조회수 12회
기업의 원격 모니터링·관리 도구(RMM)가 공격자에게 탈취되면 정상 관리자 작업처럼 보이는 침해가 내부망으로 빠르게 번질 수 있다. 한국인터넷진흥원(KISA)과 아·태침해사고대응팀협의회(APCERT)는 이 위험을 가정한 국제 공동 모의훈련을 실시했다.
20개국 25개 대응팀이 공격 경로 추적
훈련에는 아시아·태평양 20개국의 25개 침해사고 대응팀이 참여했다. 가상의 제조기업이 인터넷에 노출된 RMM 도구를 통해 침해당한 상황을 만들고, 참가팀이 디스크 이미지를 분석해 최초 진입점과 내부 확산 경로, 공격 흔적을 규명하는 방식으로 진행됐다.
RMM은 여러 PC와 서버를 원격에서 관리하는 합법적 도구다. 그러나 계정이 탈취되거나 관리 콘솔이 외부에 그대로 노출되면 악성 행위가 정상 원격지원 트래픽에 섞일 수 있다. 제조 현장은 업무망과 설비망이 연결된 경우 피해 범위가 커질 수 있어 접근 통제가 특히 중요하다.
기업 점검표
관리 콘솔의 인터넷 직접 노출을 줄이고 VPN·접근허용목록을 적용해야 한다. 관리자 계정에는 다중요소인증을 의무화하고, 사용하지 않는 계정과 오래된 에이전트를 삭제한다. 야간 원격접속, 대량 명령 실행, 새 관리자 생성, 보안도구 비활성화 기록을 경보 대상으로 두고 업무망과 생산망을 분리하는 것이 필요하다.
확인한 출처
함께 볼 기사
기사 원문에 대한 저작권은 각 출처에 있습니다.