[서울=뉴시스]박은비 기자 = 최근 심각한 결함이 드러난 프로그래밍 언어 'PHP'와 관련해 외부에 노출된 웹서버보다 회사 내부망에 숨어있는 장비의 보안 위협이 훨씬 더 심각하다는 실측 경고가 나왔다.

인터넷 접점이나 기업 내부망에 연결된 네트워크 저장장치(NAS), 공유기 등 네트워크 장비, 방화벽 등이 사이버 공격 다음 타깃이 될 가능성이 높다는 지적이다.

30일 인공지능(AI) 보안 통합 플랫폼 기업 지니언스에 따르면, 클라우드 기반 네트워크 접근제어(NAC) 플랫폼의 장비 식별 데이터 분석 결과 내부망에서 PHP 환경을 구동 중인 장비 중 96%가 PHP투셸(2Shell)이라고 불리는 취약점에 직접 노출된 것으로 확인됐다.

현재 대다수 기업과 기관의 보안 조치는 취약점 진단 엔진이나 외부 스캔을 통해 식별된 공용 웹서버 중심의 패치 권고에 머물러 있는 상태다. 하지만 공격자들의 침투 경로가 이미 웹서버를 넘어 내부망의 NAS, 공유기, 보안 장비로 이동하고 있다.

◆취약 장비 중 78%, 보안 업데이트 안 되는 PHP 8.1 이하 버전

취약 장비 중 78%는 PHP 공식 지원이 중단된 8.1 이하 구버전이었고, 2018년에 지원이 종료된 5.x 이하 버전을 구동 중인 장비도 48%에 달했다.

구체적으로 살펴보면 전통 서버는 24% 수준이었다. 폐쇄회로(CC)TV·영상저장장치, 보안 솔루션(20%), 사물인터넷(IoT) 기기(17%), 장비 유형조차 식별되지 않은 미확인 자산(27%) 등 보안 관리 사각지대에 놓인 기기가 대다수를 차지했다.

특히 확인된 장비의 89%는 외부 인터넷 검색엔진 스캐너로는 접근이 불가능한 사설 내부망(IP) 대역에 존재했다. 관리자가 해당 장비 내부에 PHP가 탑재돼 있다는 사실 자체를 알지 못해 장기간 방치되는 구조적 문제를 안고 있는 셈이다.

실제로 PHP투셸은 지난 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 공식 등재되면서 실제 악용이 확인됐다. 특히 공격자들은 외부에서 보이지 않는 내부 시설 IP 대역의 취약 장비를 장악한 뒤 이를 내부 침투 확산 교두보로 삼거나 랜섬웨어를 유포하는 방식을 취하고 있다.

국내에서도 취약한 저장장치 기기를 노린 랜섬웨어 감염 피해가 연이어 보고되는 등 위험이 구체화되고 있다. 이번 경고는 단순한 보안 예측이나 원론적 권고가 아닌, 지니언스가 실제 기업 고객 환경에서 축적·운영 중인 실측 데이터를 분석한 결과를 바탕으로 이뤄졌다.

◆"전체 자산 식별 선행 시급…구형 장비는 접근 차단해야"

지니언스는 외부에서 IP를 일일이 수동 대입하는 방식으로는 내부망 사각지대를 찾아낼 수 없기 때문에 내부망 전체 자산의 정확한 가시성 확보(식별)가 선행돼야 한다고 강조했다.

아울러 자산 식별 기술을 에이전틱 AI 기반으로 고도화해 차세대 자산 및 위협 인텔리전스 플랫폼으로 개발 중이다. 플랫폼 핵심인 사이버 자산 공격표면 관리(CAASM)은 내부 IT 자산을 실시간으로 파악하고 통합 관리하는 사이버 보안 기술 및 전략이다.

이를 통해 고객 자산 중 외부 스캔으로 파악하기 힘든 내부망 공격 표면의 사각지대를 해소하고, 기업·기관이 직면한 사이버 위협을 선제적으로 예방·차단하는데 총력을 기울인다는 방침이다.

김계연 지니언스 미국법인장·최고기술책임자(CTO)는 "내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다"며 "특히 제조사 지원이 종료돼 공식 패치가 없는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적"이라고 설명했다.


◎공감언론 뉴시스 silverline@newsis.com