레거시 리눅스가 에이전시를 위험에 빠뜨리는 이유

이 블로그 글의 AI 요약으로 바로 가기

많은 정부 기관과 대기업은 중요 시스템에 대해 오래되었거나 지원되지 않는 Linux 배포판("레거시 Linux")에 계속 의존하고 있습니다. 표면적으로는 위험이 낮아 보일 수 있습니다. 시스템은 작동합니다. 직원들은 시스템에 익숙합니다. 애플리케이션은 항상 그랬던 것처럼 계속 작동합니다. 그러나 이러한 안정감은 보안, 규정 준수, 운영 비용 및 미래의 민첩성 전반에 걸쳐 누적되는 위험을 가립니다. 현재 안정적으로 작동하는 시스템이 시간이 지날수록 더 심각한 취약점을 만들고 있을 수도 있습니다.

이 글에서는 최신 에이전시 환경에서 레거시 Linux를 계속 실행하는 것이 왜 나쁜 선택인지, 그리고 그 악순환을 끊는 방법을 알아보세요.

"레거시 Linux"란 무엇을 의미하나요?

레거시 Linux는 공식 지원 주기가 지난 운영 체제 버전을 말합니다. 더 이상 업데이트, 보안 패치 또는 공급업체의 지원을 받지 않는 CentOS 6 및 Ubuntu 14.04가 그 예입니다. 시간이 지남에 따라 이러한 시스템은 유지 관리 및 보안이 점점 더 어려워지는 오래된 커널, 드라이버 및 라이브러리에 의존하고 있습니다. 그 결과 매년 관리하기 점점 더 어려워지는 취약성 및 호환성 문제의 백로그가 증가하고 있습니다.

Linux 시스템이 이 지점에 도달하면 몇 가지 위험이 가속화되기 시작합니다.

레거시 Linux 사용과 관련된 위험은 무엇인가요?

지원이 종료되면 대행사는 보안, 규정 준수, 운영 효율성 및 새로운 기술 채택 능력에 영향을 미치는 여러 가지 문제에 직면하게 됩니다. 가장 중요한 위험은 다음과 같습니다:

보안 위험

Linux 배포판이 수명 종료(EOL)에 도달하면 그 영향은 업데이트가 없는 것 이상으로 확대됩니다. 시스템의 전반적인 보안 상태가 악화되기 시작하여 공급업체 지원 패치를 통해 완화할 수 없는 위협에 중요 인프라가 노출됩니다.

지원이 종료되면
- 패치 도착 중지: 새로 발견된 커널, 드라이버 및 라이브러리 취약점은 계속 열려 있어 공격자에게 영구적인 접근 지점을 제공합니다.
- 공격자들은 오래된 시스템에 집중합니다: 이전 Linux 버전에 대한 익스플로잇 코드가 널리 사용 가능하며, 자동화된 스캐너는 이러한 취약점을 찾기 위해 네트워크를 지속적으로 검색합니다.
- 시간이 지남에 따라 누적되는 취약점: 수정 경로가 없으면 패치되지 않은 결함이 매달 증가하여 침해 가능성이 높아집니다.
- 보안 도구의 실효성 저하: 침입 탐지, 원격 측정 및 자동 패치는 레거시 시스템에서는 사용할 수 없는 업데이트된 라이브러리 및 커널 기능에 의존합니다.
이러한 상황은 노출 증가, 가시성 축소, 대응 능력 저하라는 위험한 조합을 만들어냅니다. 몇 시간 내에 탐지될 수 있는 침해가 몇 주 또는 몇 달 동안 눈에 띄지 않고 지속될 수 있습니다.

이에 대한 놀라운 사례는 2021년에 발생한 공격자들이 Accellion의 레거시 파일 전송 어플라이언스의 취약점을 악용했습니다. (FTA)의 취약점을 악용하여 CentOS 6의 취약점을 악용한 사례가 있었습니다. 에 따르면 공동 사이버 보안 자문 (AA21-055A)에 따르면, 이 침해는 여러 정부 기관에 영향을 미쳤으며 공급업체 지원이 종료된 후 민감한 데이터가 노출되었습니다. 보안 패치가 제공되지 않았고 공격자들은 잘 알려진 취약점을 사용하여 여러 환경을 손상시켰습니다.

