 있는 계정들이 존재할 수 있습니다.
사용하지 않는 계정 및 그룹: 퇴사자 계정이나 사용되지 않는 관리자 그룹 등이 삭제되지 않고 남아있는 경우, 공격자가 이를 악용하여 침투 경로를 확보하거나 권한을 유지할 수 있습니다.
패치 관리 미흡: AD 서버를 포함한 도메인 컨트롤러에 대한 최신 보안 패치 적용이 지연될 경우, 알려진 취약점을 통해 공격자가 침투할 수 있는 빌미를 제공하게 됩니다.
외부 인증연동에 관리자 계정사용: 특히 SSLVPN과 같은 외부 인증 연동 시스템에 AD 관리자 계정을 그대로 사용하는 경우, 해당 연동 시스템의 보안 취약점을 통해 AD 관리자 계정이 유출될 위험이 있습니다. 이는 곧 AD 전체에 대한 공격으로 이어질 수 있는 심각한 문제입니다.

5. 보안 모니터링 및 로깅의 부재: "무슨 일이 일어났는지도 모른다면"

많은 기업들이 AD에 대한 충분한 보안 모니터링 및 로깅 시스템을 갖추고 있지 않습니다.

비정상적인 로그인 시도 감지 부족: Brute-force 공격이나 패스워드 스프레이 공격 등 비정상적인 로그인 시도를 실시간으로 감지하고 차단하는 시스템이 미흡한 경우가 많습니다.
권한 상승 및 GPO 변경 로그 분석 부족: AD 환경에서 발생하는 권한 상승 시도, GPO 변경, 계정 생성/삭제 등 중요한 보안 이벤트에 대한 로그를 수집하고 분석하는 시스템이 부족하여 공격자의 행위를 제때 탐지하기 어렵습니다.

결론: AD 보안은 곧 기업 네트워크 보안의 핵심

MICROSOFT AD 환경은 기업 네트워크의 중추적인 역할을 합니다. 하지만 위에서 언급된 취약점들을 간과한다면, 랜섬웨어 공격자들에게는 매우 매력적인 목표가 될 수밖에 없습니다.

기업들은 AD의 구조적인 취약점을 명확히 인지하고, 다음과 같은 보안 강화 방안들을 적극적으로 도입해야 합니다.

최소 권한 원칙 적용: 도메인 관리자 계정의 사용을 최소화하고, 필요한 최소한의 권한만을 부여합니다.
강력한 비밀번호 정책 및 다단계 인증(MFA) 도입: 모든 계정에 대해 강력한 비밀번호와 MFA를 의무화합니다.(예: OTP)
GPO 보안 강화: GPO 변경 이력을 철저히 관리하고, 비인가된 GPO 변경 시도를 탐지와 File Integrity Monitoring (FIM) 도구를 통해 SYSVOL 내 GPO 스크립트 무결성 확인합니다. (예: Tripwire, OSSEC, Wazuh)
외부 연동시스템 보안 강화: SSLVPN과 같은 외부 연동 시스템에서는 AD 관리자 계정 대신 별도의 계정을 사용하여 접근 권한을 관리해야 합니다.
Kerberos 공격 방어: KRBTGT 계정 관리 강화, 서비스 계정 비밀번호 주기적 변경 등 Kerberos 공격 방어 대책을 수립합니다.
정기적인 보안 감사 및 취약점 점검: AD 환경에 대한 정기적인 보안 감사와 취약점 점검을 통해 숨겨진 취약점을 찾아내고 개선합니다.
고급 위협 탐지 및 대응 (EDR/XDR) 솔루션 도입: AD에서 발생하는 비정상적인 행위를 실시간으로 탐지하고 대응할 수 있는 솔루션을 도입합니다. (예: Emsisoft EDR)
로그 모니터링 및 관리: 상시 로그 모니터링 및 추척 관리를 할 수 있는 SIEM 솔루션을 도입합니다.(예: ELK)
백업 및 복구 전략: 만약의 사태에 대비하여 AD 데이터 및 중요 시스템에 대한 정기적인 백업과 신속한 복구 전략을 수립합니다.

