구형 VPN 퇴출 및 제로트러스트 전환 촉구
연방기관 원격접속 보안체계 전면 개편 제안

[보안뉴스 김형근 기자] 러시아와 중국 해커들이 구형 가상사설망(VPN)의 취약점을 악용해 미국 연방기관 네트워크를 공격한 사례가 잇따르면서, 미국 정부가 노후 원격접속 시스템을 전면 퇴출해야 한다는 주장이 상원에서 제기됐다.


론 와이든(Ron Wyden) 미국 상원의원은 구형 VPN이 러시아와 중국 등 해외 해커들의 주요 침투 경로로 악용되고 있다며, 이러한 인터넷 노출형 원격접속 시스템을 단계적으로 폐기해야 한다고 촉구했다.

와이든 의원은 이 같은 내용을 담은 공식 서한을 미국 사이버보안 및 인프라 보안국(CISA), 관리예산처(OMB), 국립표준기술연구소(NIST)에 전달했다.

의원은 최근 시스코(Cisco), 포티넷(Fortinet), 이반티(Ivanti), 체크포인트(Check Point) 등의 VPN 및 원격접속 장비가 공격 대상이 됐다고 지적했다. 공격자들은 인터넷에 노출된 VPN 진입점을 스캔해 관리자 권한을 획득한 뒤 정부기관과 기업의 민감한 데이터를 탈취한 것으로 알려졌다.

반면 최신 원격접속 솔루션은 서버를 외부에 노출하지 않은 상태에서 사용자에게 안전한 접속을 제공해 이 같은 공격 위험을 크게 줄일 수 있다고 설명했다.

와이든 의원은 CISA에 2년 이내 민간 연방기관에서 사용 중인 구형 원격접속 시스템을 모두 제거하고 제로트러스트(Zero Trust) 아키텍처로 전환할 것을 요구했다. 또한 국가안보국(NSA)에는 군과 정보기관을 포함한 국가안보 네트워크 전반에서 구형 원격접속 게이트웨이와 네트워크 경계 진입 지점을 전면 폐기하도록 지시할 것을 촉구했다.

아울러 국립표준기술연구소(NIST)에는 연방기관의 제로트러스트 전환을 위한 구현 기준을 마련하고, 관리예산처(OMB)에는 연방기관의 제로트러스트 인프라 투자를 의무화하는 지침을 수립할 것을 요청했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>