침투 테스터들을 위한 각종 안내서 및 솔루션, 보안 개념 없어
온라인 해시 크래킹 서비스 사용 권유, FTP 세션 평문 전송...문제 심각

[보안뉴스 문가용] 보안전문가인 웨슬리 맥그루(Wesley McGrew)와 그 팀원들은 클라이언트의 네트워크를 검사하다가 이전의 침투 테스터가 남긴 것으로 보이는 미터프리터(Meterpreter) 쉘을 우연히 발견했다. “그 후로 비슷한 요소들을 몇 가지 더 발견했습니다. 아마 그 네트워크를 노리는 공격자라면 매우 유용한 발견이었을 겁니다.”


침투 테스트(모의 해킹)는 보안을 위한 것이지 보안에 위협이 되는 것이라고는 생각하지 않는 게 보통이다. 하지만 안전장치가 마련되지 않은 침투 테스트 혹은 위의 경우처럼 네트워크에 두고 나온 침투 테스트 장비는 공격자들에게는 ‘땡큐’를 외칠 일이 된다. 맥그루가 침투 테스트들의 위험성을 조사한 결과, 보안을 위한다는 이 행위가 얼마나 큰 구멍을 자주 만들어내는지가 드러났다.

맥그루는 침투 테스팅에 대한 보안성을 점검하기 위해 스내그터프리터(Snagterpreter)라는 툴을 자체 개발했다. 이 툴은 침투 테스터와 클라이언트 사이에 발생하는 트래픽을 하이재킹하거나 모니터링할 수 있게 해주는 것으로, 이를 통해 침투 테스트를 한창 진행하고 있는 침투 테스터가 얼마나 취약한 존재인지를 발견하게 해주었다고 맥그루는 설명한다. “침투 테스트 자체는 해킹과 매우 유사한 행위입니다. 당연히 보안조치를 다 취해놓은 상태에서 해야 하는 것이죠. 하지만 실상은 그렇지 않습니다. 그렇기 때문에 침투 테스터들의 ‘좋은 의도’가 오히려 공격자들에게 도움이 되는 겁니다.”

그렇다면 공격자들은 어떤 방식으로 침투 테스터들을 해킹하는 걸까? 맥그루는 먼저 침투 테스터들의 일반적인 행동들을 이해하기 위해 각종 침투 테스트 입문서부터 여러 가이드라인, 인기가 높은 툴 및 솔루션들을 조사했다. “하지만 기본적인 수준의 보안에 대해 설명해주는 건 찾기가 힘들었습니다. 책이든 솔루션이든 다 마찬가지였죠. 심지어는 해시를 크래킹해주는 온라인 서비스를 사용하라는 안내서도 있었고요, FTP 서비스를 평문 텍스트로 전송하는 예도 있었습니다. 암호화되지 않은 웹 쉘은 넘쳐났고, 인증이 되지 않은 넷캣(Netcat) 리스너를 클라이언트 기기에 설치하는 경우도 있었습니다. 테스터와 기기 사이의 C&C 통신이 평문으로 되어 있는 건 부지기수였고요.”

“온라인으로 해시를 크래킹한다는 건 매우 위험한 일입니다. 화면 너머에서 해시를 크래킹해주는 사람들이 누구인지 어떻게 압니까? 길 거리에서 누가 과자를 준다고 덥썩 집어먹겠습니까?” 맥그루의 설명이다. “FTP 세션을 평문으로 전송하고 넷캣 리스너를 인증과정 없이 설치한다는 건 중간자 공격을 가능하게 하는 통로가 됩니다. 침투 테스트를 진행하는 동안 클라이언트의 데이터가 실제로 위험에 노출되는 것이죠.”

어떤 책의 저자들은 침투 테스터들에게 토르(Tor)를 사용하라고 권하고 있다. “하지만 이것 역시 그다지 안전하지 않습니다. 토르 프록시를 누가 운영하고 있는지, 토르 출구 노드에 누가 있는지 전혀 알 수가 없으니까요. 토르라고 해서 무조건 안전이 보장되는 건 아닙니다. 토르가 범죄자들에게 더 인기가 높다는 걸 늘 염두에 두세요.”

그렇다면 누가 침투 테스터들을 주로 노릴까? “국가로부터 후원을 받는 해커 집단이나 그에 준하는 배경과 지원을 갖춘 팀들일 가능성이 높습니다.”

침투 테스터를 노리는 건 트로이목마를 심는 것보다 훨씬 효율이 높을 수도 있다고 맥그루는 설명한다. “가장 큰 이유는 침투 테스터의 행위인지 범죄 집단의 해킹 행위인지 구분이 매우 어렵기 때문입니다. 즉 침투 테스트 과정인 것처럼 눈속임을 할 수 있다는 것이죠. 침투 테스터가 오히려 그들의 가림막이 되어주는 겁니다.”

최악의 상황은 침투 테스트 상황 자체가 해킹당하는 것이 아니라 침투 테스터 개인이 해킹을 당해 ‘그 한 사람을 타고 여러 네트워크에 침입이 가능해지는 것’이다. “침투 테스터가 보통은 한 회사만 담당하지 않거든요. 여러 회사에서 의뢰를 받고, 의뢰가 있던 곳을 돌아다니면서 시험하죠. 즉 한 사람만 해킹하면 여러 네트워크에 잠입할 수 있는 겁니다. 이는 무시할 수 없는 위협입니다.”

아직까지 침투 테스터 자체가 해킹되어 공격에 악용되었다는 예는 세상에 공개된 바가 없다. “하지만 그런 일이 실제로 발생한다고 해서 우리가 알아낼 방도가 있는 것도 아닙니다. 보도가 없다고 해서 세상에 존재하지 않는다고 볼 수는 없는 겁니다.”

그렇다면 이런 일을 어떻게 방지해야 할까? 침투 테스트 전에 반드시 필요한 안전장치란 무엇일까? “메타스플로잇(metaspoloit)이 좋은 예입니다. 미터프리터의 기능 중 하나인 파라노이드 모드(paranoid mode)를 제공하는데요, 파라노이드 모드는 집착증 모드 혹은 편집광 모드라는 이름 그대로 페이로드에 대한 환경설정을 매우 까다롭게 할 수 있게 해줍니다. 이를 통해 공격자들이 침투 테스터의 어깨너머로 페이로드를 훔쳐보거나 슬쩍 가져가지 못하게 할 수 있습니다. 서버의 SSL 시그니처도 확인할 수 있고요.”

맥그루는 “침투 테스트를 할 때 VPN 환경에서만 한다”고 자신의 노하우도 공개했다. “VPN에서만 침투 테스트를 진행하기 때문에 일단 뭔가를 네트워크에 두고 오는 일은 없어집니다.”

하지만 침투 테스트를 위한 안전장치에 왕도란 존재하지 않는다. “중요한 건 ‘내가 어떤 방식으로 침투 테스트를 하는가’를 이해하는 겁니다. 그에 따라 안전을 위한 장치가 달라지죠. 내 침투 테스트 방식에 어떤 약점이 있고, 내가 해커라면 나 스스로를 이렇게 공격하겠다는 이해도도 반드시 필요합니다. 또한 암호화 기술의 사용은 침투 테스트 모든 과정의 기본이라는 것도 잊지 말아야 하고요.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>