요약

  • 연구진이 APNIC 62에서 발표한 바에 따르면, 2026년 2월 2일 단 한 차례의 IPv4 스캔에서 APNIC 지역 1,343개 AS가 관리하는 노출된 BGP 라우터 4,611대가 발견됐으며, 그중 347대가 경계(border) 라우터로 분류됐다.
  • 여기서 “노출(exposed)”은 특정한 의미를 갖는다. 임의의 인터넷 발신지가 TCP 179번 포트에서 TCP 연결 설정을 완료하고, 요청하지 않은 OPEN 교환 중 BGP 응답을 받은 경우다. 이는 해당 라우터가 공격당했거나 침해됐다는 뜻이 아니다.
  • 이 측정은 현재 레지스트리 조사가 아니라 시점이 고정된 추론이다. 유럽의 한 관측 지점만 사용했고, IPv6는 측정하지 않았으며, 모든 라우터 그룹화와 ASN 귀속에 대해 인터넷 규모의 실측 기준(ground truth)이 없다.
  • 유용한 다음 기록은 공개된 대상 목록이 아니다. 기밀 통지와 운영자의 처리(disposition), 이어지는 동일 조건의 재스캔, 그리고 프라이버시를 보호하는 집계 형태의 종결 영수증이다.

포트 배너를 넘어선 응답

TCP 포트가 열려 있다는 사실만으로는 많은 것을 제대로 설명할 수 없다. APNIC 62 발표는 프로토콜 상으로 한 단계 더 나아갔다. 연구진은 먼저 TCP 179번 포트에서 응답하는 IPv4 주소를 찾은 뒤, 표준을 준수하는 BGP OPEN 메시지를 보내고 그 응답을 분석했다. 노출된 라우터에 대한 이들의 작업 정의는, 임의의 인터넷 주소에서 오는 요청하지 않은 교환에 대해 유효한 BGP 응답이 돌아온 경우였다.

이 구분이 중요하다. 응답은 전체 세션이 수립되기 전에도 ASN, BGP 식별자, 지원하는 기능(capability)을 드러낼 수 있다. 또한 제어 평면이 일부 처리와 세션 상태를 할당하게 만든다. RFC 7454는 BGP 이웃이 되도록 알려졌거나 허용된 발신지가 아닌 경우 TCP 179번 포트로 오는 트래픽을 폐기할 것을 권고하며, 플랫폼이 지원한다면 제어 평면 전용 필터링을 사용하는 것을 선호한다.

그러나 이 구분에도 한계가 있다. 응답이 곧 공격자가 소프트웨어 결함을 찾았거나, 지속적인 BGP 세션을 수립했거나, 경로를 변경했거나, 트래픽을 방해했거나, 고객에게 피해를 입혔다는 증거는 아니다. 논문은 정보 노출, 구현 결함에 대한 노출, 자원 고갈을 가능한 위험으로 기술한다. 다만 APNIC 표본에서 그런 사건이 발생했다고 보고하지는 않는다.

지역 단위 집계는 추론된 스냅샷이다

글로벌 Scan-179 결과는 TCP 연결을 수락하고 OPEN 메시지를 교환한 141,313개의 IPv4 주소에서 시작됐다. 연구진은 이 인터페이스들을 4,194개 AS에 연결된 20,432개 라우터로 그룹화했다. 이중 1,127개는 경계 라우터, 16,124개는 내부 라우터, 3,181개는 분류되지 않은 것으로 분류했다.

APNIC 62에서는 자료에 지역 컷이 제공됐다. 1,343개 AS가 관리하는 4,611개 라우터, 그중 347개가 경계 라우터로 분류됐다. 이 나라별 차트는 라우터가 아니라 AS를 집계한다. 인도네시아가 387개로 가장 많고, 방글라데시 209개, 일본 115개가 뒤를 잇는다. 인도는 92개다. 이는 저자들의 매핑 방법 안에서의 관찰이며, 무책임한 네트워크 순위표가 아니다.

