SKT에서 무슨 일이 있었나
2025년 4월, SK텔레콤 핵심 서버에서 BPFDoor 악성코드가 발견됐습니다. 이 백도어는 리눅스 커널의 BPF(Berkeley Packet Filter) 기능을 악용해 네트워크 트래픽을 감시하고, 원격 명령을 실행하는 고도화된 도구입니다.
가장 충격적인 점은 기존 보안 솔루션으로 탐지가 거의 불가능했다는 것입니다. 방화벽을 통과하고, 프로세스 목록에 정상 프로세스로 위장하며, 로그를 남기지 않습니다.
합동조사단 발표에 따르면 감염 서버 23대에서 유심 정보를 포함한 대규모 데이터가 유출됐습니다. 피해 규모는 아직도 파악 중입니다.
교훈 1: "방화벽 있으니까 괜찮다"는 환상
BPFDoor는 이미 열려 있는 포트(80, 443)를 통해 통신합니다. 별도의 포트를 열지 않기 때문에 방화벽 로그에 이상 트래픽이 잡히지 않습니다.
전통적인 경계 보안(방화벽 + IPS)만으로는 이런 공격을 막을 수 없습니다. 서버 내부에서 행위 기반으로 이상을 탐지하는 EDR/XDR 솔루션이 필수인 시대입니다.
점검 포인트:
- 리눅스 서버에 EDR 에이전트가 설치되어 있는가?
- 커널 레벨 이벤트(BPF 프로그램 로드, raw socket 생성)를 모니터링하고 있는가?
- 서버 프로세스 목록을 주기적으로 베이스라인과 비교하고 있는가?
교훈 2: 로그가 없으면 침해를 증명할 수도 없다
BPFDoor는 시스템 로그를 조작하거나 삭제합니다. 서버에만 로그를 저장하면 침해 후 증거 자체가 사라집니다.
반드시 해야 할 것:
- 로그를 외부 SIEM/로그 서버로 실시간 전송 (rsyslog → 별도 서버)
- 로그 보존 기간 최소 6개월 (개인정보보호법 기준 최소 3개월, 권장 1년)
- 로그 무결성 해시 기록 (침해 시 법적 증거로 활용)
로그 인프라가 없는 상태에서 침해가 발생하면, 피해 범위 파악도, 신고 대응도, 법적 방어도 불가능합니다.
교훈 3: 보안 점검은 "사고 나기 전"에 해야 한다
SKT 사태 이후 많은 기업이 "우리도 점검해야 하는 거 아닌가?"라고 질문합니다. 맞습니다. 하지만 사고가 터진 후에 점검하면 이미 늦을 수 있습니다.
기업 서버 보안 기본 점검 항목:
| 항목 | 설명 | 시급도 |
|---|---|---|
| BPF 프로그램 목록 확인 | bpftool prog list로 비인가 BPF 확인 |
긴급 |
| 열린 포트 스캔 | 외부에서 접근 가능한 포트 확인 | 높음 |
| 프로세스 이름 위장 확인 | /proc/[pid]/exe 심볼릭 링크 검증 |
높음 |
| SSH 접근 제어 | 키 기반 인증, IP 제한 | 높음 |
| 패치 현황 | 커널 및 주요 패키지 최신 여부 | 중간 |
| 로그 전송 | 외부 로그 서버 연동 여부 | 중간 |
우리 회사 서버, 지금 안전한가?
SENTRIX는 해킹대회 수상, 레드팀 운영, 보안 실무 10년 경력의 전문가가 직접 서버 보안을 점검합니다. BPFDoor 같은 커널 레벨 위협부터 설정 미흡까지, 기업 환경에 맞는 맞춤 진단을 제공합니다.