서버실 한구석 변환기가 공격자의 첫 발판이 되기까지 — EDS5000 실착취 경보 읽는 법

이미지 출처: The Hacker News

공장 제어반 옆, 배전반 아래, 병원 검사실 캐비닛 안. 시리얼 케이블을 랜선으로 바꿔주는 손바닥만 한 장비 하나가 거기 박혀 있다. 누가 언제 설치했는지 아무도 기억하지 못하고, 펌웨어를 마지막으로 올린 게 몇 년 전인지도 모른다. Lantronix EDS5000이 딱 그런 물건이다. 그리고 이번에 미국 사이버보안기관(CISA)이 내놓은 메시지는 단순하다 — 이 결함이 더 이상 보고서 속 가능성이 아니라, 지금 실제로 악용되고 있다는 것이다.

핵심 요약

• EDS5000은 시리얼 장비를 네트워크에 붙여주는 디바이스 서버로, 산업·의료·건물자동화 현장에 '설치 후 방치'된 채 많이 깔려 있음.
• 관리 웹 인터페이스의 코드 인젝션 계열 결함이 실제 공격에 사용 중이라는 경고가 나왔고, 핵심 위험은 장비 자체보다 그 뒤에 연결된 OT 망 전체임.
• 방어의 출발점은 화려한 탐지룰이 아니라 '우리 망에 이 장비가 몇 대 있고 어디가 인터넷에 노출됐나'를 아는 자산 식별임.

왜 이런 작은 장비가 문제가 되나

EDS5000 같은 디바이스 서버의 역할은 통역이다. RS-232/485로만 말하는 옛날 장비 — PLC, 센서, 출입통제 컨트롤러, 계측기 — 를 TCP/IP 세상에 끼워 넣어준다. 문제는 이 통역사가 망의 안쪽 깊은 곳, 흔히 운영기술(OT) 망과 사무 망의 경계선에 앉아 있다는 점이다. 공격자 입장에서 이 장비를 손에 넣는다는 건 단순히 변환기 하나를 점거하는 게 아니라, 그 뒤에 매달린 제어 장비들로 가는 다리를 확보한다는 뜻이다.

이번 결함은 관리용 웹 인터페이스에서 입력값을 충분히 의심하지 않아 생긴 코드 인젝션 계열의 약점이다. 개념만 말하면, 정상적인 설정값처럼 보이는 입력 안에 장비가 그대로 실행해버리는 명령을 끼워 넣는 방식이다. 구체적인 페이로드를 옮길 이유는 없다. 방어자에게 중요한 건 '어떻게 쏘는가'가 아니라 '그게 닿을 수 있는 길이 우리 망에 열려 있는가'이기 때문이다.

실착취 경보가 바꾸는 것

패치 알림과 실착취 경보는 무게가 다르다. 전자는 "언젠가 위험해질 수 있음"이고, 후자는 "이미 누군가 이 문으로 들어오고 있음"이다. CISA가 이런 신호를 보낼 때 던지는 진짜 메시지는 결국 우선순위다. 수백 개 미적용 패치 목록 어딘가에 묻혀 있던 항목이, 갑자기 '이번 주 안에 처리'로 올라온다는 뜻이다. 그러니 가장 먼저 할 일은 코드를 들여다보는 게 아니라 목록을 다시 줄 세우는 일이다.

방어자가 순서대로 밟을 단계

• 자산 식별이 먼저다. 우리 망에 Lantronix 디바이스 서버가 몇 대, 어디에 있는지부터 센다. 네트워크 스캔으로 관리 포트와 웹 인터페이스를 찾아내고, Shodan·Censys 같은 외부 시야로 혹시 인터넷에 그대로 노출된 장비가 있는지 바깥에서도 확인한다. 모르는 장비는 지킬 수 없다.
• 노출면을 닫는다. 관리 인터페이스가 인터넷에서 직접 보인다면 그게 가장 급한 불이다. 방화벽이나 VPN 뒤로 넣고, 접근 가능한 출발지 IP를 운영자 대역으로만 좁힌다.
• 망을 끊어둔다. 이 장비가 OT 망과 사무 망 사이에 있다면, 한 대가 뚫려도 옆으로 번지지 않도록 세분화(segmentation)로 미리 칸을 막아둔다. 실착취 상황에서 피해 규모를 가르는 건 대개 이 한 줄짜리 방화벽 정책이다.
• 탐지의 눈을 둔다. 관리 인터페이스 접근 로그에서 평소 안 보이던 출발지, 설정 변경, 인증 실패 폭증을 본다. 더 중요하게는 이 OT 대역에서 바깥으로 나가는 트래픽 — 평소 조용하던 장비가 갑자기 외부로 연결을 시도하면 그게 신호다.
• 펌웨어를 올린다. 위 항목으로 시간을 버는 동안, 제조사가 내놓은 업데이트를 적용한다. 현장 장비라 재부팅 창을 잡기 어렵다면 점검 일정에 끼워 넣되, 그 전까지는 노출 차단을 임시 방벽으로 쓴다.

마무리

이런 사건이 주는 교훈은 늘 비슷하다. 가장 위험한 장비는 가장 비싼 장비가 아니라, 우리가 잊고 있던 장비다. 화려한 침해 사고는 종종 이렇게 구석에 박힌 변환기 한 대에서 시작한다. 오늘 당장 거창한 걸 할 필요는 없다고 본다. 개인적으로는, 우선 우리 망에 이런 디바이스 서버가 어디 몇 대 있는지 목록부터 한 번 뽑아보길 권한다. 그 한 장의 목록이 실착취 경보 앞에서 가장 든든한 방어선이 되어줄 거다. 여러분 현장에선 이런 '잊힌 장비'를 어떻게 관리하고 계신지, 댓글로 같이 이야기 나눠보아요.