Ivanti 스캐너는 ‘깨끗하다’ 했지만, Ivanti 문서는 증명이 아니라 한다

요약

Ivanti는 자사 지식베이스 문서에서 Integrity Checker Tool이 장비의 현재 상태를 찍은 스냅숏에 불과하며, 공격자가 장비를 깨끗한 상태로 되돌려 놓았다면 활동을 탐지하지 못할 수 있다고 인정하고, 하드웨어 장비는 패치 전에 공장 초기화를 하라고 권고한다.
공동 권고 AA24-060B는 더 나아간다. 공격자는 내부와 외부의 Integrity Checker Tool을 모두 속일 수 있으며, CISA의 실험실 연구는 공장 초기화를 해도 root 수준의 상주가 가능하다고 판정했다.

첫 번째 양보는 공급자 자신의 운영 문서에 적혀 있다. 한 걸음이 아니라 두 걸음 물러선 것이다. Ivanti Connect Secure와 Ivanti Policy Secure의 CVE-2023-46805, CVE-2024-21887 취약점과 관련해 회사는 이렇게 썼다. “We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.” 요컨대 장비 안에서 도는 검사기 자체가 공격 표적이 되었으니, 상대적으로 나은 도구는 바깥에서 실행하는 두 번째 도구라는 뜻이다(Ivanti 지식베이스 문서).

두 번째 양보는 더 날카롭다. 누군가 도구에 무엇을 할 수 있는지가 아니라, 도구가 무엇을 못 하는지를 말하기 때문이다. “The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.” 현재의 스냅숏은 정리된 과거를 증언하지 못한다. 스캔 결과를 장비의 상태가 아니라 장비의 이력에 대한 진술로 읽는 것은 도구를 잘못 읽는 일이며, 그 오독을 먼저 지적한 쪽은 공급자 자신이었다.

세 번째 문장은 원래 조달 논쟁을 끝냈어야 했다. “Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.” 패치와 스캔이면 충분하다고 믿는 공급자는 고객에게 하드웨어를 지우라고 하지 않는다. 초기화를 먼저 하라는 처방은, 검사가 닿지 못하는 층이 이미 손대어졌을 수 있다는 전제 위에서만 나온다.

공동 권고는 같은 사실을 탁자 반대편에서, 더 무거운 문장으로 말한다. “Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.” 범위를 보라. 내부와 외부가 모두 들어 있다. 공급자가 자기 문서에서 제안한 ‘바깥으로’라는 후퇴는, 서명 기관이 속일 수 있다고 쓴 그 문장 안에 그대로 들어간다(공동 사이버보안 권고 AA24-060B).

이어지는 문장이 고리를 닫는다. “In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.” Ivanti가 여전히 모범 사례라고 부르는 조치를 한 뒤에도 root 수준의 상주가 가능하다는 것이다. 여기서 두 당사자가 어긋나는 게 아니다. 공급자의 권고는 ‘초기화하고 나서 패치하라’이고, 권고의 연구 결과는 ‘초기화로는 부족하다’이다. 앞의 문장은 뒤의 문장을 부정하지 않는다. 나아가 초기화를 권하는 이유 자체가, 검사 결과를 증거로 쓸 수 없다는 인식이다.

연표도 도구만큼 조심스럽게 다뤄야 한다. General Services Administration(GSA)의 FedRAMP 아카이브 페이지에 따르면, Department of Homeland Security(DHS) 산하 Cybersecurity and Infrastructure Security Agency(CISA)는 2024년 1월 19일 금요일에 Emergency Directive 24-01을, 이어 같은 달 1월 31일 수요일에 Supplemental Direction v1을 발표했으며, 같은 페이지는 이 보충 지시가 해당 지령의 required action 4를 대체했다고 적고 있다(FedRAMP 아카이브의 ED 24-01 페이지, Supplemental Direction v1 페이지). 다만 지령 본문 자체는 읽지 못했다. 날짜와 대체 사실은 아카이브 기록에 근거하며, ED 24-01 아카이브 페이지는 머리글에 1월 18일을 표시하면서 본문에서는 19일 금요일이라고 적고 있어 이 글은 본문을 따른다. CISA의 해당 페이지(ED 24-01, Supplemental Direction v1)는 본문을 확보하지 못했다. 그래서 이 글이 주장하는 것은 무엇을 명령했는지가 아니라, 두 날짜와 required action 4가 대체되었다는 사실뿐이다. 공동 권고는 게시일을 그대로 확인하지 못해 날짜 대신 식별자 AA24-060B로 인용한다. 공급자 문서는 판(버전) 식별자가 바뀌므로 게시일이나 개정일을 주장하지 않는다.

원인은 주의력이 아니라 계측에 있다. 검사 도구는 장비 위에서 돌고, 장비 자신의 파일 시스템에 대해 보고한다. 누군가 그 파일을 고치고 시간 기록을 맞추고 런타임 파티션을 다시 마운트할 수 있다면, ‘아무것도 발견되지 않음’은 검사받는 환경 스스로가 만들어 낸 출력이 된다. 그래서 실무 통제는 한 곳에만 놓인다. 깨끗하다는 주장이 문제가 된 계측기 하나에만 기대서는 안 되며, 조치 기록에는 무엇을 스캔했는지가 아니라 무엇을 다시 만들었는지, 무엇을 새로 배포했는지를 적어야 한다. 이사회가 공급자에게 던질 질문은 결국 하나다. 의심받는 계측기를 거치지 않는 깨끗한 상태의 증거는 무엇인가.

이 글은 침해 장비 대수도, 위음성 비율도, 이후 각 기관의 조치도 제시하지 않는다. 제시하는 것은 두 개의 1차 문서가 자신들이 내놓은 도구의 한계를 자기 말로 적어 두었다는 사실과 그 날짜다. 스캔 결과는 방 안쪽 벽에 나사로 고정된 카메라가 찍은 사진에 가깝다. 사진이 완벽할 수는 있어도, 사진에 없는 것의 유무는 사진이 결정하지 못한다.