Attackers Hijacked Over 300 Tor Exit Relays to Intercept SSH Connections

핵심 요약

공격자들이 10월 초 300개 이상의 Tor 출구 릴레이를 장악하여 SSH 연결을 가로채고 로그인 암호를 탈취하는 사건이 발생했습니다. 이는 네트워크 인프라(Tor 출구 릴레이)를 악용하여 중간자 공격(Man-in-the-Middle)을 수행하고 자격 증명 접근(MITRE ATT&CK T1563.001 SSH Hijacking)을 시도한 공급망 공격의 일종입니다. IT 감사인은 조직 내 Tor 네트워크 사용 현황 및 SSH 연결 보안 설정을 점검하고, 다단계 인증(MFA) 도입 여부를 확인하여 유사한 네트워크 기반 자격 증명 탈취 위협에 대한 통제 강화를 시사합니다.

개선 권고안

• ✔기술적 조치모든 SSH 서비스에 대해 최신 보안 패치를 적용하고, SSH 프로토콜 버전 2 이상 사용, 강력한 암호화 알고리즘(예: AES256, ChaCha20-Poly1305) 및 해시 함수(예: SHA2)를 적용해야 함을 권고함.
• ✔기술적 조치SSH 접속 시 비밀번호 인증 대신 공개키 기반 인증(Public Key Authentication)을 의무화하고, 모든 관리자 계정에 대해 다단계 인증(MFA)을 적용해야 함을 권고함.
• ✔기술적 조치네트워크 경계에서 Tor 네트워크로의 아웃바운드 SSH 연결을 포함한 불필요한 트래픽을 차단하고, 내부 시스템에서 외부로의 비정상적인 SSH 연결 시도를 탐지하기 위한 네트워크 침입 방지 시스템(IPS) 및 침입 탐지 시스템(IDS) 규칙을 강화할 것을 권고함.
• ✔관리적 조치조직 내 Tor 네트워크 사용에 대한 명확한 정책을 수립하고, 업무상 불가피한 경우에만 제한적으로 허용하며, 이에 대한 승인 및 모니터링 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 SSH 보안 모범 사례, 피싱 및 중간자 공격(Man-in-the-Middle) 위협에 대한 인식을 높이는 정기적인 보안 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기