이 사건은 지원되지 않는 Linux 시스템이 얼마나 빨리 장애 지점이 될 수 있는지 보여줍니다. 업데이트가 중단되면 취약점이 늘어나고 방어 도구의 효율성이 떨어지며, 오래된 구성 요소 하나가 이를 사용하는 모든 기관에 광범위한 보안 위협이 될 수 있습니다.
규정 준수 및 규제 노출

레거시 Linux 시스템을 계속 운영하는 기관은 심각한 규정 준수 및 규제 문제에 직면해 있습니다. 연방 정보 보안 현대화법(FISMA)에 따라 연방 기관은 다음에 부합하는 포괄적인 정보 보안 프로그램을 구현하고 유지해야 합니다. NIST 특별 간행물 800-53. 여기에는 운영 중인 모든 시스템을 적절하게 분류하고, 보안을 유지하며, 지속적으로 모니터링하는 것이 포함됩니다.

지원되지 않는 Linux 시스템은 이러한 균형을 깨뜨립니다. 운영 체제의 수명 주기가 지나면 몇 가지 필수 제어 기능을 유지 관리하기가 매우 어렵거나 불가능해집니다. 예를 들어
- CM-2 (기준 구성): 오래된 커널 및 라이브러리는 현재 승인된 구성의 정의를 충족할 수 없습니다.
- CM-6 (구성 설정): 공급업체 업데이트가 없으면 구성 취약점이 계속 열려 있고 구성 변동이 관리하기가 더 복잡해집니다.
- SI-2 (결함 수정): 공식 패치가 더 이상 존재하지 않으면 수정 일정을 충족할 수 없습니다.
이러한 규정 준수 격차는 종종 감사 결과, 추가 POA&M 항목, 승인 지연 및 평판 우려로 이어집니다. 미국 회계감사원(GAO)은 반복적으로 경고 오래된 연방 시스템에는 최신 보안 요구사항을 충족하지 못하면서 유지 관리에 연간 수억 달러의 비용이 드는 사이버 보안 취약점이 포함되어 있다고 경고한 바 있습니다.
운영 비용 및 인력 문제

레거시 Linux 소프트웨어를 유지 관리하는 데는 대부분의 팀이 생각하는 것보다 더 많은 시간과 노력, 예산이 소요됩니다. 오래된 배포판은 운영을 유지하기 위해 지속적인 수동 패치, 종속성 해결 방법, 구성 관리가 필요합니다. 대행사 환경에서는 위험 평가 및 승인 갱신 등 지원되지 않는 시스템의 사용을 정당화하기 위한 지속적인 서류 작업으로 인해 이러한 작업이 더욱 복잡해져 현대화 노력이 느려집니다. 각 업데이트는 안정성을 유지하고 노후화된 라이브러리 및 지원되지 않는 패키지와 호환성 문제를 방지하는 것 사이에서 균형을 잡아야 합니다.

최근의 연구는 이러한 부담이 실제로 어떻게 나타나는지 강조합니다. 연구에 따르면 레거시 시스템을 유지 관리하는 데 드는 IT 팀의 비용은 거의 연간 $40,000엔지니어들은 매주 평균 17시간을 수동 패치 및 해결 작업에 소비하고 있습니다. 이는 최신 자동화된 프로세스로 대체할 수 있는 소프트웨어 유지 관리에 주당 근무 시간의 거의 절반을 할애하는 것입니다. 또 다른 IDC 분석 에 따르면 오래된 환경을 운영하는 조직은 지원되는 플랫폼을 사용하는 조직보다 최대 42% 더 높은 운영 오버헤드가 발생하는 것으로 나타났습니다. 레거시 Linux는 혁신에 투자할 수 있는 시간과 리소스를 낭비한다는 메시지는 분명합니다.

인력 문제는 이러한 압박을 더욱 가중시킵니다. 오늘날 구형 시스템을 다룰 수 있는 전문 지식이나 의지가 있는 엔지니어는 점점 줄어들고 있습니다. 이러한 엔지니어들이 은퇴하거나 이직함에 따라 기관은 중요한 운영을 안정적으로 유지하는 데 필요한 제도적 지식을 잃게 됩니다. 이로 인해 복구 시간이 길어지고 문제 해결 비용이 증가하며 줄어드는 전문가 풀에 대한 의존도가 높아집니다. 장애가 발생한 서비스를 복구할 수 있는 인력이 소수에 불과하면 사소한 이직이나 중단도 심각한 운영상의 위험이 될 수 있습니다.
혁신 저해 및 미션 전달 속도 저하

레거시 Linux 시스템은 기관의 운영 방식을 개선할 수 있는 최신 솔루션을 활용하기 어렵게 만듭니다. 자동화, 클라우드 통합, 고급 분석은 모두 업데이트된 환경을 필요로 합니다. 팀은 앞으로 나아가는 대신 낡은 제한 사항을 해결하느라 시간을 보내게 되고, 이로 인해 발전 속도가 느려지고 효율성이 떨어집니다.

