#CNCERT #중국국가인터넷응급센터 #정보보안 취약점 #애플리케이션 취약점

CNCERT, 3월 정보보안 취약점 2,500개로 발표...고위험급 취약점 비율은 28%

애플리케이션 부문 보안 취약점 여전히 가장 많아

[보안뉴스 온기홍=중국 베이징] 중국 당국이 지난 3월 중 정부 기관, 기업, 연구소, 학교 등에서 쓰고 있는 하드웨어·소프트웨어, 정보시스템에서 공식 확인한 정보보안 취약점이 2,500개를 넘었으며, 이는 한 달 전과 비교해 80% 증가한 수치다. 이 가운데 고위험급으로 평가된 보안 취약점은 약 690개로 월간 20% 넘는 증가율을 보이면서 전체 보안 취약점의 28%를 차지했다. 중위험급 취약점 수량은 3월 중 1,060개 규모로 전월에 비해 60% 가까이 급증했으며 전체 취약점의 42%에 달했다.

[이미지=utoimage]

CNCERT, 3월 정보보안 취약점 2,500여개...전월 대비 80% 급증했다고 발표

중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(이하 CNCERT)는 3월 첫째 주부터 넷째 주(3월 1일~28일)까지 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안, 통신서비스, 통신장비) 및 CNCERT 지역센터, 개인(화이트해커)으로부터 접수한 사건형 정보보안 취약점을 평가해 최종적으로 2,500여개를 등록했다. 이는 지난 2월 전체(1,385개)에 견줘 80% 이상 급증한 규모다. 1월(1,680개 규모)에 비해서도 50% 가까이 늘었고, 지난해 12월(1,200여개) 보다 두 배 이상 많았다.

CNCERT는 3월 중 △첫째 주(3월 1일~7일) 488개 △둘째 주(8일~14일) 617개 △셋째 주(15일~21일) 679개 △넷째 주(22일~28일) 719개의 정보보안 취약점을 각각 최종 확인해 등록했다. CNCERT가 평가한 정보보안 취약점의 위험 등급은, 3월 첫째 주에는 전체 취약점 488개 가운데 고위험급 취약점 196개, 중위험 244개, 저위험 48개였다. 둘째 주에는 고위험 204개, 중위험 267개, 저위험 146개로 확인됐다. 셋째 주에는 고위험 120개, 중위험 299개, 저위험 260개 등이며, 넷째 주에는 고위험 166개, 중위험 249개, 저위험 304개였다.

▲CNCERT가 등록한 3월 중국 내 정보보안 취약점 수량[자료=CNCERT]

고위험급 취약점은 3월 한 달간 총 686개로 전체 보안 취약점의 약 28%를 차지했다. 이는 2월(562개)과 1월(540개 안팎)을 비롯해 지난해 세 번째로 적었던 12월(480개 안팎) 보다 20% 이상 많은 규모다. 중위험급 취약점 수량은 총 1,059개로 전체 보안 취약점의 42% 가량을 차지했다. 지난 2월 전체(670개)에 비해 58% 급증했고, 1월(835개 가량)에 비해서도 27% 늘었다.

제로데이 관련 취약점을 보면, 3월 첫째 주에 208개(전체 보안 취약점 중 점유율 43%), 둘째 주 386개(63%), 셋째 주 427개(63%), 넷째 주 507개(71%)였다. 지난 3월 첫째 주부터 넷째 주까지 정보보안 취약점의 위협 등급은 모두 ‘중간’ 수준으로 평가했다.

3월 당·정부 기관·기업 관련 사건형 보안 취약점

CNCERT가 CNVD를 통해 접수한 당·정부 기관 및 기업 관련 사건형 보안 취약점을 보면, 3월 첫째 주에는 6,101개로 한 주 전(4,894개)에 비해 25% 늘었다. 둘째 주에는 4,752개로 22% 줄었으나 셋째 주에 4,981개로 5% 늘었다. 넷째 주에는 3,128개로 37% 줄었다.

은행, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 3월 첫째 주 20건, 둘째 주 26건, 셋째 주 19건, 넷째 주 4건이었다. 유·무선 통신 서비스업체에 통보한 정보보안 취약점 관련 사건은 3월 첫째 주 22건, 둘째 주 7건, 셋째 주 21건, 넷째 주 8건으로 집계됐다.

전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요기관과 관련된 보안 취약점 사건은 3월 첫째 주 504건, 둘째 주 362건, 셋째 주 439건, 넷째 주 413건이다. 또한, 교육 분야 응급 조직이 협조해 검증·처리한 대학·연구소의 정보시스템 취약점 사건은 3월 첫째 주 59건, 둘째 주 66건, 셋째 주 133건, 넷째 주 46건에 달했다.

CNCERT가 국가 상급 정보보안 협조 기관에 보고한 각 정부부서 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 3월 첫째 주 27건, 둘째 주 39건, 셋째 주 35건, 넷째 주 26건이었다.

