안녕하세요, 리키입니다. 오늘 전해 드릴 소식은 최근 소프트웨어 회사인 프로그레스(Progress Software)에서 발생한 보안 관련 긴급 조치에 대한 보도 내용입니다.
최근 프로그레스 소프트웨어는 7월 10일에 ShareFile 스토리지 존 컨트롤러(Storage Zone Controller)를 운영하는 모든 조직을 대상으로 비상 명령을 내렸습니다. 이 명령은 해당 시스템을 호스팅하는 윈도우 서버를 즉시 종료하라는 것이었는데요. 특히 주목할 점은 당시 적용할 수 있는 패치가 없었다는 사실입니다. 회사 측은 데이터 안전을 확보하기 위해 이러한 조치를 취했다고 밝혔습니다.
프로그레스는 이 상황을 ‘프로그레스 소프트웨어의 ShareFile 스토리지 존 컨트롤러를 겨냥한 신뢰할 만한 외부 보안 위협’이라고 설명했습니다. 당장 알려진 바에 따르면, 회사 측은 해당 발표 시점에 ShareFile 계정이나 데이터에 무단 접근이 있었다는 징후는 없다고 언급했더군요. 하지만 구체적으로 어떤 종류의 위협인지, 취약점이 제로데이(zero-day)인지, 아니면 컨트롤러 자체가 침해당했는지 등 세부적인 정보는 아직 공개되지 않았습니다.
패치 부재가 의미하는 바
이번 사태에서 가장 중요한 부분은 패치가 없었다는 점입니다. 보통 보안 문제가 발생하면 해결책인 패치를 제공하는데, 이번에는 시스템을 완전히 종료하라는 지침이 내려졌다는 것은 당시 공개된 보완책이 없었거나, 혹은 패치만으로는 해결할 수 없는 더 심각한 문제(예: 자격 증명 탈취나 프로그레스 자체 인프라의 문제)가 있을 수 있음을 시사합니다. 이는 벤더사가 새로운 결함을 빠르게 처리하는 과정에서 발생할 수 있는 일이지만, 동시에 패치로 해결되지 않는 위협일 가능성도 염두에 두어야 할 것입니다.
ShareFile은 기업들이 데이터 주권 및 규제 요구사항을 충족시키기 위해 자체 인프라(온프레미스)에 파일 공유 시스템을 운영할 때 사용하는 구성 요소입니다. 이 스토리지 존 컨트롤러는 클라우드 기반의 인증과 협업 기능을 사용하면서도 데이터를 내부 서버에 보관하게 해주는 하이브리드 아키텍처를 구현하는 데 필수적이죠. 문제는 이러한 컨트롤러가 데이터 접근 및 저장 요청을 위해 외부 인터넷으로부터 접근 가능하도록 설계되어 있기 때문에, 조직이 규제를 맞추기 위해 이 시스템을 도입할수록 보안상 공격 표면(Attack Surface)이 넓어진다는 점입니다.