[관점]
국내에서 경계 장비는 한번 설치하면 오래 간다. 교체 주기가 길고 펌웨어 갱신은 서비스 중단을 동반하며, 담당자는 몇 번 바뀐다. 그래서 「잘 돌아가고 있다」는 상태가 곧 「오래 손대지 않았다」는 뜻인 경우가 많다.
이 연구가 국내에 값이 있는 이유는 취약점 하나를 설명해서가 아니다. 자격증명 확보에서 시작해 수집·악용·반출까지 이어지는 다섯 단계의 작전 구조를 보여 주기 때문이다. 어느 단계에서 끊을 수 있는지를 우리 환경에 대입해 보는 용도로 읽어야 한다.
SOCRadar 의 이 보고서는 Fortinet 장비를 표적으로 삼은 침해 작전을 분해한다. 77쪽 분량으로 위협 행위자 개요와 운영 타임라인, 공격 체인, 인프라 구성을 각각 절로 구성하였다.
다섯 단계
보고서가 정리한 공격 체인은 다음과 같다.
| 단계 | 내용 |
|---|---|
| 1 | 자격증명 확보와 정찰 |
| 2 | 자격증명 대조와 초기 접근 |
| 3 | FortiGate 스니퍼 배치와 수집 |
| 4 | 확보·검증된 자료의 악용 |
| 5 | 수집과 반출 |
주목할 점은 1단계가 장비 취약점이 아니라는 것이다. 작전은 이미 유통되는 자격증명을 확보하는 데서 시작하고, 그것을 대상 장비에 대조해 통과하는 조합을 찾는다. 장비의 결함은 그다음 단계에서 쓰인다.
3단계에서 장비 자체에 수집 도구가 배치된다. 경계 장비는 모든 접속이 통과하는 지점이므로, 여기에 자리를 잡으면 이후의 자격증명이 계속 흘러 들어온다. 초기 침투 한 번이 지속적 수집으로 바뀌는 구간이다.
보고서는 이어 단계에 걸쳐 반복되는 반복되는 공통 역량을 별도 절로 정리하고, 운영에 쓰인 호스팅 인프라와 그 구축 방식까지 정리한다.
국내 적용 관점
버전 인벤토리를 두 갈래로 나눠 확보해야 한다. 경계 장비 본체와 단말에 배포된 VPN 클라이언트는 별개의 자산이며 갱신 주기도 다르다. 국내에서 방화벽 펌웨어는 관리되는데 임직원 PC 의 클라이언트 버전은 파악되지 않는 경우가 흔하다. 두 목록을 각각 만들어야 한다.
1단계를 우리 통제로 끊을 수 있는지 먼저 따져야 한다. 작전이 유통 중인 자격증명에서 출발한다면, 우리 도메인 계정이 그 유통에 올라 있는지 확인하는 작업이 장비 패치보다 앞선다. 유출 탐지와 실사용 판정이 이 단계의 통제다.
경계 장비의 접속 원본을 확인하는 절차가 필요하다. 정상 자격증명으로 들어오는 접근은 인증 로그만으로 구분되지 않는다. 접속 국가, 시간대, 단말 지문 같은 조건을 기준으로 이상 접속을 걸러 내는 규칙이 없으면 2단계가 통과된다.
장비 자체의 무결성 점검을 정기 항목으로 넣어야 한다. 3단계처럼 장비에 도구가 배치되는 경우, 트래픽 관점의 탐지로는 잡히지 않는다. 구성 변경 이력과 설치된 구성 요소를 주기적으로 대조하는 절차가 필요하며, 이는 벤더 지원 범위와 함께 확인해야 한다.
패치가 어려운 구간의 보완 통제를 문서로 남겨야 한다. 국내 다수 조직에서 경계 장비 펌웨어 갱신은 서비스 중단 승인이 필요해 지연된다. 지연 자체를 없앨 수 없다면 그 기간의 보완 통제를 명시하고 승인받아야 한다. 이 기록이 사고 시 책임 판단의 근거가 된다.
동일 벤더 자료와 교차해 읽어야 한다. Pentera 의 FortiClient 제로데이 연구와 이 보고서를 함께 놓으면 단말 클라이언트와 경계 장비 양쪽의 그림이 맞춰진다. 두 자료를 묶어 「Fortinet 노출 점검」이라는 하나의 과제로 다루는 편이 효율적이다.
검토 회의에서 확인할 항목
질문 1 경계 장비와 VPN 클라이언트의 버전 목록을 각각 갖고 있는가?
질문 2 자사 도메인 계정의 유출 여부를 확인하고 있는가?
질문 3 VPN 접속의 이상 조건을 판별하는 규칙이 있는가?
질문 4 장비 구성 변경 이력을 주기적으로 대조하는가?
질문 5 펌웨어 갱신 지연 구간의 보완 통제가 문서로 승인되어 있는가?출처 · SOCRadar, Dismantling FortiBleed — Inside a Russian Fortinet Compromise Operation (2026-06).