쉘 쇼크(Shell Shock)의 위험성과 진단코드

IBM에 따르면, 지난 달 24일 취약점 관련 발표가 나온 후 배쉬 쉘(Bash Shell)을 향한 공격이 급증했고, 같은 달 27일엔 쉘 쇼크 취약점을 이용한 사이버공격이 전세계적으로 1000% 증가했다고 합니다. 보안전문가들은 이 취약점에 대해 지난 4월 발견된 오픈 SSL의 ‘하트 블리드’ 취약점보다 더 심각한 사안이라고 평가하고 있는데 그 이유는 MS 윈도우 계열을 제외한 대부분의 OS들이 이 취약점에 노출된 만큼 세계 각국 IT 관련 시스템이 해커에게 장악될 위험에 처했다는데 있습니다.

더 큰 문제는 이 취약점이 이미 20년전부터 존재해왔다는 점으로 오랜 기간 해커들 사이에서 암암리에 악용됐을 수 있다는 추측이 가능하고, 20년 동안 백도어가 기업들 시스템에 숨어 있었을 수도 있습니다.

IBM 소프트웨어그룹 시큐리티 전문위원은 “쉘 쇼크에 대응하는 고객의 방식이 단순히 외부에 노출되는 웹써비스 써버에 대한 OS 패치 중심으로 이뤄지고 있다”며 “공격 패턴을 보면 웹 써버 외에 오픈소스 이메일 써버나 써비스 제공 업체 프록시 써버, 심지어 VPN 써버까지 공격대상이다”라고 우려를 표했습니다.

그는 또 “외부 접근이 격리된 내부 서버라고 해서 마음 놓을 게 아니라, 어떤 형태든 뚫고 들어가면 내부에서 활용할 수 있는 취약점이기 때문에 우선순위는 뒤로 두더라도 대응은 반드시 해야 한다”고 지적했는데 배쉬 쉘의 취약점은 어떤 지점에서 드러날지 파악하기가 어렵다는 것도 문제다.

이 위원은 “웹 써버 몇 개 정도는 관리자가 쉽게 인지하고 있지만, 외부에서 기업 IT 시스템으로 유입되는 모든 경로를 파악한 고객이 없다”며 “회사 인프라 자산관리가 잘 돼 있지 않으면 어디서 언제 뚫리는지 알 수 없다”고 설명했다. 또  “회사 IT 인프라에서 어떤 일이 일어나고 있는지, 취약점에 대한 지속적인 관리가 필요하며, 우선 맨 앞단의 IPS, IDS로 방어하면서 시간을 벌고, 그 사이 근본적인 우려해소를 진행해야 한다”고 조언했습니다.

“유닉스 장비는 물론 리눅스에 기반한 모든 어플라이언스 형태의 장비가 쉘 쇼크에 다 취약하다”며 “써버는 진단 코드를 입력해 찾으면 되는데, 네트워크나 VPN 같은 어플라이언스 장비는 진단코드 입력이 어려울 수 있으니 회사 웹 싸이트에서 해당 정보를 찾아 해결해야 한다”고 설명했습니다.

IBM은 미연의 사태를 근본적으로 방지하려면 IPS나 IDS 단계에서 공격을 막고, 시스템 자산관리 체계를 공고히 구축해야 한다고 강조하고 있으며 전문위원은 “IPS의 버추얼 패치 기능을 이용해 해당 배쉬 쉘 취약점에 대해 룰 업데이트를 하고, 뒷단의 관련 써버를 찾아 패치하는 게 중요하다”며 “IBM의 경우 7년 전부터 IPS, IDS에서 배시 셸을 노린 공격 패턴을 카테고리로 분류해 보호하고 있었다”고 했습니다.

또 “배쉬 쉘 쇼크나 오픈 SSL 하트 블리드 사건은 시스템 인프라 기반의 서플라이 체인 자체에서 신뢰가 흔들리는 것”이라며 “인프라 자체, 혹은 비즈니스 보안을 어떻게 잘 지켜야 하는가에 대한 많은 연구 협력이 필요한 시기”라고 덧붙이며 “배쉬 쉘 이후 제3의 취약점이 있을 지 모르는 상황에서, 새 취약점에 대해 대응하기 위한 시스템 전반을 아우르는 기초 보안 체계를 탄탄히 구축해야 한다"고 거듭 강조했습니다.

쉘 쇼크의 무서운 점은 끝을 알 수 없다는 것입니다. 코드 상에 존재하는 것이므로 변종이 계속 나오고, 원포인트로 조치해 완벽히 제거할 수 있는 취약점이 아니란 얘기. 애플이 최근 맥 OS X 쉘 쇼크 패치를 발표하면서 ‘완전한 해결은 아니다’라고 밝힌 것도 이런 맥락입니다.

맨 처음 발견된 배시 셸 취약점은 3개였지만 현재는 7개로 늘었습니다. 계속 변종 공격이 만들어지고 발견되면, OS회사들은 그때그때 끊임없이 새로운 패치를 내놔야하고, 사용자들도 그때마다 새 패치를 설치해야 합니다. 보안 담당자가 긴장의 끈을 놓는 순간 외부 위협에 노출될 수 있습니다.

기업 보안 담당자는 일단 현재 기업에서 사용하는 시스템 장비가 셸쇼크 취약점에 노출됐는지 확인해야 하고, 취약점에 노출된 장비를 찾아내 패치도 설치해야 합니다. 패치를 다 설치한 뒤엔 시스템 공급사에서 보내는 보안알림메일을 수시로 확인하면서, 상황을 지속적으로 주시할 필요도 있습니다. 사내 시스템별 공급사 홈페이지를 방문해 어떤 장비가 셸쇼크에 관련되는 지 확인하는 것도 필요한데 장비 스캔은 어렵지 않아서 다음 명령어 코드 한문단만 입력하면 패치대상 장비를 찾을 수 있습니다.

원문출처 - http://www.zdnet.co.kr/news/news_view.asp?artice_id=20141010101554