요약

  • Dan Farmer와 Wietse Venema의 1993년 논문은 공격자가 보는 네트워크 서비스 시점을 시스템 관리자가 반복 수행할 수 있는 감사로 전환할 것을 제안했고, SATAN은 이후 그 접근을 더 쉽게 실행하고 해석할 수 있게 만들었습니다.
  • CERT는 SATAN을 테스팅 및 보고 도구로 묘사하면서도, 탐색 모드가 관리자의 관할 밖에 있는 호스트까지 탐색할 수 있다고 경고했습니다. 사용 용이성은 방어적 도달 범위와 의도하지 않은 트래픽 가능성을 동시에 넓혔습니다.
  • 스캔은 정의된 실행 범위 내에서 검사가 관찰한 내용을 보고할 뿐입니다. 그 자체로 행위자의 의도를 특정하거나, 침해를 입증하거나, 권한을 확정하거나, 검사하지 않은 시스템이 안전하다는 것을 보여주지 않습니다.

외부 시점을 쓸 수 있게 만들다

보안 조언은 흔히 관리자에게 침입자처럼 생각하라고 요구합니다. Farmer와 Venema의 기여는 그 지침을 실행 가능한 형태로 만든 것이었습니다. 1993년 논문 "Improving the Security of Your Site by Breaking Into It"은 방어자가 네트워크에서 약점을 드러내는 방법으로 자신의 시스템을 점검해야 한다고 주장했습니다. 각 호스트 내부에서 완성하는 체크리스트로 보안을 다루는 대신, 논문은 연결된 서비스를 점검하고 외부자가 마주할 수 있는 약점을 찾는 방식을 설명했습니다.

기록에 남은 명칭은 도구의 개발 과정을 반영합니다. 1993년 논문은 SATAN을 "Security Analysis Tool for Auditing Networks"라고 불렀고, CERT 조정 센터의 1995년 권고는 더 긴 명칭 "Security Administrator Tool for Analyzing Networks"를 사용했습니다. 논문은 Farmer와 Wietse Venema의 공동 저작이며, 이후의 제품과 공개 논쟁이 그 공동 저작을 지워서는 안 됩니다. 2014년 USENIX 인터뷰에서 Farmer는 논문에서 SATAN을 언급한 것이 두 사람이 예상한 것보다 큰 관심을 불러일으켜 직접 개발을 진지하게 고민하게 되었다고 회상했습니다. 이는 그의 회고적 서술이며, 배포나 특정 사용의 증거가 아닙니다.

CERT의 설명은 이 도구가 왜 중요했는지를 이해하게 해 줍니다. SATAN은 finger, NFS, NIS, FTP, rexd 같은 서비스를 점검하면서 네트워크에 연결된 호스트에 대한 정보를 수집했습니다. 발견 사항을 요약하고 간단한 규칙으로 잠재적 보안 문제를 조사하며, 간단한 설명과 패치나 우회 방법에 대한 포인터를 제공할 수 있었습니다. 네트워크 토폴로지, 사용 중인 하드웨어와 소프트웨어 같은 더 넓은 사실도 수집했습니다. 실질적 전환은 "누군가 네트워크를 점검해야 한다"는 상태에서 여러 기계에 걸쳐 시각을 조립할 수 있는 반복 가능한 프로세스로의 이동이었습니다.

이는 보안 작업을 더 읽기 쉽게 만들었습니다. 시스템 관리자는 관찰된 서비스를 의도된 구성과 비교하고, 알려진 약점을 찾고, 수정 사항을 적용할 위치를 결정할 수 있었습니다. 그러나 보고서는 여전히 점검 결과이지 재정이 아니었습니다. 나열된 조건은 조사하고 처리할 사항이지, 공격자가 이를 악용했다는 증거가 아니었습니다. 깨끗한 보고서가 안전함을 증명하지도 않습니다. 스캐너는 그 실행에 포함된 서비스, 검사, 호스트, 시점에 대해서만 말할 수 있습니다.

경계는 도구의 일부였다

CERT의 1995년 4월 3일자 권고는 처음에 beta 0.51을 기반으로 작성되었고 이후 공식 1.1.1 출시 후 갱신되었으며, 명시적으로 지정되지 않은 호스트까지 탐색할 수 있는 탐색 모드를 설명했습니다. 그 호스트들은 운영자의 관리 관할 밖에 있을 수 있었습니다. CERT는 악의적 사용과 함께, 합법적 관리자가 탐색 중에 실수로 다른 사이트를 스캔할 가능성도 함께 언급했습니다.

이것은 단순히 사용자가 선의를 갖고 있는지의 문제가 아니었습니다. 도구의 스코프는 운영자가 무엇을 지정하는지, 도구가 그 출발점에서 무엇을 발견하는지, 후속 검사가 어디까지 이동할 수 있는지에 달려 있습니다. 권고의 경고는 "내 네트워크에서 시작했다"는 것이 모든 후속 탐색이 그 안에 머문다는 것을 의미하지 않는다는 점입니다. 공유 인프라와 인접 시스템은 운영자가 의도한 테스트의 일부가 아니면서도 트래픽을 경험할 수 있었습니다.

CERT는 별개의 문제를 별개로 다루었습니다. SATAN에 관한 일반 권고는 독자를 CA-95.07a로 안내하는데, 이는 1.0 출시 이후의 SATAN 취약점을 다룹니다. 그 소프트웨어 취약점은 지정된 대상을 넘어서는 탐색적 스캔과 동일하지 않습니다. 두 기록을 구분하는 것이 중요합니다. 하나는 스캔의 스코프에 관한 것이고, 다른 하나는 스캔 도구 자체의 결함에 관한 것입니다.

역사 기록은 신중한 결론을 뒷받침합니다. SATAN은 네트워크 감사를 더 접근 가능하고 보고 가능하게 만들면서, 자동화가 지정된 대상과 발견된 이웃 사이의 경계를 흐릴 수 있음을 드러냈습니다. 특정 스캔이 무단이었다거나, SATAN이 호스트를 침해했다거나, 그 도구가 특정 사건을 일으켰다는 주장을 뒷받침하지 않습니다. 권고는 식별된 피해자에 관한 사건 기록이 아니라 하나의 능력과 하나의 위험을 설명합니다.

현대 독자에게 남는 질문은 테스트가 실제로 무엇을 확립하는가입니다. Lu Heng의 Note 65 "Running-Code Primacy"는 여기서 운영체제에 관한 증거를 바라보는 편집적 렌즈로만 사용됩니다. 살아있는 관찰은 실행 중인 시스템이 실제로 수행한 것으로 경계 지어져야 한다는 원칙입니다. 이는 Farmer, Venema 또는 SATAN에 관한 증거가 아닙니다. 그 렌즈 아래에서 스캔은 대상 목록, 발견 동작, 관찰 창, 제외 항목이 보일 때 비로소 유용합니다.

출처