패치 쉽게 되지 않는 문제, 사용자 탓만 할 수 없어
패치할 때 누릴 수 있는 혜택 많아...보안의 기본이자 첫 단추

[보안뉴스 문가용 기자] 오래되고 낡은 OS와 소프트웨어를 사용함으로써 필요 이상의 위험에 스스로를 노출시키는 기업들이 많다고 듀오 시큐리티(Duo Security)가 발표했다. 기업에서 사용하고 있는 엔드포인트 4백 6십만 대와 모바일 전화기 3백 5십만 대를 조사, 분석한 후에 나온 결론이다.


듀오 시큐리티에서 중점적으로 확인한 것은 1) 데스크톱의 경우 OS 버전, 브라우저 버전, 플러그인 종류 등이었고 2) 모바일 기기의 경우 위의 것들에 더해 풀 디스크 암호화 적용 여부, 화면 잠금 옵션 여부, 지문 인증 옵션 사용 여부였다. 그 결과 많은 기업들이 예전 버전을 고집하고 있으며, 그래서 윈도우 10, 안드로이드 7, 어도비 플래시, 자바 최신 버전들이 사용자들에게 제공하는 보안 기능을 누리지 못하고 있는 것으로 나타났다.

듀오 시큐리티의 R&D 책임자인 카일 레이디(Kyle Lady)는 “이게 다 보안 업계가 사용자에게 책임을 돌리기에 급급했기 때문”이라고 주장한다. “패치와 버전 업은 생태계 전체의 문제입니다. 누군가에게 패치를 하냐 마냐의 선택권을 주는 ‘생태계’에 있기 때문에 패치가 안 되는 겁니다. 패치가 쉽게 되도록 환경 자체를 구성해야죠. 그 점에 대해서는 사실 대부분 간과하고 있습니다.”

예를 들면 윈도우 10이 나온 지 2년이나 지났는데도 듀오 시큐리티가 조사한 엔드포인트의 31%에만 해당 OS가 발견되었다. 59%의 기기에는 8년 전에 나온 윈도우 7이 설치되어 있었고, 7%의 기기는 윈도우 8.1에서 구동되고 있었다. 이보다 더한 사실도 있다. 13%의 기기들에서 MS의 지원이 끝난 인터넷 익스플로러 버전인 8, 9, 10이 발견된 것이다. 게다가 이렇게 유통기한이 지난 소프트웨어들 대부분 윈도우 7 환경에서 사용되고 있었다.

이게 다가 아니다. 플러그인 상태는 훨씬 더 끔찍했다. 지난 몇 년 동안 어도비 플래시가 그렇게나 악명을 드높였는데 패치 되지 않은 플래시 플러그인은 오히려 지난 1년 새 늘어났다. 2016년에 42%였던 것이 2017년엔 53%까지나 올라간 것이다. 인터넷 익스플로러용 플래시 버전들은 크롬용 플래시보다 오래된 것들이 훨씬 많았고, 21%의 엔드포인트에선 심지어 11개의 공개된 치명적 결함들이 내포된 자바들도 발견됐다. 6개의 공개된 치명적 결함을 내포한 자바가 설치도니 엔드포인트도 15%나 되었다.

모바일 영역의 경우 듀오 시큐리티가 조사한 안드로이드 기기들 중 27%가 안드로이드 7 버전을 사용하고 있었는데, 이는 가장 최신 버전이 맞다. 한편 아이폰 쪽에서는 73%가 iOS 10 혹은 상위 버전이 사용되고 있었는데, 이 역시 가장 최신 버전이다. 구글 측은 안드로이드 7 버전이 제대로 설치된 기기가 10도 되지 않을 것이라고 예측하고 있다. 오히려 듀오 시큐리티 측에서 조사해서 얻은 27%라는 결과가 이해가 가지 않을 정도로 높은 수준이다. 결국 패치에 대한 의식제고가 서서히 일어나고 있다는 뜻이다.

또, 10개 기기들 중 9개가 화면잠금 옵션이 활성화되어 있었고 암호로서만 푸는 게 가능했다. 터치 ID나 지문 인증 옵션을 활용하는 경우는 72%였다. 이러한 듀오 시큐리티의 연구 결과는 또 다른 보안 업체 어베스트(Avast)가 발표한 결과물과 대동소이하다. 어베스트는 수백만 대에 달하는 윈도우 데스크톱 및 랩톱을 전 세계적으로 조사했는데, 52%가 넘는 시스템에서 플래시, 자바, 파이어폭스 등 인기리에 사용되고 있는 소프트웨어가 업데이트 되지 않은 채 사용되고 있는 걸 발견했다. 어베스트는 업데이트가 기술적으로 문제를 가지고 있거나 사용자가 귀찮아 하거나, 둘 중 하나가 문제라고 꼬집었다.

이러한 흐름 때문에 공격자들이 구식 소프트웨어를 공격해도 원하는 성과를 거둘 수 있는 것이라고 어베스트는 강조하기도 했다. “낡은 소프트웨어를 사용하고도 아무렇지도 않은 기업이나 개인이 이렇게나 많다는 건 사이버 환경 전체를 위해서라도 매우 염려스러운 일입니다. 낡으면 낡은 것일수록 공격 방법이 훨씬 많거든요.”

소프트웨어 제조사들은 꽤나 자주 보안 패치를 세상에 내놓는다. 하지만 사용자나 사용자 기업들이 이를 꼼꼼하게 확인하지 않아 업그레이드가 나온 줄도 모르고 하던 일을 계속 하기 일쑤다. 윈도우 10이 좋은 예다. “마이크로소프트가 이전 버전에 없던 보안 기능을 새롭게 추가했는데, 이는 업데이트를 하는 자들에게만 허락된 기능이기도 하죠. 민감한 윈도우 요소의 격리, PC의 자동 스캐닝 등이 여기에 해당합니다. 심지어 앱콘테이너(AppContainer)라는 샌드박스 기능도 업그레이드 했습니다.”

이제 단순 ‘구멍 메꾸기’ 차원이 아니라 더 새로운 기능을 누리기 위해서라도 업데이트는 필수적인 요소가 돼버렸다고 레이디는 강조했다. “엔드포인트 보안의 제 1번 과정은 패치입니다. 누가 뭐래도 패치가 먼저에요.”
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>