랜섬웨어로부터 기업 네트워크를 안전하게 지키기 위해서는 MICROSOFT AD 환경의 보안에 대한 깊은 이해와 지속적인 관심이 필수적입니다. 안전한 디지털 환경을 위해 지금 바로 AD 보안 상태를 점검해 보세요!

[Sonicwall: 취약점 공지] 소닉월 SSLVPN SMA100 시리즈 취약점

로버무트 — Fri, 9 May 2025 11:38:00 +0900

소닉월 SSLVPN 제품 중에 SMA100 시리즈에 대한 취약점이 확인되어, 해당 내용을 간략하게 정리하여 알려 드립니다.

하기 내용 참고하시어, 적절한 대응하시기 바랍니다.

감사합니다.

- 대상 제품

> SMA100 시리즈 (SMA200, 210, 400, 410, 500v)

- 대상 펌웨어

> 10.2.1.14-75SV를 포함한 이전 버전

- 해결된 펌웨어

> 10.2.1.15-81SV 이상 버전

- 임시 조치 방법

> Multi Factor Authentication 구성

> SAM100 시리즈 장비 내에서 WAF 기능 활성화

> 모든 사용자의 로그인 암호 재설정

- 취약점 내용

> CVE-2025-32819

: SSLVPN 사용자 권한을 가진 인증된 원격 공격자가 경로 탐색 검사를 우회하고 임의의 파일을

삭제할 수 있으며 이로 인해 Factory Default 설정으로 재부팅 가능.

> CVE-2025-32820

: SSLVPN 사용자 권한을 가진 인증된 원격 공격자가 경로 탐색 시퀀스를 삽입하여 SMA 장비 내

모든 디렉토리를 쓰기 가능하게 변경 가능.

> CVE-2025-32821

: SSLVPN 관리자 권한이 있는 원격 인증 고격자가 관리자 권한이 있는 셀 명령 인수를 삽입하여

SMA 장비에 파일을 업로드 할 수 있음.

2025년 사이버 보안 위협 보고서 분석

로버무트 — Wed, 5 Mar 2025 18:30:23 +0900

2025년 SonicWall 사이버 위협 보고서는 현대 사이버 보안 환경에서 발생하는 주요 트렌드와 위협 요소를 분석하며, 기업 및 개인이 대비해야 할 주요 사항을 제시합니다. 특히, 랜섬웨어 공격 증가, IoT(사물인터넷) 위협 확대, AI 기반 사이버 공격 발전 등의 내용을 중심으로 보고서를 정리하고 실질적인 대응 전략을 제안합니다.

이번 보고서에서 강조하는 것은 사이버 공격의 고도화와 신속한 실행입니다. 공격자들은 보안 취약점을 공개한 후 48시간 내에 이를 악용하며, 자동화 도구와 AI를 활용해 더 정교하고 탐지하기 어려운 공격을 수행하고 있습니다. 따라서, 기업과 조직은 더욱 강력한 실시간 대응 전략을 구축해야 합니다.

1. 랜섬웨어 공격: 더 빠르고 더 정교하게

주요 내용

ⓐ 2024년 랜섬웨어 공격이 급증하며, 특히 북미(+8%)와 중남미(+259%) 지역에서 큰 증가 추세.

ⓑ 랜섬웨어 비용: 평균 몸값 $850,700, 총 손실 비용 평균 $4.91M.

⊙ 더블 익스플로잇: 데이터 암호화 뿐만 아니라, 민감한 정보를 공개하겠다고 협박하는 방식.

⊙ 트리플 익스플로잇: 피해 기업 뿐만 아니라, 고객과 협력 업체까지 협박하여 금전적 요구.'

ⓓ 의료 산업 최다 피해:

⊙ 198M명의 환자가 피해를 입었으며, Change Healthcare 해킹 사건으로 1억 명 이상의 데이터 유출

피해.

⊙ 의료 산업은 레거시 시스템과 취약한 보안 인프라로 인해 주요 타겟이 됨.

ⓔ 공격 속도 증가: PoC(공격 기법 공개) 후 48시간 내로 해커들이 취약점을 악용.

