OpenVAS 취약점 분석 - 사고 대응 보고서

실제 환경 시뮬레이션: FTP 서비스 취약점 악용 (ProFTPD CVE-2015-3306)

실제 환경 시뮬레이션: FTP 서비스 취약점 악용 (ProFTPD CVE-2015-3306)

📌 개요

이 프로젝트는 통제된 실습 환경에서 OpenVAS(Greenbone Vulnerability Manager) 를 사용하여 전체 주기의 취약점 평가 및 사고 대응 워크플로를 보여줍니다.

목표는 알려진 FTP 취약점(vsftpd 백도어)을 식별하는 것이었습니다. 그러나 실제 분석 및 검증을 통해 다른 심각한 취약점이 발견되고 조사되었습니다. 이는 가정에 기반한 보고가 아닌 실제 분석가의 의사 결정 과정을 보여줍니다.

🎯 주요 결과

• ProFTPD에서 심각한 취약점(CVE-2015-3306) 식별
• 수동 검증(Netcat) 을 통한 결과 확인
• 위험 기반 분석 및 패치 계획 수립
• MITRE ATT&CK 기술 매핑
• 구조화된 사고 대응 보고서 작성

💡 이 프로젝트의 중요성

실제 환경에서는 취약점이 항상 예상과 일치하지 않습니다.

이 프로젝트는 다음을 보여줍니다:

• 가정이 아닌 증거 기반 분석
• 수동 기술을 통한 스캔 결과 검증
• 기술적 발견 사항을 비즈니스 위험으로 전환
• 이해 관계자를 위한 명확하고 전문적인 보고

🖥️ 실습 환경

🔍 식별된 취약점

CVE-2015-3306 – ProFTPD mod_copy 인증 없이 파일 복사

📊 세부 정보

• 서비스: FTP (ProFTPD)
• 포트: 21/tcp
• 심각도: 치명적
• 악용 유형: 인증 없이 파일 접근

⚠️ 영향

• 허가되지 않은 파일 복사 (예: /etc/passwd)
• 데이터 노출 가능성
• 원격 코드 실행(RCE) 으로 발전 가능

🔎 탐지 및 검증

OpenVAS 탐지

• mod_copy 악용 테스트를 통해 취약점 확인

• 파일 복사 시도 실행:

  root@kitploit:~

  /etc/passwd → /tmp/passwd.copy
  

수동 검증

nc 192.168.56.123 21

결과:

220 ProFTPD 1.3.5 Server

✅ 시스템이 vsftpd가 아닌 ProFTPD를 실행 중임을 확인

💡 핵심 인사이트 (비판적 사고)

실습에서 vsftpd 백도어 탐지를 예상했지만 해당 취약점은 존재하지 않았습니다.

예상 결과에 억지로 맞추는 대신 이 프로젝트는:

• 실제 실행 중인 서비스를 식별
• 존재하는 실제 취약점을 조사
• 증거에 기반하여 보고

이는 실제 SOC 분석가의 행동을 반영합니다.

📋 MITRE ATT&CK 매핑

🚧 차단 조치

• FTP 접근 제한 (포트 21)
• 안전하지 않은 명령 차단을 위한 방화벽 규칙 적용
• 내부 네트워크로의 노출 제한
• 의심스러운 활동에 대한 로그 모니터링 시작

🔧 패치

• 취약한 mod_copy 모듈 비활성화
• ProFTPD 업데이트/패치
• FTP를 보안 대안(SFTP) 으로 교체
• 인증 제어 강화
• 패치 확인을 위한 시스템 재스캔

📚 교훈

• 예상되는 취약점에 의존하지 말고 — 모든 것을 검증하라
• 분석 전 서비스 식별은 필수
• 기본 설정 또는 잘못 구성된 서비스는 큰 위험 초래
• 취약점 스캔은 수동 검증과 병행되어야 함

📌 권장 사항

전술적

• 72시간 이내에 심각한 취약점 패치
• FTP와 같은 안전하지 않은 서비스 비활성화
• 불필요한 외부 노출 제한

전략적

• 인증된 취약점 스캔 구현
• 모니터링을 위한 SIEM (예: Splunk) 통합
• 네트워크 분할 적용
• 취약점 관리 생애주기 수립

📎 근거 자료

• OpenVAS 스캔 결과
• Netcat 서비스 확인
• CVE 문서 (CVE-2015-3306)
• 탐지 OID: 1.3.6.1.4.1.25623.1.0.105254

💭 마지막 생각

이 프로젝트는 도구 사용을 넘어 다음과 같은 능력을 보여줍니다:

분석가처럼 생각하고, 엔지니어처럼 검증하며, 전문가처럼 소통하는 것.

🔜 다음 단계

• 로그 상관 분석을 위해 Splunk 통합
• 악용 + 탐지 워크플로 시뮬레이션
• 전체 위협 헌팅 시나리오로 확장

✍️ 작성자

사이버 보안 분석가 (끊임없이 훈련 중) SOC 운영, 위협 탐지 및 취약점 관리에 집중