ASM 관점에서 본 한국지능정보사회진흥원 관리자 페이지 노출 해킹 사건

최근 한국의 AI 및 정보화 전문기관인 한국지능정보사회진흥원(NIA)에서 관리자 페이지가 노출되며 NIA가 관리중인 행정안전부와 외교부 등 정부기관의 소스코드가 유출된 사건이 발생하여 조사중이다. NIA는 정부부처의 정보화 및 IT 관련 사업을 맡고 있는 기관으로, ‘보안뉴스‘에 따르면 외부에 노출된 총 9개의 NIA 페이지 가운데 계정 정보와 산출물 시스템이 연결된 프로덕트 관리자 페이지가 포함되어 있어 심각한 보안 문제로 이어졌다고 한다.

현재까지 조사한 내용에 따르면, 관리자 페이지의 포트가 방화벽 상에 열려 있어 외부의 접근이 가능했던 상황으로 밝혀졌다. 관리자 페이지 노출은 외부로부터의 무단 접근, 무차별 대입 공격, 악성코드 주입, Dos 및 DDoS 공격, 기밀 정보 유출, 기타 취약점 악용의 가능성을 높이며 심각한 보안 위협을 초래한다. 이번 글에서는 위협 헌팅 툴로 관리자 페이지 노출의 심각성을 다루며, 공격 표면 관리 솔루션을 이용한 지속적 모니터링의 중요성과 내부 서버 노출과 관련된 조치 방법을 소개한다.

위협 헌팅 툴 Criminal IP로 확인한 관리자 페이지 노출 현황

관리자 페이지가 노출되는 원인으로는 기본 설정 유지, 잘못된 방화벽 설정, 포트 포워딩 설정 오류, VPN 미사용, 관리자의 보안 인식 부족, 자동화 스캐닝 툴의 부재, 소프트웨어나 펌웨어의 버그 및 취약점 등을 꼽을 수 있다. 공통적으로 필요에 의해서든, 실수에 의해서든 포트를 열고 사람의 실수에 의해 방치된 경우가 대부분이다. 위협 헌팅 툴 Criminal IP에서는 관리자 페이지에 사용된 IP 주소에 ‘Admin’ 이라는 태그를 부여하고 있다. Criminal IP의 Asset Search에서 tag: “Admin” 을 검색하면, 11월 14일 기준, 전 세계 총 2,149,465개의 관리자 서버가 외부에 노출되어 있는 것을 확인할 수 있다.

• https://www.criminalip.io/ko/asset/search?query=tag%3A%20%22Admin%22

Query: tag: “Admin”

이는 생각보다 많은 관리자 페이지가 외부에 노출되어 있다는 것을 의미한다. 조금 더 스크롤을 내리면, 가장 많이 ‘Admin’ 태그가 붙은 프로토콜과 포트 번호를 확인할 수 있다.

‘Top Services’ 결과에서 나타나듯이 관리자 페이지에는 원격 접근과 데이터 관리, 파일 전송 프로토콜이 연결되어 있고, 접근 편의성을 높이기 위해 관리자 페이지의 포트를 열어두는 경우가 있다. 그러나, 민감한 내부 서버와 데이터로의 접근을 허용하는 포트이기 때문에 이를 악용하면 심각한 정보 유출로 이어질 수 있다. 열려있는 포트의 목록을 보더라도, 표준 포트(well-known port)가 전체의 40%이상을 차지하는 것으로 보아, 관리자 페이지의 빈틈을 찾는 해커들은 간단히 공격 경로를 찾을 수 있을 것이다.

공격 표면 관리 솔루션 Criminal IP ASM에서 탐지한 관리자 페이지 노출

앞서 위협 헌팅 툴 Criminal IP에서는 Admin 태그를 이용해 전 세계 노출된 관리자 페이지의 현황을 알아보았다. 그렇다면 이번에는 기업 혹은 공공기관에서 자사의 관리자 페이지가 노출되어 있는지를 확인하는 방법을 알아보려 한다. 관리자 페이지가 노출되는 근본적인 원인은 열린 포트를 파악하지 못하고 방치하는 데 있어, 자동화된 포트 스캐닝 도구를 사용해 외부에서 열린 포트를 탐지하고, 보안 설정을 점검하여 불필요한 포트가 열려 있는지 확인해야 한다.

Criminal IP ASM은 매일 오픈 포트를 비롯한 IT 자산의 리스크를 탐지하고, 이를 대시보드와 리포트로 가시화하는 SaaS 형 공격 표면 관리(ASM) 솔루션이다. 웹 대시보드는 자동 탐지된 IT 자산과 리스크 현황을 한 눈에 확인할 수 있도록 구성되어 있으며, 탐지된 리스크는 3단계(High, Medium, Low)의 대응 우선순위에 따라 분류된다.

화면의 리스크 부분을 클릭하면 리스크 페이지로 이동되고, 해당 페이지에는 관리자 페이지 노출을 비롯해 데이터베이스/내부 서버/방화벽/API 키/원격 접속 서비스 노출과 취약점 현황 등 다수의 위협 요소가 포함된, 외부에서 공격이 들어올 수 있는 모든 지점들이 기록된다. 각 리스크 별로 IT자산, 대응 우선순위, 가동중인 어플리케이션, 탐지일과 스크린샷이 제공되며, 각각 ‘IP Report’혹은 ‘Domain Report’ 상세정보 버튼을 클릭하면 리스크가 발견된 IT 자산의 상세 정보와 조치 방법을 확인할 수 있다. 리스크 페이지 내 필터 검색이 가능하여 위험도나 시의성이 높은 특정 이슈만을 선별하여 우선적으로 조치 방법을 확인하는 데 용이하다.