대응 전략

✅ 취약점 관리 강화: 최신 보안 패치를 즉각 적용하고 자동 업데이트 활성화.

✅ 데이터 백업 및 복구 전략 수립: 정기적인 백업 및 DR(재해 복구) 계획 구축.

✅ MDR(Managed Detection and Response) 도입: 보안 운영 센터(SOC) 및 위협 헌팅 서비스를

활용한 실시간 탐지 및 대응.

✅ 제로 트러스트 보안 모델 도입: 모든 접근을 철저하게 검증하여 내부 네트워크 보안 강화.

✅ 의료 기관 대상 맞춤형 보안 솔루션 도입: 레거시 시스템 보호를 위한 특화된 보안 솔루션 적용.

2. IoT 및 암호화된 트래픽 위협 증가

주요 내용

ⓐ IoT 공격 124% 증가, 암호화된 위협 93% 증가.

ⓑ IP 카메라 해킹 증가:

⊙ 2024년 IP 카메라를 대상으로 한 공격 1,700만 건 차단됨.

⊙ 정부 기관 및 중요 인프라에서 CCTV 조작 및 감시 시스템 해킹 사례 증가.

⊙ Reaper IoT Botnet 같은 악성 봇넷이 취약한 IoT 기기를 악용하여 대규모 공격 수행.

⊙ 기본적인 보안 설정(기본 비밀번호 미변경, 취약한 펌웨어 등)이 주요 문제점.

ⓓ OSS(오픈소스 소프트웨어) 취약점 활용:

⊙ PHP, Apache, OpenSSL 등의 보안 취약점이 공격에 악용됨.

⊙ 보안 패치가 늦어지는 경우 악성코드 감염 및 공격 노출 가능성 증가.

ⓔ IoT 디바이스의 보안 부족:

⊙ 많은 IoT 기기가 기본 설정을 그대로 사용하며, 원격 접근 보안이 미흡한 경우가 많음.

⊙ 취약한 IoT 기기는 봇넷의 일부로 이용될 가능성이 큼.

대응 전략

✅ IoT 기기 보안 강화를 위한 네트워크 분리 및 모니터링: 중요 시스템과 일반 네트워크를 분리하여

보안 강화.

✅ 펌웨어 및 소프트웨어 업데이트 주기적 수행: 자동 업데이트 기능 활성화 및 주기적인 보안 점검

수행.

✅ 제로 트러스트 보안 모델 적용: IoT 기기의 인증 및 접근 권한을 제한하고, 이상 행동 감지 기능 적용.

✅ DDoS 방어 시스템 구축 및 침입 탐지 시스템(IDS/IPS) 활용: IoT 디바이스를 대상으로 한 DDoS

공격 및 내부 침입 감지를 강화.

✅ 보안 인증이 적용된 IoT 기기 사용: 공인된 보안 인증을 받은 장비를 사용하여 해킹 위험 감소.

결론: 사이버 위협 대응을 위한 전략적 접근

2025년은 사이버 보안이 기업 운영과 생존에 필수적인 요소로 자리 잡는 해가 될 것입니다. 해커들은 AI와 자동화된 공격 기법을 이용해 더 빠르고 정교한 공격을 수행하고 있으며, 이에 맞춰 보안 대응 체계를 강화하는 것이 필수적입니다.

기존의 보안 방어 체계로는 발전하는 사이버 위협에 대응하기 어렵습니다.

공격자들은 신속하게 취약점을 악용하고 있으며, 방어 측에서는 예방적 보안 모델(Preventive Security), 위협 헌팅(Threat Hunting), **실시간 대응(Real-time Incident Response)**을 조합한 다층적 보안 전략이 필요합니다.

효과적인 보안 전략

1️. 실시간 패치 및 위협 탐지 시스템 운영: 보안 취약점이 공개되면 즉각적인 패치가 이루어져야 합니다.

2️. 제로 트러스트 보안 모델 도입: 내부 네트워크 접근 제어 및 다중 인증 적용을 강화해야 합니다.

3️. SOC 및 MDR 서비스 활용: 24/7 보안 모니터링 및 위협 분석을 통한 신속한 대응이 중요합니다.