3월에도 애플리케이션 프로그램에 취약점 가장 많아

3월에 공식 등록된 정보보안 취약점을 영향 대상에 따라 나눠 보면, 애플리케이션 프로그램 부문의 취약점이 2월에 이어 여전히 가장 많았다. 3월 첫째 주(전체 등록 취약점 488개)에는 애플리케이션 프로그램 부문 취약점이 278개로 절반이 훨씬 넘는 57%를 차지했다. 이어 웹 애플리케이션 취약점이 115개(23%)로 약 4분의 1을 차지했고, 네트워크 장비(교환기, 라우터 등) 38개(8%), 운영체제 32개(7%), 보안제품 12개(2%), 스마트 장비·기기(사물인터넷 장비·기기) 11개(2%), 데이터베이스 부문 취약점 2개(1%)였다.

둘째 주(전체 취약점 617개)에는 애플리케이션 프로그램 부문 취약점이 337개로 절반(54%)이 넘는 점유율을 기록했다. 웹 애플리케이션 부문이 215개(35%)로 3분의 1을 차지했다. 이밖에 네트워크 장비 44개(7%), 보안제품 7개(1%), 운영체제 7개(1%), 스마트 장비·기기 4개(1%), 데이터베이스 부문 취약점이 3개(1%)였다.

셋째 주(전체 취약점 679개)에는 애플리케이션 프로그램 부문 취약점이 417개로 61%의 비중을 보였다. 웹 애플리케이션 부문이 141개(21%)로 뒤를 이었다. 이밖에 네트워크 장비 66개(10%), 운영체제 34개(5%), 스마트 장비·기기 13개(2%), 보안제품 부문 취약점이 8개(1%)였다.

넷째 주(전체 취약점 719개)에는 애플리케이션 프로그램 부문 취약점이 410개로 절반이 넘는 57%의 비중에 달했다. 웹 애플리케이션 부문 취약점이 177개로 24%를 차지했다. 운영체제 58개(8%), 네트워크 장비 37개(5%), 스마트 장비·기기 27개(4%), 보안제품 9개(1%), 데이터베이스 부문 취약점이 1개(1%)로 뒤를 이었다.

▲CNCERT가 등록한 3월 중국 내 정보보안 취약점 영향에 따른 유형[자료=CNCERT]

3월 통신·모바일 인터넷·산업제어시스템 분야별 보안 취약점

CNCERT가 정보보안 취약점을 주요 분야 별로 나눠 조사한 결과, 3월 중에는 통신과 모바일 인터넷 분야에서 보안 취약점이 많은 것으로 나타났다. 3월 첫째 주에는 통신 분야 취약점이 25개(고위험 15개, 중위험 8개, 저위험 2개), 모바일 인터넷 분야 취약점 22개(고위험 12개, 중위험 8개, 저위험 2개), 산업제어시스템 분야 2개(중위험)로 집계됐다고 센터는 밝혔다.

둘째 주에는 모바일 인터넷 분야 취약점이 39개(고위험 24개, 중위험 6개, 저위험 9개)로 가장 많았고, 통신 분야 취약점이 25개(고위험 11개, 중위험 13개, 저위험 1개), 산업제어시스템 분야는 23개(고위험 7개, 중위험 14개, 저위험 2개)였다.

셋째 주에는 모바일 인터넷 분야 취약점이 48개(고위험 4개, 중위험 16개, 저위험 28개), 통신 분야 취약점이 47개(고위험 14개, 중위험 28개, 저위험 5개)로 비슷했다. 산업제어시스템 분야는 30개(고위험 4개, 중위험 13개, 저위험 13개)였다.

넷째 주에는 통신 분야 취약점이 46개(고위험 16개, 중위험 22개, 저위험 8개)로 가장 많았고, 모바일 인터넷 분야 37개(고위험 14개, 중위험 8개, 저위험 15개), 산업제어시스템 분야는 20개(고위험 3개, 중위험 11개, 저위험 6개)였다.

▲CNCERT가 발표한 2월 중국 내 취약점 발견 제품 및 업체[자료=CNCERT]

CNCERT가 지난 3월 중 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 취약점 수량과 비중을 살펴본 결과, 첫째 주에는 △Google(보안 취약점 수량 40개, 점유율 8%) △HCL(27개, 6%) △Mozilla(18개, 4%) △Adobe(17개, 4%) △DELL(16개, 3%) △Aruba Networks(11개, 2%) △Mofi Network(10개, 2%) △SoftMaker(10개, 2%) △후베이 타오마첀웨이 신시커지(湖北淘码千维信息科技有限公司, 10개, 2%) △기타(329개, 67%) 순으로 많았다.

[중국 베이징/온기홍 특파원 onkihong@yahoo.com]

느낀점: 취약점이 생각보다 다양한 곳에서 일어나는 것을 확실히 체감할 수 있었다. 특히 구글 아도브 리눅스 레드 햇 같은 것들은 취약점이 적을 줄 알았는데 1주에 10개 이상의 취약점이 발견될 정도로 많다는 것을 처음 알게 되었다. 안드로이드 어플리케이션에 취약점이 제일 많은 것으로 나타났으므로 나도 앱 취약점을 발견해보고 싶다는 생각이 들었다.