혹시 회사나 집에서 쓰는 공유기/방화벽/VPN 장비가 “언제 샀더라…?” 싶은 적 있으세요?
대부분은 인터넷만 잘 되면 계속 쓰게 되는데요. 보안에서는 그게 가장 흔한 함정이에요.
최근 CISA·FBI·영국 NCSC가 함께 낸 팩트시트에서도, 공격자(특히 국가배후 공격자)가 **지원 종료(EOS)된 엣지 장비(방화벽, 라우터, VPN 게이트웨이, 로드밸런서 등)**를 발판으로 네트워크에 들어와 장기 잠복·데이터 탈취까지 이어간다고 경고합니다.
핵심은 딱 3가지예요.
- 무슨 장비가 있는지 목록화
- EOS 장비는 교체가 최선
- 당장 교체가 어렵다면 최신 지원 버전 유지 + 업데이트/패치
1) EOS(지원 종료)란 뭐길래 위험할까?
팩트시트는 EOS 엣지 장비를 이렇게 설명합니다.
- 인터넷 등 외부에서 접근 가능한 네트워크 경계에 있고
- 제조사가 더 이상
- 결함(버그)을 모니터링하지 않거나
- CVE(취약점) 패치/보안 업데이트/핫픽스를 제공하지 않는 장비
즉, 시간이 갈수록 취약점이 누적되는데 해결은 안 되는 상태가 됩니다.
영국 정부의 “Obsolete platforms guidance(구형/지원 종료 플랫폼 가이드)”도 같은 취지로 말합니다.
지원이 끝난 제품은 보안 업데이트가 더 이상 나오지 않고, 시간이 지나면 상대적으로 낮은 숙련도의 공격자도 악용 가능한 취약점이 늘어나며, 어떤 조합의 임시 대책도 위험을 완전히 없애진 못한다고 분명히 적고 있어요.
2) 공격자들이 엣지 장비부터 노리는 이유
엣지 장비는 공격자 입장에서 “효율이 좋습니다”.
- 외부 노출: VPN/관리 포털/원격 접속 때문에 인터넷에 열려 있는 경우가 많음
- 한 번 뚫리면 파급이 큼: 경계 장비는 내부망과 바로 연결되어 있어 침투 후 확장이 쉬움
- 패치 공백: EOS 상태면 새로 공개되는 취약점이 그대로 남음
팩트시트도 EOS 엣지 장비가 네트워크 접근, 잠복 유지, 민감 데이터 침해에 악용된다고 구체적으로 경고합니다.
3) 실제로 어떤 식으로 사고가 커지나 (전형적인 흐름)
- 공격자가 EOS 장비(방화벽/VPN/라우터/로드밸런서)를 먼저 노림
- 초기 침투 후 내부망에 거점 확보
- 권한 상승/횡적 이동 → 데이터 탈취 또는 랜섬웨어/백도어 설치
- “입구”가 잡히면 내부 보안이 좋아도 피해가 커짐
호주 ACSC(사이버 기관)도 레거시 IT가 보안 업데이트를 못 받아 더 취약해지고, 이를 통해 더 현대적인 시스템으로 접근이 확장되면서 사고 영향이 커질 수 있다고 설명합니다.
4) 당국이 권하는 대응 3단계 (복잡하지 않지만 ‘실행’이 중요)
(1) 자산 목록(인벤토리) 만들기 + 정기 점검
팩트시트 권고:
- 네트워크를 능동 스캔해서 문서에 없는 오래된 엣지 장비를 찾기
- 모든 엣지 장비와 **지원 타임라인(EOS 날짜)**을 함께 관리
- 정기적으로 인벤토리와 EOS 날짜 재점검
✅ 현장에서 제일 위험한 건 “예전에 설치하고 잊힌 장비”입니다. 목록에 없으면 교체도 패치도 못 하거든요.
(2) EOS 장비는 “빠른 교체”가 최선
팩트시트는 EOS 엣지 장비를 신속히 교체하라고 직접 권고합니다. 오래될수록 위험 관리가 더 어렵고 비용도 커진다는 이유예요.
