최근 보안 위협의 중심에는 웹쉘 내부망 이동 공격이 있습니다. 웹 서버의 취약점을 통해 침투한 공격자가 어떻게 기업 전체의 네트워크를 장악하는지, 그 위험성과 방어 전략을 상세히 알아보겠습니다.
/
1.웹쉘(Web Shell)이란 무엇인가?
웹쉘은 공격자가 원격에서 웹 서버를 제어하기 위해 업로드하는 악성 스크립트 파일(PHP, ASP, JSP 등)을 말합니다.
정상적인 웹 페이지처럼 보이지만, 공격자는 이 파일을 통해 서버에 직접 명령어를 입력하고 실행할 수 있습니다. 웹쉘이 설치되면 공격자는 다음과 같은 권한을 갖게 됩니다.
- 파일 시스템 접근: 중요 데이터 조회, 수정, 삭제 및 유출
- 시스템 명령어 실행: 서버의 제어권 획득
- 추가 악성코드 배포: 랜섬웨어 설치 또는 좀비 PC화
/
2. 공격자는 어떻게 웹쉘을 심는가?
공격자들은 주로 웹 애플리케이션의 취약점을 공략합니다. 대표적인 침투 경로는 다음과 같습니다.
- 파일 업로드 취약점: 게시판 등에 이미지 대신 악성 스크립트 파일을 업로드하는 방식입니다.
- SQL 인젝션(SQL Injection): 데이터베이스 취약점을 이용해 서버 내부에 파일을 생성합니다.
- 원격 파일 포함(RFI/LFI): 외부의 악성 파일을 서버가 실행하도록 유도합니다.
/
3. 웹쉘 내부망 이동이란 무엇이며 왜 위험한가?
웹쉘(Web Shell)은 공격자가 원격에서 웹 서버를 제어하기 위해 업로드하는 악성 스크립트입니다. 하지만 단순한 서버 장악보다 무서운 것은 이를 발판 삼아 수행되는 웹쉘 내부망 이동(Lateral Movement)입니다.
공격자는 최초 침투한 웹 서버를 ‘거점’으로 삼아, 보안이 더 강력한 내부 데이터베이스나 관리자 PC로 침투 범위를 넓혀갑니다. 이 과정에서 기업의 핵심 기밀이 유출되거나 랜섬웨어에 감염될 위험이 비약적으로 상승합니다.
- 정찰(Reconnaissance): 웹쉘을 이용해 내부 네트워크 구조, 연결된 서버, 활성화된 포트를 스캔합니다.
- 자격 증명 탈취(Credential Harvesting): 서버 내에 저장된 설정 파일, 로그, 메모리 등에서 관리자 계정 정보를 훔칩니다.
- 권한 상승(Privilege Escalation): 일반 사용자 권한을 관리자(Root/Admin) 권한으로 격상시킵니다.
- 확산: 탈취한 계정을 이용해 RDP, SSH, SMB 등의 프로토콜로 다른 내부 시스템에 접속합니다.
/
4. 웹쉘과 내부망 이동을 막기 위한 보안 대책
한 번의 방어 실패가 기업 전체의 셧다운으로 이어질 수 있습니다. 이를 방지하기 위한 핵심 보안 전략은 다음과 같습니다.
1) 취약점 근본 차단
- 입력값 검증: 사용자로부터 입력받는 모든 데이터에 대해 엄격한 필터링을 적용해야 합니다.
- 파일 업로드 제한: 업로드되는 파일의 확장자를 체크하고, 실행 권한이 없는 별도의 디렉토리에 저장해야 합니다.
2) 탐지 및 모니터링 강화
- WAF(웹 애플리케이션 방화벽) 도입: 웹쉘 업로드 시도 및 비정상적인 웹 요청을 실시간으로 차단합니다.
- 파일 무결성 모니터링(FIM): 웹 소스 디렉토리에 허가되지 않은 파일이 생성되거나 수정되는지 감시합니다.
3) 내부망 보호 전략
- 네트워크 분리(Segmentation): 웹 서버와 내부 데이터베이스 서버 사이의 네트워크를 분리하여 공격자의 이동을 차단합니다.
- 최소 권한 원칙: 웹 서비스 계정에는 필요한 최소한의 권한만 부여합니다.
/
5. 웹쉘 공격 방어 전략
웹쉘 공격으로부터 조직의 자산을 보호하기 위해서는 단순히 하나의 솔루션에 의존하는 것이 아니라, 다층적인 보안 체계를 구축하는 것이 필수적입니다. 다음은 웹쉘 위협을 최소화하기 위한 핵심 권고 사항입니다.
- 신속한 보안 취약점 패치 (Patching) : 모든 소프트웨어, 웹 서버, 그리고 네트워크 장비를 항상 최신 상태로 유지해야 합니다. 공격자는 알려진 취약점을 통해 웹쉘을 업로드하는 경우가 많으므로, 보안 패치가 배포되는 즉시 적용하여 공격의 통로를 원천 봉쇄하는 것이 중요합니다.
- 네트워크 트래픽 모니터링 강화 (Monitoring) : 침입 탐지 시스템(IDS) 및 침입 방지 시스템(IPS)을 활용하여 네트워크 트래픽을 상시 감시해야 합니다. 특히 다음과 같은 의심스러운 활동을 집중적으로 모니터링해야 합니다.
- 실시간 탐지 및 격리 매커니즘 도입 (Detection & Quarantine) : 외부 방어선이 뚫리더라도 내부 자산을 보호할 수 있는 ‘2차 방어선’이 필요합니다. 악성 웹쉘이나 위험한 URL을 실시간으로 탐지하고 즉시 격리할 수 있는 시스템을 도입하세요. 이를 통해 공격자가 외부 방어 체계를 우회하더라도 피해가 확산되는 것을 효과적으로 차단할 수 있습니다.