이 그룹화는 영리하지만 권위적이지는 않다. BGP 식별자, OPEN에서의 ASN, 인터페이스와 AS 간 매핑을 결합한다. 사설 ASN과 공유 주소 체계는 이 결합(join)을 복잡하게 만들 수 있다. 공개 ASN을 가진 라우터에서 관측된 인터페이스가 같은 AS로 매핑되면, 내부 라우터일 수도 있고 자기 네트워크에서 공급받은 주소를 쓰는 경계 라우터일 수도 있다. 그래서 저자들은 토폴로지가 보인다는 가정을 하지 않고 수천 개의 라우터를 미분류로 남겨둔다.

연구진은 또한 눈에 띄는 오탐 클래스를 제거했다. 약 1,627개 주소가 스캐너의 ASN과 BGP 식별자를 그대로 복제했는데, 이 주소들이 다수의 포트를 노출하고 Shodan의 허니팟 라벨을 달고 있음을 확인한 뒤 허니팟으로 가능성이 높다고 판단한 것이다. 이는 데이터셋을 개선할 뿐, 남은 모든 항목에 대한 실측 기준을 만들어 주지는 않는다.

2월은 9월이 아니다

스캔은 2월 2일 유럽의 한 관측 지점에서 단 한 번 수행됐다. 논문은 IPv4 전용이며 응답한 장비만 본다. 필터는 발신지, 경로, 시점, 유지보수 상태, 플랫폼 정책에 따라 달라질 수 있다. 2월에 집계된 라우터가 지금은 닫혀 있을 수도 있고, 보호되어 접근 불가능한 라우터는 애초에 나타나지 않았을 수도 있다.

따라서 9월 발표는 새로운 9월 스캔이 아니라 새로운 출판과 지역 프레임이다. 이 측정을 수행한 것은 APNIC이 아니며, APNIC은 해당 라우터들을 통제하지 않는다. 여기서 APNIC의 유용한 역할은 연구 결과를 그 구성을 설명하거나 바꿀 수 있는 운영자와 만나게 하는 포럼이라는 것이다.

그 설명은 여전히 빈약하다. 논문에 따르면 연구진은 12개 운영자에게 연락했고, 한 곳이 자신의 IP-AS 매핑을 확인하며 기본 BGP 프로토콜 동작이 179번 포트에 충분한 보호를 제공한다고 주장했다. 연구진은 어려운 벤더 가이드나 소프트웨어 한계를 포함한 다른 가능한 설명을 언급한다. 한 곳의 답변으로 나머지 지역 1,342개 AS를 분류할 수 없으며, 침묵을 과실로 번역할 수도 없다.

빠진 기록은 탐지 이후에 시작된다

책임 있는 워크플로는 대상 관련 증거를 비공개로 유지해야 한다. 각 사건은 스캔 시각과 관측 지점, 프로브 버전, TCP 및 BGP 응답 클래스, 인터페이스를 라우터와 AS에 연결하는 데 쓴 추론, 신뢰도 수준을 기록할 수 있다. 그다음 라우팅 보안 또는 어뷰즈 담당 연락처, 전달 시각, 귀속에 대한 정정 사항을 확인해야 한다.

운영자의 처리(disposition)가 결정적인 필드다. 의도된 경계가 있는 예외, 오래된 접근 목록, 필터링 결함, 지원 중단된 플랫폼, 은퇴한 인터페이스, 잘못된 귀속, 또는 문서화된 다른 이유. 변경이 필요한 경우 기록에는 담당자와 기한이 필요하다. 재측정은 비교 가능한 조건에서 수행해야 하며, 발신지 기반 필터링이 유의미한 경우 두 번째 관측 지점을 사용해야 한다.

공개 출력은 집계에 머물 수 있다. 전달된 통지, 접수된 확인 응답, 기록된 처리 결과, 수용된 정정, 종결된 노출, 재스캔 대기 중인 사건. IP 주소나 특정 AS의 이름은 나타날 필요가 없다. 그 결과는 주목할 만한 수치가 대상 목록을 공격자용 디렉터리로 바꾸지 않으면서 수리 프로그램이 되었는지를 보여줄 것이다.

출처