혁신에는 유연성이 필요합니다. 구형 시스템은 새로운 애플리케이션이 도입될 때마다 반격합니다. 보안 업그레이드가 복잡해집니다. 협업 도구는 부서 간 연결에 어려움을 겪습니다. 복잡성이 증가하면 제공 일정이 길어지고 서비스 품질이 떨어지며 혁신이 지연됩니다. 다른 기업은 확장 가능하고 안전하며 민첩한 환경의 이점을 누리는 반면, 레거시 Linux를 고수하는 조직은 미션 준비성이 뒤처집니다.

에이전시가 더 취약한 이유는 무엇인가요?

정부 기관의 경우, 레거시 Linux 운영의 위험은 일반적인 IT 문제를 훨씬 뛰어넘습니다. 이러한 시스템은 국가의 중요한 기능을 지원하기 때문에 취약점이 발생하면 필수 운영, 규정 준수 프레임워크 및 공공 서비스에 파급될 수 있습니다. 여러 가지 요인으로 인해 오래된 Linux 환경을 사용할 경우 대부분의 상업 조직보다 정부 기관에 훨씬 더 심각한 결과를 초래할 수 있습니다:

더 높은 가치의 표적: 정부 기관은 민감한 시민 데이터, 국가 기반 시설, 기밀 작전을 관리하여 국가적 행위자 및 지능형 사이버 위협을 끌어들입니다. 손상된 단일 시스템은 국가적 또는 국제적 영향을 미칠 수 있습니다.
더 엄격한 규정 준수 노출: 다음과 같은 규제 의무 FISMA 및 NIST 800-53 과 같은 규제 의무는 지속적인 모니터링, 적시 패치 적용, 감사 가능한 제어를 요구합니다. 지원되지 않는 Linux 시스템은 이러한 기대치를 충족할 수 없으므로 기관은 규정 미준수 및 감사 결과에 대한 즉각적인 위험에 처하게 됩니다.

광범위한 운영 영향: 레거시 Linux 취약점은 상호 연결된 정부 시스템에서 연쇄적으로 발생할 수 있습니다. 한 부서의 인프라에서 악용된 취약점은 공유 데이터 교환 및 서비스 종속성을 통해 다른 부서에 빠르게 영향을 미칠 수 있습니다.
더 큰 업무 중단: 많은 정부 시스템은 시민들이 매일 의존하는 필수 서비스를 지원합니다. 다운타임이나 손상으로 인해 안전, 국방 또는 서비스 제공과 관련된 중요한 업무가 중단될 수 있습니다.
국가 및 평판 위험 증가: 대중의 신뢰는 정부 기술의 신뢰성과 보안에 달려 있습니다. 오래된 Linux 플랫폼으로 인한 보안 침해 또는 장기간의 중단은 신뢰를 약화시키고 대중과 정치권의 집중적인 조사를 불러올 수 있습니다.

이러한 요인들을 종합해 볼 때, 기관이 레거시 Linux에 계속 의존할 경우 그 위험은 훨씬 더 커집니다. 그 결과는 기술 부채나 다운타임에 국한되지 않고 국가 안보, 규정 준수 책임, 대중의 신뢰에까지 영향을 미칩니다.

레거시 Linux 완화: 기관은 다음에 무엇을 해야 할까요?

위험을 인식하는 것은 시작에 불과합니다. 진짜 과제는 미션 크리티컬한 운영을 중단하지 않고 위험을 줄이는 것입니다. 기관은 오래된 Linux 시스템을 안전하고 효율적으로 단계적으로 폐지하기 위해 명확하고 실행 가능한 프레임워크가 필요합니다. 다음 단계는 IT 및 보안 팀이 제어권을 되찾고 지속적인 복원력을 구축할 수 있는 실용적인 로드맵을 제공합니다.

인벤토리 및 검색

온프레미스, 가상, 엣지 환경 전반에서 모든 레거시 Linux 인스턴스를 식별하는 것부터 시작하세요. OS 버전, 커널 수준, 패키지 상태, 노출 지점, 워크로드 종속성을 기록하세요. 구성 관리 도구 또는 자동화된 스캐너를 사용해 숨겨진 시스템을 찾아내고 사각지대를 제거하세요.
위험 기반 우선순위 지정

모든 시스템이 동일한 위험을 안고 있는 것은 아닙니다. 인터넷에 연결되어 있거나, 민감한 데이터를 처리하거나, 알려진 CVE가 있는 지원되지 않는 커널을 실행하는 시스템의 우선순위를 정하세요. 침해로 인해 필수 운영이 중단되거나 중요한 정보가 노출될 수 있는 시스템에 먼저 집중하세요.
고위험 시스템 즉시 안정화

