악성코드 공격에 도미노 감염..구멍 '숭숭' 중소기업 보안

KISA 작년 중소기업 300곳 점검 결과, 유무선 공유기·클라우드 등 6대 취약점 확인

임종철 디자이너 /사진=임종철 디자이너

지난해 KISA(한국인터넷진흥원)가 중소기업 300곳에 대한 보안취약 요소 점검을 실시한 결과 95% 이상 기업들의 유무선 공유기 보호대책이 미흡하다는 평가를 받았다.

KISA는 지난해 원격근무, 의료, 쇼핑 등 비대면 서비스를 개발·운영하는 중소기업 300곳에 대해 보안점검을 실시한 결과를 최근 '비대면 서비스 개발·운영 환경 주요 보안 취약 사례별 대응방안' 보고서에 담았다.

보고서는 △네트워크 △유무선 공유기 △클라우드 △서버 △데이터베이스 △업무용 PC 등 6개 분야에서 확인된 보안 취약 요소들을 정리했다.

━

98%가 무선랜 운영, 95% 이상이 미흡

━

보고서에 따르면 조사대상 기업의 98%가 회의실에서의 노트북 사용 등 이유로 업무망 내에서 무선랜을 운영하고 있지만 95.2% 기업들이 미흡한 보호대책만 가지고 있었다.

무선랜은 비콘(Beacon)이라는 무선신호를 발생시켜 건물 상·하층이나 공용 복도에서 사내 네트워크를 식별해 접속할 수 있도록 한다. 네트워크 접속의 편의성을 증가시켜주는 반면 물리적으로 사무실에 침입하지 않더라도 외부에서 사내 네트워크에 침투할 수 있다는 얘기다.

KISA는 "무선랜에 패스워드를 적용했지만 관리 편의성을 위해 (1q2w3e 등) 단순 반복 문자열과 같이 쉽게 유추가 가능한 패스워드를 사용하는 사례가 확인됐다"며 "인가된 사용자만이 무선 네트워크에 접속할 수 있도록 패스워드를 설정해 인증절차를 추가해야 한다"고 당부했다.

또 "업무망에서 무선랜을 운영하는 경우 방화벽 우회, 업무망으로의 직접 침입 등 수단이 될 수 있어 무선랜은 회의실 사용이나 게스트 제공 등을 목적으로만 활용하고 업무망과 분리해 별도 운영할 것을 권고한다"며 "무선랜을 도입할 때 관리자 페이지 초기 인증정보 변경, 불필요한 서비스 비활성화, 최신 펌 업데이트, 보안설정 적용 등을 해야 한다"고 했다.

KISA 보고서 캡쳐

━

네트워크 분리운영 미흡, 클라우드 보안 취약

━

네트워크 보안과 관련해서도 '주요 시스템의 분리 운영이 미흡하다'고 평가받은 곳이 53.1%에 달했고 '네트워크 영역간 접근통제가 미흡하다'고 지적된 곳이 90.9%에 이르렀다.

KISA는 "웹서비스와 DB(데이터베이스)와 같은 중요 서비스를 하나의 서버에서 운영하는 경우 특정 서비스의 장애 및 공격으로 인한 서버 중단이 다른 서비스에까지 영향을 미칠 수 있다"고 했다. 또 "서버는 목적 및 서비스에 따라 분리운영해야 한다"며 "네트워크를 분리하면 악성코드가 감염됐을 때 다른 네트워크로 피해가 확산되는 것을 방지할 수 있다"고 했다.

다수 기업들이 클라우드 환경을 도입하고 있지만 적절한 보안 대책을 마련하지 않는다는 점도 지적됐다.

점검 대상 기업 중 63%가 클라우드 환경을 이용하고 있지만 관리자 계정관리나 권한 검토와 관련해 취약하다는 평가를 받은 곳이 90.9%에 이르렀다. 사용자 계정 없이 관리자 계정만 사용하거나 사용자 계정을 공용으로 사용하는 등 계정관리가 미흡했다는 것이다. MFA(다중보안기능)과 같은 강화된 인증절차 없이 아이디와 비밀번호만으로 인증하는 사례도 다수 확인됐다.

KISA 보고서 캡쳐

━

98%가 서버 관련 인증·세션관리 미흡

━

온라인으로 서비스를 제공하는 서버와 관련해 '안전한 인증 및 세션관리 미흡' 평가를 받은 곳도 97.8%에 달했다. 관리자 계정 최소사용 및 권한 검토와 관련해 미흡하다는 평가를 받은 곳도 85.7%에 이르렀다. 하나의 계정을 여러 사용자가 공유해 사용하거나 퇴사자의 계정이 그대로 남아있는 경우도 있었다.

데이터베이스와 관련해서도 로그관리가 미흡한 곳이 92.2%, 계정관리가 미흡한 곳이 68.9%에 이르렀다. 업무용 PC와 관련해서도 패스워드 관리나 불필요한 서비스 관리 등 부문에서 다수의 미흡한 사례들이 꼽혔다.

KISA는 "각 기업들은 시스템 운영 환경과 보안 관리 수준을 면밀히 살펴보고 보안 취약점을 점검하고 조치하는 것이 필요하다"며 "기업에서 보유한 서버, 데이터베이스 등 중요 자산을 식별하고 위협 요소를 분석한 뒤, 위협 요소를 해결하기 위한 대응방안을 강구하는 활동을 지속적으로 반복하며 위험 관리해야 하고 식별 및 관리되지 않아 방치된 자산은 취약점 공격 및 해킹 공격의 주요 접점이 될 수 있다"고 했다.

또 "취약 사례 중 일부는 단기간 조치할 수 있는 항목도 존재하므로 보안에 조금만 관심을 가져도 대응이 가능하다"며 "지속적인 위험 관리를 위해서는 보안 전담 인력 및 예산 투자가 이루어져야 하나 중소·영세기업에서는 단기간 내에 추진하기 어렵기 때문에 중장기 계획을 수립할 필요가 있다"고 당부했다.

[관련기사]☞ 정형돈 "출산 앞둔 아내 목 졸랐다"…쿠바드 증후군 고백☞ 최여진 "5년 만났는데 결혼 피하니 이별…아무 일 없었는데"☞ '이휘재♥' 문정원, 먹튀 논란 후 19개월만 SNS…의미심장 글☞ '43세' 손호영, 간절한 결혼…"자리 잡은 누나도 상관 없어"☞ 결혼 알린 고우리…"2022년 결혼운" 과거 사주 분석 '눈길'

황국상 기자 gshwang@mt.co.kr

<저작권자 ⓒ '돈이 보이는 리얼타임 뉴스' 머니투데이, 무단전재 및 재배포 금지>