(3) 교체가 당장 어렵다면: 최신 지원 버전 + 패치 + 자동 업데이트
팩트시트 권고:
- 즉시 교체가 불가능하면 최신 ‘지원되는’ 소프트웨어 버전으로 유지
- 가능한 장비는 자동 업데이트 활성화
- 알려진 CVE는 업데이트로 최대한 반영
⚠️ 다만 영국 가이드가 말하듯, 임시조치는 어디까지나 “완화”이지 “완전 해결”은 아닙니다.
5) 실전 체크리스트: 24시간 · 7일 · 30일 플랜
✅ 24시간(오늘)
- 외부에 노출된 장비부터 목록 작성: 방화벽 / VPN / 라우터 / 로드밸런서
- 인터넷에서 접근 가능한 관리 포털/원격관리가 열려 있지 않은지 확인
- 관리자 계정 점검(기본 계정/약한 비밀번호 제거), 가능하면 MFA 적용
✅ 7일(이번 주)
- 장비별 모델명·펌웨어 버전·EOS 날짜 정리
- 우선순위 결정: “외부 노출 + 중요 서비스 경로 + 모니터링 약함”부터
- 가능한 장비는 펌웨어/OS를 지원되는 최신 버전으로 업그레이드
✅ 30일(이번 달)
- EOS 장비 교체 일정/예산 확정
- 교체 전 임시 운영 원칙 문서화(예: 외부관리 금지, 접근통제, 로그 보관, 예외 승인)
6) 집 공유기/홈서버도 예외가 아닙니다
집 공유기도 EOS면 똑같이 위험합니다(특히 DDNS/포트포워딩/원격관리 사용 시).
- 공유기 펌웨어 업데이트가 끊겼다면 교체 검토
- 원격관리 기능은 꺼두고, 외부 접속은 VPN 등으로 단순화
- 포트포워딩 최소화 + 강한 비밀번호 + 가능하면 MFA
자주 묻는 질문(FAQ)
Q1. 우리 장비가 EOS인지 어떻게 확인하나요?
A. 모델명으로 제조사 “지원 종료(EOS/EOL) 정책 페이지”를 확인하고, 현재 펌웨어가 지원되는 최신 버전인지 함께 점검하세요. 인벤토리에 EOS 날짜까지 기록하는 게 핵심입니다.
Q2. 펌웨어를 올리면 EOS가 해결되나요?
A. “장비 자체가 EOS”인 경우는 해결이 안 됩니다. 다만 “장비는 지원되지만 소프트웨어만 EOS”인 경우라면 지원되는 버전으로 업그레이드가 도움이 됩니다.
Q3. 임시조치로 오래 버텨도 되나요?
A. 권고는 “가능한 빨리 교체”입니다. 시간이 지날수록 위험은 커지고, 임시조치로 완전한 위험 제거는 어렵다고 안내됩니다.
마무리
보안은 결국 “최신 솔루션”보다 기본 관리에서 갈립니다.
오늘은 거창한 걸 하기보다, 딱 이 3가지만 해보세요.
- 목록화(무슨 장비가 있는지)
- EOS 확인(언제 지원이 끝나는지)
- 교체 계획(EOS는 교체 우선, 당장 어렵다면 최신 지원 버전/업데이트)
이 3가지만 지켜도 사고 확률이 확 내려갑니다.
참고한 공개 자료(출처)
- CISA·FBI·NCSC 공동 팩트시트(2026-02-05): EOS 엣지 장비 위험/완화 권고
- BOD 26-02 관련 보도(일정/조치 요약)
- UK(공공) Obsolete platforms guidance: 지원 종료 후 위험과 임시 완화책 한계
- 호주 ACSC: 레거시 IT 리스크(경영진 관점)
- OpenEoX: EOL/EOS 정보를 표준화해 교환하려는 시도(수명주기 관리 관점)