현대화를 시작하기 전에 노출을 제한하는 조치를 취하세요. 남은 패치를 적용하고, SSH 구성을 강화하고, 키를 교체하고, 권한 있는 액세스를 제한하세요. 호스트 기반 침입 탐지 및 커널 수준 감사를 배포하여 비정상적인 활동을 모니터링하세요. 이러한 조치를 통해 위협 표면을 줄이는 동시에 장기적인 계획을 구체화할 수 있습니다.
통제된 단계로 현대화 계획 수립

업그레이드를 관리 가능한 단계로 나누는 마이그레이션 전략을 수립하세요. 워크로드 격리, 가상화 또는 컨테이너화를 사용하여 다운타임과 종속성 충돌을 최소화하세요. 점진적인 현대화를 통해 팀은 서비스 연속성을 유지하면서 완전히 지원되는 Linux 릴리즈로 나아갈 수 있습니다.
보안 기준 강화

레거시 시스템은 최신 사이버 보안 운영에 필요한 가시성과 제어 기능이 부족한 경우가 많습니다. 중앙 집중식 인증, 통합 로깅, 보안 정보 및 이벤트 관리(SIEM) 시스템을 통합하여 모니터링을 강화하세요. SIEM은 환경 전반에서 보안 데이터를 수집하고 상호 연관시켜 위협을 더 빠르게 탐지하고 실시간 대응을 지원합니다. 구성 기준선을 설정하고 규정 준수 검사를 자동화하여 마이그레이션 과정과 그 이후에도 일관된 보안 표준을 유지하세요.
기술 및 공유 소유권 구축

중요한 작업이 한 사람의 기억이나 사용자 지정 스크립트에 의존하는 '존만 아는' 시스템에 대한 의존도를 줄이세요. 이러한 레거시 프로세스를 문서화하고, 해당 지식을 중앙 집중화하며, 최신 Linux 도구, 패치 자동화 및 오케스트레이션 플랫폼에 대해 팀을 교차 교육하세요. 소유권을 공유하면 연속성이 보장되고 민첩성이 향상되며 전환 중 지식 손실을 방지할 수 있습니다.

앞으로 나아갈 길: 위기로 발전하기 전에 위험 줄이기

레거시 Linux는 겉으로는 모든 것이 안정적으로 보이지만 시간이 지남에 따라 조용히 증가하는 위험을 초래합니다. 현재 사용하는 시스템은 이미 민감한 데이터를 노출하거나 감사 압력이 증가하고 있거나 대체하기 점점 더 어려워지는 기술에 의존하고 있을 수 있습니다. 이를 확인하지 않고 방치하면 점진적으로 위험이 쌓여 운영에 차질을 빚고 제공해야 하는 서비스에 대한 신뢰가 손상될 수 있습니다.

발견부터 영구 마이그레이션까지 체계적인 수명 주기 계획을 통해 이러한 위험을 제어할 수 있습니다. "실패하면 그때 가서 걱정하자"는 사고방식은 결국 문제가 발생했을 때 위험만 키울 뿐입니다. 안정화 제어는 잠시 동안은 도움이 될 수 있지만 근본적인 문제를 해결하지는 못합니다. 앞으로 나아갈 최선의 길은 분명합니다. 엔지니어가 자동화를 활성화하고, 새로운 기능을 제공하며, 미션 우선순위가 바뀔 때 신속하게 대응할 수 있도록 지원되고 안전한 최신 플랫폼으로 오래된 플랫폼을 교체해야 합니다.

그렇다면 이제 문제는 레거시 Linux 리스크가 더 이상 감당할 수 없는 위기가 되기까지 얼마나 기다릴 수 있을까요?

이러한 위험을 감수하는 대신 AlmaLinux 및 Rocky Linux와 같은 RHEL 호환 커뮤니티 배포판으로 마이그레이션하고 TuxCare Enterprise Support(TES)를 추가하여 프리미엄 상용 배포판과 동등한 수준의 정부 등급 규정 준수 및 보안 기능을 이용할 수 있습니다.

커뮤니티 OS용 TES를 사용하면 FedRAMP 및 FIPS를 자동으로 간편하게 준수하고, 팀에 필요한 연중무휴 지원을 받을 수 있으며, 재부팅 없이 패치를 추가하는 등의 작업을 수행할 수 있습니다!

여기에서 TuxCare 기업 지원에 대해 자세히 알아보세요.

요약