4️. AI 및 ML 기반 탐지 솔루션 도입: AI를 활용한 악성코드 탐지 및 위협 예측 모델을 구축해야 합니다.

5. 보안 인식 교육 강화: 기업 내부 직원들이 사이버 보안의 중요성을 인식하고, 피싱 및 소셜 엔지니어링

공격을 예방할 수 있도록 교육이 필요합니다.

사이버 위협은 날로 증가하고 있으며, 그 방식도 점점 더 교묘해지고 있습니다. 기업과 조직은 강력한 보안 전략을 마련하고, 지속적인 모니터링과 예방적 대응을 통해 미래의 보안 위협에 대비해야 합니다.

실질적인 보안 조치를 통해 데이터 보호, 운영 지속성 유지, 신뢰 확보를 달성하는 것이 궁극적인 목표입니다.

2025년 SonicWall 사이버 위협 보고서 원본(영문)은 아래에서 다운로드 하시기 바랍니다.

2025_Cyber_Threat_Report.pdf

5.09MB

감사합니다.

딥시크(DeepSeek) 소닉월 방화벽을 통한 간편한 차단 제어

로버무트 — Thu, 13 Feb 2025 17:44:23 +0900

최근 중국에서 개발한 딥시크(DeepSeek)가 화제인데요, 적은 비용 및 자원으로도 기존의 Ghat GPT 와 비교될 정도의 성능을 발휘하는 것에 주목하고 있는 듯 합니다.

다만, 딥시크(DeepSeek)는 중국 정책에 따라 데이터를 중국에 저장해야 하는 부분에 있어, 개인정보 및 자료유출에 대한 우려가 있다는 의견이 많습니다.

그에 따라 일부 국가 및 기업에서는 딥시크 사용을 제한하는 조치를 한다는 내용도 심심치 않게 들리는 듯 합니다.

소닉월 차세대방화벽에는 이러한 딥시크(DeepSeek)를 간편하게 차단하거나 허용할 수 있도록 Application 제어 기능을 제공하고 있습니다.

위 화면과 같이 Application에서 DeepSeek 항목을 제공하고, 해당 Application 만 간편하게 차단할 수도 있습니다.

차단 적용 시에는 PC의 경우 사이트 접속이 되지 않거나, Mobile 에서는 딥시크 App에서 질의를 하여도 응답하지 않는 것을 확인할 수 있습니다.

이렇게 차단된 사용자는 방화벽 Log를 통해서도 관리자가 쉽게 확인이 가능합니다.

현재 화제가 되고 있는 딥시크(DeepSeek) 뿐만이 아니라, 사내 정책에 따라 차단해야 하는 Application이 있는 경우 이러한 기능을 활용하여 간단하게 제어해 보시기 바랍니다.

[Sonicwall: 취약점 공지] 소닉월 방화벽 SSLVPN 및 SSH Management 취약점

로버무트 — Wed, 8 Jan 2025 13:48:00 +0900

소닉월 방화벽에 대한 취약점이 확인되어, 해당 내용을 간략하게 정리하여 알려 드립니다.

소닉월 방화벽 대상으로 SSLVPN의 인증을 Bypass 하거나, SSH Management 접속의 인증을 Bypass 하는 등의 취약점이 발견되었고, 해당 기능이 활성화된 환경인 경우 빠르게 조치하는 것을 권장 드립니다.

SSH Management의 경우 접속 IP 제한을 통해 제어한다고 하더라도, SSLVPN 서비스의 경우에는 접속 IP를 특정할 수 없는 부분은 참고하시기 바랍니다.

감사합니다.

- 대상

: 소닉월 TZ 및 NSa 등 SonicOS 사용 방화벽

- 조치된 펌웨어 버전

- 취약점 주요 내용

: SSLVPN 및 SSH Management가 활성화된 방화벽을 대상으로 함.

: 관련된 여러 취약점을 통해 SSLVPN 및 SSH 관리자 접속 간에 인증을 Bypass 할 수 있음.

: 그 외에 DoS 공격을 유발할 수 있는 취약점 등이 포함되어 있음.