중국계 해킹그룹 ‘파이어 앤트’, 시스코 라우터 장악해 정보수집 거점으로 악용중

핵심 요약

중국계 해킹그룹 '파이어 앤트'가 시스코 IOS XR 라우터를 장악하여 내부 네트워크 통신을 감시하고 정보 수집 거점으로 악용한 공격이 확인되었습니다. 공격자들은 라우터의 관리 인터페이스를 악용하여 TACACS 인증 서버와 리눅스 관리 서버까지 탐색하며 내부 시스템에 대한 접근 권한을 확대하고 지속적인 정보 수집을 시도했습니다. 이는 네트워크 장비가 단순한 통로를 넘어 핵심 정보 수집 및 통제 거점으로 악용될 수 있음을 보여줍니다. IT 감사인은 네트워크 장비의 보안 설정, 접근 통제, 모니터링 체계가 적절히 구축 및 운영되는지, 그리고 침해 사고 발생 시 라우터 로그를 포함한 포렌식 데이터가 충분히 확보되는지 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치시스코 IOS XR 라우터 및 기타 네트워크 장비에 대한 최신 보안 패치를 즉시 적용하고, 알려진 취약점(CVE)에 대한 상시 모니터링 및 신속한 패치 적용 프로세스를 강화할 것을 권고함.
• ✔기술적 조치네트워크 장비의 관리 인터페이스(SSH, SNMP 등)에 대한 강력한 인증(예: 2단계 인증)을 의무화하고, 특정 관리 IP 주소 대역에서만 접근을 허용하는 등 접근 통제 정책을 강화할 것을 권고함.
• ✔기술적 조치네트워크 장비의 보안 로그(접근, 설정 변경, 비정상 트래픽 등)를 중앙 집중식 로그 관리 시스템(SIEM)으로 전송하고, 비정상 행위 탐지 규칙을 고도화하여 실시간 모니터링 및 알림 체계를 구축할 것을 권고함.
• ✔관리적 조치네트워크 장비 및 관리 서버(TACACS, 리눅스 관리 서버 등)에 대한 정기적인 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대한 개선 조치 이행 여부를 지속적으로 추적 관리할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 네트워크 장비 로그를 포함한 포렌식 데이터 확보 절차를 명확히 하고, 사고 대응팀의 분석 역량을 강화하기 위한 정기적인 훈련 및 교육을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문