아래는 관리자 페이지가 노출된 도메인의 일부 ASM 리포트 화면이다.

해당 도메인은 ‘admin’ 키워드가 도메인에 포함된 관리자 페이지이며, 외부에 노출된 내부 서버로써 Internal Server 리스크가 탐지되었다. Internal Server 리스크는 내부 서버가 외부에서 탐지되었다는 것만으로도 중요 정보와 시스템이 노출될 가능성이 높기 때문에 High 리스크로 분류되었다. 상단 ‘리스크’ 부분에서 ‘조치 방법’을 클릭하거나 ASM 리포트 하단으로 스크롤을 내리면, 탐지된 리스크가 왜 해결되어야 하며, 어떻게 해결하면 되는지 조치 방법이 함께 제시되고 있다.

조치 방법으로 제시되었듯이 관리자 페이지를 포함해 내부 서버 노출 문제를 해결하기 위해서는 DNS 레코드 재검토, 방화벽 규칙 강화, 보안 패치가 중요하며, 더불어 내부 서버 포트가 외부에 노출되어 있는지 지속적인 보안 감시 체계가 구축되어야 한다.

공격 표면 관리로 예방하는 소스코드 유출: GitHub에 노출된 자사 도메인 탐지

이번 NIA 사건에서는 관리자 페이지 노출로 인해 정부부처의 소스코드가 외부에 유출되었다는 점도 화제가 되고 있다. 소스코드 유출은 취약점, 코드에 포함된 기술적 노하우나 알고리즘, API 키와 비밀번호 등의 중요 정보 유출이 발생할 수 있으며 외부로부터의 악성코드나 백도어가 코드 내 심어질 수 있어 심각한 보안 위협으로 다뤄진다. 특히 GitHub 등의 오픈소스 리포지토리에 공개된 기업 및 기관의 도메인으로부터도 소스코드가 유출될 가능성이 있어, 외부에 언급된 도메인을 파악하고 즉각 검토하는 것이 소스코드 유출의 해결책이 될 수 있다.

Criminal IP ASM에서는 외부에 노출된 서버, 내부 페이지, 중요 정보를 종합적으로 탐지하는데, 그 중 GitHub에 언급된 도메인을 탐지하는 기능이 위와 같은 상황과 관련이 있다. 아래는 GitHub에 언급된 도메인의 일부 ASM 리포트 화면이다.

이 경우에도 물론 문제를 해결할 수 있는 조치 방법을 함께 제공한다. GitHub에 회사 자산이 노출되었다는 것은 외부 접근과 정보 유출의 가능성을 높이는 보안 위협이기 때문에 즉시 정보를 비공개로 전환해야 하고, 지속적인 모니터링이 필수적이다.

기업과 공공기관에서 필수적인 공격 표면 관리

다양한 보안 위협 가운데 이번 글에서는 관리자 페이지 노출과 소스코드 유출 사례를 소개하며, 위협 헌팅 툴과 공격 표면 관리를 통해 내부 서버 노출 및 정보 유출의 심각성과 해결 방법을 다뤄보았다. 그러나 그 외 대부분의 보안 위협은 공통적으로 방치된 자산과 위협 요소에서 발생한다. 특히, 기업 및 조직 단위의 IT 환경은 한 번의 공격이 치명적인 피해로 이어질 가능성이 크고, 외부에 노출된 주요 자산을 파악하는데 한계가 있어 공격자의 타겟이 되기 쉽다. 또한, 보안 위협은 변화가 잦아 일회성 취약점 진단만으로는 모든 범위를 커버하지 못할뿐더러 새롭게 생성된 리스크에 대해 인식조차 하지 못하는 상황이 발생한다.

결론적으로, 기업과 기관은 공격 표면 관리(ASM) 솔루션을 사용하여 관리자 페이지와 같은 내부 서버 노출 여부를 지속적으로 탐지하고 관리해야 한다. ASM 솔루션은 시스템의 취약점을 실시간으로 식별하고, 위험을 최소화하며, 외부 공격자에게 노출되는 가능성을 줄여준다. 이를 통해 보다 효과적으로 보안을 강화하고, 공격 표면을 체계적으로 관리하여 침해 사고를 예방할 수 있다.

Criminal IP ASM의 다른 활용사례와 관련하여 사이버 자산 노출 탐지: Criminal IP ASM 활용사례 (2)을 참고할 수 있다.

---

이 리포트는 사이버위협인텔리전스 검색엔진 Criminal IP의 데이터를 바탕으로 작성되었습니다. 지금 바로 Criminal IP 무료 계정을 생성해 리포트에 인용된 검색 결과를 직접 검색하세요.
Criminal IP를 통해 더 많은 위협 인텔리전스에 접근할 수 있습니다.

데이터 출처: Criminal IP(https://www.criminalip.io/ko)

관련 글:

사이버 자산 노출 탐지: Criminal IP ASM 활용사례 (2)