운용시스템까지 접근 가능…국정원 이미 지난달 경고
`관리자 권한 획득이 이렇게 쉽게 가능할 수 있나?'
17일 업계에 따르면 최근 농협, 현대캐피탈 등 일련의 사건의 주요 통로로 지적된 관리자 권한 획득과 관련해 여러 가지 경로로 시도가 가능한 만큼 주의가 필요하다는 지적이다.
농협은 최근 전산장애와 관련해 그 원인으로 관리자 권한을 획득, 전산망 유지보수 협력업체의 노트북 PC를 통해 운용시스템과 주요 파일이 훼손됐다고 발표했다. 이에 업계에서는 운용시스템까지 접근 가능한 관리자 권한이 이렇게 쉽게 획득 가능하다는 점은 허술한 보안 체계를 단적으로 보여주는 사례라고 지적한다.
이미 정부는 이 같은 관리자 권한 탈취의 위험성에 대해 경고하는 등 주요 보안 사항 관리에 대해 철저히 유지하길 당부한 바 있다.
국가정보원은 지난달 주요 부처를 대상으로 `패치관리서버 운용시 보안관리 강화대책 관리요령'이라는 지침을 보내며 특히 관리자 권한 획득에 주의하길 당부했다.
국정원에 따르면, 관리자 권한 획득은 크게 SQL 인젝션 취약점을 통한 권한 획득, 인증 우회를 통한 관리자 권한 획득 등으로 나뉜다.
SQL인젝션은 정상적인 SQL(데이터베이스 접근 관리를 위해 고안된 컴퓨터 언어)문을 변조해 인증을 우회한 후, 데이터베이스(DB)열람, 시스템 명령 실행 등 임의의 SQL 명령문을 수행하는 공격을 말한다. SQL인젝션 공격이 가능하면 공격자는 DB서버의 관리자권한 획득, 해킹프로그램 설치 등 다양한 공격이 가능하다.
인증 우회 취약점이란 인증체계 설계 및 구현상의 오류를 이용해 정상적인 인증 과정을 거치지 않고 관리자 권한을 획득하는 것으로, 패치 서버와 PC간 인증 기능이 없거나 유효성을 검증하지 않아 발생한다.
국정원은 이 같은 관리자 권한 획득 위험으로부터 벗어나기 위해서는 우선 DB와 연동되는 모든 명령문 인자들에 대해 SQL인젝션 공격 방어가 가능하도록 문자열 필터링을 수행해야한다고 당부했다. 또 로그인하는 과정에서 아이디, 비밀번호 등으로 정상사용자 여부를 인증한 후 인증된 통신세션을 지속적으로 유지해야 한다고 덧붙였다.
보안업계 관계자는 "웹 취약점을 이용한 공격, 내부 직원을 통한 악성코드 삽입 등 다양한 방법을 통해 관리자 권한을 획득할 수 있다"며 "기업들이 이번 기회에 기술적, 관리적 보안을 통해 관리자 권한이 잘 지켜지고 있는지 점검할 필요가 있다"고 말했다.
김지선기자 dubs45@
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
17일 업계에 따르면 최근 농협, 현대캐피탈 등 일련의 사건의 주요 통로로 지적된 관리자 권한 획득과 관련해 여러 가지 경로로 시도가 가능한 만큼 주의가 필요하다는 지적이다.
농협은 최근 전산장애와 관련해 그 원인으로 관리자 권한을 획득, 전산망 유지보수 협력업체의 노트북 PC를 통해 운용시스템과 주요 파일이 훼손됐다고 발표했다. 이에 업계에서는 운용시스템까지 접근 가능한 관리자 권한이 이렇게 쉽게 획득 가능하다는 점은 허술한 보안 체계를 단적으로 보여주는 사례라고 지적한다.
이미 정부는 이 같은 관리자 권한 탈취의 위험성에 대해 경고하는 등 주요 보안 사항 관리에 대해 철저히 유지하길 당부한 바 있다.
국가정보원은 지난달 주요 부처를 대상으로 `패치관리서버 운용시 보안관리 강화대책 관리요령'이라는 지침을 보내며 특히 관리자 권한 획득에 주의하길 당부했다.
국정원에 따르면, 관리자 권한 획득은 크게 SQL 인젝션 취약점을 통한 권한 획득, 인증 우회를 통한 관리자 권한 획득 등으로 나뉜다.
SQL인젝션은 정상적인 SQL(데이터베이스 접근 관리를 위해 고안된 컴퓨터 언어)문을 변조해 인증을 우회한 후, 데이터베이스(DB)열람, 시스템 명령 실행 등 임의의 SQL 명령문을 수행하는 공격을 말한다. SQL인젝션 공격이 가능하면 공격자는 DB서버의 관리자권한 획득, 해킹프로그램 설치 등 다양한 공격이 가능하다.
인증 우회 취약점이란 인증체계 설계 및 구현상의 오류를 이용해 정상적인 인증 과정을 거치지 않고 관리자 권한을 획득하는 것으로, 패치 서버와 PC간 인증 기능이 없거나 유효성을 검증하지 않아 발생한다.
국정원은 이 같은 관리자 권한 획득 위험으로부터 벗어나기 위해서는 우선 DB와 연동되는 모든 명령문 인자들에 대해 SQL인젝션 공격 방어가 가능하도록 문자열 필터링을 수행해야한다고 당부했다. 또 로그인하는 과정에서 아이디, 비밀번호 등으로 정상사용자 여부를 인증한 후 인증된 통신세션을 지속적으로 유지해야 한다고 덧붙였다.
보안업계 관계자는 "웹 취약점을 이용한 공격, 내부 직원을 통한 악성코드 삽입 등 다양한 방법을 통해 관리자 권한을 획득할 수 있다"며 "기업들이 이번 기회에 기술적, 관리적 보안을 통해 관리자 권한이 잘 지켜지고 있는지 점검할 필요가 있다"고 말했다.
김지선기자 dubs45@
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
