사용 중인 VPN은 얼마나 안전한가요?

늘 중요하게 여겨져 온 가상 사설망(VPN) 보안은 현재의 코로나19 팬데믹 상황에서 이제 필수적인 요소가 되었습니다. 원격 근무가 빠르게 새로운 일상으로 자리 잡으면서 VPN 기능에 대한 수요도 급증했습니다. 안타깝게도, 예상할 수 있었던 일이지만 VPN을 겨냥한 공격 역시 크게 증가했습니다. 이러한 상황의 심각성을 보여주듯, 지난 3월 미국 국토안보부 산하 사이버보안 및 인프라 보안국(CISA)은 기업용 VPN 보안에 관한 경보 AA20-073A를 발표했습니다.

본질적으로 VPN은 기업 네트워크의 경계를 확장하여 사용자가 어디서든 기업 애플리케이션에 액세스할 수 있도록 합니다. 온프레미스 인프라는 사실상 사용자 기기에서 ‘한 단계’(또는 클릭 한 번) 거리에 놓이게 됩니다. 마찬가지로 기업 자산에 대한 보안 위험도 한 단계 거리로 가까워집니다. 이제 공격자는 정교한 다계층 경계 보안(프록시, WAF, 침입 탐지 등)을 뚫을 필요 없이, 단 하나의 취약점이나 안전하지 않게 구현된 VPN만으로도 기업 자산과 개인 정보를 노출시킬 수 있습니다.

이 글에서는 VPN의 보안을 평가할 때 반드시 살펴봐야 할 몇 가지 핵심 영역에 중점을 두겠습니다.

엔드포인트 보안 상태

사용자는 일반적으로 데스크톱, 노트북, 모바일 기기 등의 엔드포인트 장치에서 SSL VPN 터널을 시작합니다. 이러한 엔드포인트는 진입점인 동시에 이를 공격 경로로 악용하려는 악의적 행위자의 주요 표적이 됩니다. 따라서 VPN 터널을 설정하기 전에 항상 엔드포인트가 안전한지 확인하는 것이 중요합니다. 엔드포인트 보안은 클라이언트 장치에 네트워크 원격 액세스 연결을 허용하기 전에 해당 장치가 보안 위험을 초래하지 않는지 확인하기 위한 전략적 접근 방식입니다. 이러한 전략에는 클라이언트 시스템 인증서의 체계적인 검증, 클라이언트 유형 및/또는 클라이언트 브라우저 버전 확인, 안티스파이웨어 및 바이러스 백신 소프트웨어의 패치 상태 확인, 클라이언트 방화벽 규칙 검사 등이 포함될 수 있습니다.

엔드포인트 보안 상태 평가는 일반적으로 VPN 터널을 설정하기 전인 세션 시작 시 수행되지만, 사용자의 VPN 세션 중에 주기적으로 수행될 수도 있습니다. 지속적인 엔드포인트 보안 상태 평가는 최초 VPN 터널이 설정된 후 엔드포인트가 침해되지 않았는지 확인하여 이후 발생할 수 있는 위험을 완화합니다.

사용자 인증 및 권한 부여

인증은 VPN 터널을 설정하기 전에 사용자의 신원을 확인하는 과정입니다. 원격 근무자의 자격 증명을 확인하면 적법한 사용자만 내부 리소스와 애플리케이션에 액세스할 수 있습니다.

하지만 크리덴셜 스터핑과 계정 탈취(ATO) 수법이 증가하면서 공격자가 유효한 사용자 자격 증명을 확보해 단일 요소 인증을 우회할 가능성이 있습니다. 따라서 VPN에 다단계 인증을 구현하는 것이 필수적입니다.

다단계 인증(MFA)

MFA는 VPN 터널을 설정하기 전에 사용자에게 검증 가능한 인증 요소를 두 가지 이상 제공하도록 요구하여 보안을 강화합니다. 업계 추정치에 따르면, 이러한 방식으로 MFA는 계정 탈취(ATO) 공격의 99.9%를 효과적으로 차단할 수 있습니다. 일반적인 인증 요소는 다음과 같습니다:

• 사용자가 알고 있는 정보, 예를 들어 비밀번호, PIN 또는 터치패드 제스처
• 사용자가 소유한 것, 예를 들어 물리적 또는 소프트웨어 토큰이나 인증서
• 사용자 본인의 생체적 특성, 즉 지문, 망막 스캔, 얼굴 또는 음성 인식과 같은 생체 인식 정보

사용자 인증이 완료되면 권한 부여 정책이 사용자의 권한 집합을 평가하여 내부 리소스와 애플리케이션에 대한 특정 액세스를 허용하고 적절한 제한을 적용합니다. 액세스 권한은 역할 기반 액세스 제어(RBAC)와 같은 다양한 권한 모델을 사용하여 부여됩니다. VPN 터널을 설정할 때 ACL과 같은 추가 보안 제어를 구현하여 VPN 사용자에게 특정 권한과 기본 설정을 적용할 수 있습니다.

데이터 기밀성 및 무결성

암호화는 기업 데이터가 VPN 터널을 통해 공유 또는 공용 네트워크로 전송될 때 데이터의 기밀성과 무결성을 보장합니다.

악의적인 공격자는 기밀 데이터를 노출하기 위해 개인 키 탈취, 암호화 구현의 알려진 취약점 악용 또는 취약한 암호화 매개변수 해독을 시도할 수 있습니다.

SSL VPN을 구성할 때는 키 교환 관리와 암호화 알고리즘의 강도를 고려해야 합니다. TLS1.3 이전 버전에는 프로토콜 정의와 구현에 알려진 결함이 있습니다. 그 밖의 공격 방식으로는 클라이언트 재협상 악용과 RC4 스트림 암호 및 수출용 등급 암호와 같은 취약한 암호화 기본 요소의 사용이 있습니다.

VPN에 대한 DDoS 공격

직원 대부분 또는 전원이 원격으로 근무하는 경우, VPN 서버(때로는 VPN 집중 장치라고도 함)의 가용성 역시 비즈니스 연속성에 매우 중요해집니다. 반면 VPN 서버는 무작위로 분산된 자동 요청을 대량으로 보내 서버를 과부하시키려는 악의적 공격자들의 주요 표적이 될 수 있으며, 이로 인해 정상적인 사용자가 VPN을 이용하지 못하게 될 수 있습니다.

SSL VPN은 IP 주소/URL을 통해 액세스할 수 있으므로(웹 브라우저에서 접속하거나 VPN 클라이언트에 구성), HTTP 플러드, SSL 플러드, SSL 재협상, TCP 혼합 공격 등 웹 서버를 표적으로 삼는 것과 동일한 DDoS 공격 패턴에 취약합니다.

따라서 VPN을 통한 비즈니스 연속성을 보장하려면, 보다 광범위한 보안 전략의 일환으로 DDoS 공격을 탐지하고 완화하도록 VPN을 구성하는 것이 필수적일 수 있습니다.

추가 자료:

• 안전한 VPN 액세스를 위한 BIG-APM 사용
• 코로나19 시대의 비즈니스 연속성