월급날처럼 돌아오는 SAP 패치데이 — NetWeaver·Commerce Cloud 경고를 '방어자 체크리스트'로 바꾸는 법

이미지 출처: BleepingComputer

매달 둘째 주 화요일, SAP 관리자들의 달력에는 조용한 표시 하나가 찍혀 있음. 이른바 Security Patch Day. 이번에도 SAP는 NetWeaver와 Commerce Cloud를 겨냥한 여러 개의 심각(critical) 등급 결함을 공지하며 패치 노트를 쏟아냈음. 문제는, 이 경고가 기업 내부에서 '아, 또 왔네' 하는 배경음처럼 흘러가버린다는 데 있음. 정작 이 시스템들이 사내 재무·구매·전자상거래의 심장부라는 사실은 잊힌 채로 말임.

핵심 요약

• SAP가 NetWeaver·Commerce Cloud의 심각 등급 취약점 다수를 패치데이로 공지 — ERP·커머스 핵심 시스템이 대상임.
• 이런 결함은 주로 인증 우회·역직렬화·인젝션 계열로, 성공 시 원격 코드 실행이나 관리 권한 탈취로 이어질 수 있음.
• 방어의 본질은 '즉시 패치 + 노출면 축소 + 비정상 RFC/HTTP 호출 탐지'의 세 박자임.

왜 SAP 취약점은 유독 무겁게 다뤄야 하는가

일반 웹 취약점 하나와 SAP 취약점 하나는 무게가 다름. SAP NetWeaver는 ABAP·Java 애플리케이션이 올라가는 기반 플랫폼이고, 그 위에서 회계·인사·물류가 돌아감. Commerce Cloud는 고객이 직접 접속하는 전자상거래 프런트임. 즉 하나는 '금고실 바닥', 다른 하나는 '정문'인 셈임. 공격자가 이런 계층에서 코드 실행 권한을 얻으면 데이터 열람을 넘어 결제·주문·급여 흐름 자체를 건드릴 수 있게 됨.

이번 경고에서 반복되는 결함의 '족보'

SAP 패치데이 공지를 몇 번만 따라가다 보면 결함들이 몇 가지 유형으로 되풀이된다는 게 보임.

• 인증·권한 우회: 원래 로그인이 필요한 기능을 인증 없이, 혹은 낮은 권한으로 호출하게 되는 결함. 관리 기능이 외부에 노출됐을 때 특히 치명적임.
• 역직렬화(insecure deserialization): Java/ABAP 계층이 신뢰할 수 없는 데이터를 객체로 복원하는 과정에서 임의 코드가 실행되는 계열. NetWeaver류에서 반복적으로 등장하는 단골임.
• 인젝션·크로스사이트 스크립팅: Commerce Cloud처럼 사용자 입력을 받는 프런트에서 자주 나오는 유형으로, 세션 탈취나 화면 변조로 이어짐.

정확한 CVE 번호와 CVSS 점수는 SAP 공식 노트에서 각자 확인하는 게 맞음. 다만 방어자 입장에서 중요한 건 '몇 점짜리냐'보다 내 환경에서 이 결함이 어디로 노출되는가임.

패치가 최선이지만, 패치까지의 시간을 버티는 법

SAP는 다운타임 협의, 회귀 테스트 때문에 즉시 패치가 현실적으로 어려운 경우가 많음. 그래서 패치 전까지의 '틈'을 관리하는 게 실전임.

• 노출면부터 줄이기: NetWeaver 관리 포트·서비스가 인터넷에 그대로 열려 있지 않은지 점검. 인터넷 노출이 필요 없는 인터페이스는 방화벽·리버스 프록시 뒤로 넣음.
• 불필요한 서비스 비활성화: 안 쓰는 애플리케이션·서블릿·RFC 기능은 꺼두는 것만으로도 공격 표면이 크게 줄어듦.
• 가상 패치: WAF나 SAP 앞단 프록시에서 알려진 악성 요청 패턴을 차단해 임시로 시간을 버는 방법. 근본 해결은 아니지만 유효함.

탐지: '조용한 침입'을 소리 나게 만드는 지점

SAP 공격의 무서운 점은 정상 트래픽에 섞여 조용히 진행된다는 것임. 그래서 방어자는 '무엇이 정상인지'를 먼저 알아야 함. 개인적으로는 아래 신호부터 로깅·경보로 묶어두길 추천함.

• 평소 호출되지 않던 관리·설정용 경로나 RFC 함수 모듈이 갑자기 호출되는 경우.
• NetWeaver 계정 중 서비스 계정이 비정상 시간대·비정상 출발지 IP에서 인증되는 경우.
• 애플리케이션 서버에서 예기치 않은 프로세스 생성(쉘·스크립트 실행)이나 새 파일 드롭이 관측되는 경우 — 역직렬화 성공의 흔한 후속 신호임.
• Commerce Cloud 프런트에서 입력값에 스크립트·인코딩 패턴이 반복적으로 들어오는 경우.

SAP는 자체적으로 Security Audit Log와 SM20·SM21 같은 감사 도구를 제공함. 이걸 켜두기만 하고 아무도 안 보는 조직이 의외로 많은데, 이번 경고를 계기로 로그가 실제로 SIEM으로 흘러가고 있는지 한 번 확인해보길 권함.

오늘 당장 할 수 있는 것

거창한 프로젝트가 아니라 순서만 정하면 됨. 첫째, 이번 패치데이 노트에서 내가 쓰는 NetWeaver·Commerce Cloud 버전에 해당하는 항목만 골라냄. 둘째, 심각 등급부터 패치 일정에 올림. 셋째, 패치 전까지 노출면·감사로그·탐지 규칙을 손봄. SAP 보안은 화려한 신기술보다 이 지루한 반복을 빠뜨리지 않는 쪽이 결국 이김. 우리 다 같이 이번 달 패치데이는 '배경음'으로 흘려보내지 말아보아요. 사내에서 SAP 로그 보고 있는 분 계시면 댓글로 팁 나눠주세요.