RDP(원격 데스크톱 프로토콜) 공격을 예방하는 방법은?

RDP는 T-120 프로토콜 계열 표준을 기반으로 합니다. Microsoft가 네트워크를 통해 다른 컴퓨터에 원격으로 연결하고 제어하는 기능을 제공하면서 널리 알려졌습니다. RDP는 네트워크 통신을 보호하고 사용자가 원격으로 데스크톱을 조작하도록 합니다.

하지만 RDP에도 위험은 있습니다. 공격자는 이를 악용해 디바이스에 무단으로 접근할 수 있습니다. RDP가 처음 등장한 이후 Windows는 16차례 주요 버전을 출시했습니다. 그동안 위협 행위자들은 RDP를 탈취해 Windows 서버와 디바이스에 원격으로 접근할 기회를 여러 번 얻었습니다. 이 가이드에서는 RDP 공격을 예방하고 시스템을 보호하는 방법을 안내합니다.

RDP(원격 데스크톱 프로토콜) 공격이란?

RDP는 Microsoft가 개발한 통신 연결 프로토콜로, 사용자가 데스크톱 디바이스나 Microsoft OS를 사용하는 다른 디바이스를 원격으로 제어하도록 합니다. 원격 데스크톱 연결은 원격 연결의 주요 통로인 TCP(전송 제어 프로토콜) 포트 3389를 사용합니다. 위협 행위자가 암호화된 채널을 침해하고 장악하는 것을 RDP 공격이라고 합니다.

RDP 공격의 진행 과정을 간략히 살펴보겠습니다:

• 공격자는 먼저 RDP 포트를 스캔합니다. 연결된 활성 디바이스가 있다면 이를 네트워크 진입점으로 삼습니다. 위협 행위자는 이 포트에서 무차별 대입 공격으로 네트워크에 침입하고, 많은 RDP 연결을 악용할 수 있습니다.
• 초기 침해에 성공하면 공격자는 서브넷을 포함한 전체 네트워크를 스캔하고 침투 범위를 넓힙니다. 분산 컴퓨팅 환경의 여러 엔드포인트에 연결하거나 원격 프로시저 호출을 실행하는 데 Windows Management Instrumentation™ 연결을 사용해 다양한 공격을 일으킬 수 있습니다.
• 디바이스를 침해한 공격자는 제어권을 장악합니다. 명령 및 제어 인터페이스를 사용해 인프라의 다른 엔드포인트와 네트워크에 명령을 보냅니다. 침해한 머신을 이용해 비표준 포트에 새로운 RDP 연결을 만들 수도 있습니다.
• 이 단계에 이르면 공격자는 네트워크 내부에서 횡적 이동을 하며 기업 환경 깊숙이 침투할 수 있습니다. 더 높은 권한을 얻고 민감한 데이터를 탈취하며 중요 자원을 장악할 수 있습니다. 조직의 최신 보안 체계에 탐지되지 않도록 회피할 수도 있습니다.

사이버 범죄자는 RDP를 어떻게 악용하나요?

RDP 공격은 분산 근무 인력과 외부 계약업체를 집중적으로 노립니다. 컴퓨팅 자원을 탈취하면 얻을 수 있는 이익이 크고, RDP를 통해 Windows 서버와 세션에 접근하는 경로를 더 자세히 파악할 수 있기 때문입니다.

초기 RDP에는 오늘날과 같은 보안 및 개인정보 보호 조치가 없었습니다. 사용자 인증에는 사용자 이름과 비밀번호만 필요했습니다. RDP에는 기본적으로 다단계 인증이 내장되어 있지 않았습니다.

무단 RDP 접근을 탐지하는 방법은?

무단 RDP 접근을 탐지하려면 다음 단계를 따르세요:

• RDP 로그에서 이상 행동이나 악성 활동의 징후를 확인하세요. 로그인 실패 시도, 빈번한 로그인, 알 수 없는 IP 주소에서의 로그인을 살펴보세요. 이러한 시도는 해커가 시스템에 접근하려 했음을 보여줍니다.
• SentinelOne과 같은 네트워크 모니터링 도구로 네트워크 트래픽을 검사하고 분석하세요. 네트워크 이상 징후와 비정상적인 트래픽 패턴을 살펴보고, 특정 IP 주소와 대량의 데이터가 송수신되는지 확인하세요.
• 문제가 발생하면 포트 3389의 활동량이 급증합니다. 네트워크 트래픽을 기록하고 모니터링하며, 스캔을 통해 원치 않는 접근 시도를 식별하세요.

RDP 공격 예방을 위한 모범 사례(10개 이상 포함)

다음 사례를 순서대로 적용하세요. 적용 과정에서 RDP 공격을 예방하는 방법을 익힐 수 있습니다:

• 특수 문자, 숫자, 문자, 기호를 조합해 강력한 비밀번호를 만드세요. 길이는 최소 15자 이상을 권장합니다. 비밀번호 조합을 다양하게 만들고 모든 계정에 같은 비밀번호를 재사용하지 마세요. 모든 비밀번호를 기억하고 관리하기 어렵다면 비밀번호 금고를 사용하세요.
• 모든 클라이언트 및 서버 소프트웨어 버전에 Microsoft 업데이트를 자동으로 적용하세요. 설정이 켜져 있고 수동 요청 없이 백그라운드에서 업데이트가 설치되는지 확인하세요. 공개적으로 알려진 익스플로잇이 있는 RDP 취약점은 우선적으로 패치하세요.
• 다단계 인증을 도입하고 최신 계정 잠금 정책을 적용해 무차별 대입 공격에 대응하세요. 보안을 강화하려면 기본 RDP 포트도 3389에서 다른 번호로 변경하세요.
• 연결 허용 목록을 사용해 신뢰할 수 있는 특정 호스트로 연결을 제한하세요. 원격 데스크톱 포트에는 선택하고 검증한 IP 주소만 접근하도록 제한하는 것이 좋습니다. 서버 설정을 변경하면 허용 목록에 없는 IP 주소의 연결 시도를 거부할 수 있습니다. 악성 시도와 프로세스도 자동으로 차단합니다.
• 제로 트러스트 네트워크 보안 아키텍처(ZTNA)를 구축하고 모든 계정에 최소 권한 접근 원칙을 적용하세요. 정기적으로 점검해 모든 RDP 포트가 안전하게 보호되는지 확인하는 것이 중요합니다.
• 방화벽을 설치해 RDP 연결에 대한 접근을 제한하세요. 회사의 가상 사설망 주소 풀도 RDP 방화벽 예외 규칙에 추가하세요. 새로운 RDP 연결을 설정하기 전에 네트워크 수준 인증을 활성화하세요.
• NLA를 지원하지 않는 플랫폼에서 원격 데스크톱 클라이언트를 사용한다면, NLA 없이 연결을 수락하도록 원격 데스크톱 서버를 설정하세요. 그룹 정책 설정을 확인하고 모든 원격 연결에 사용자 인증을 필수로 지정하세요.
• 계정 잠금 정책도 설정할 수 있습니다. 비밀번호 입력이 지정된 횟수만큼 실패하면 자동화된 비밀번호 추측 도구를 통한 해커의 무단 접근을 막습니다. 잘못된 입력은 최대 3회로, 잠금 시간은 3분으로 설정할 수 있습니다.
• 고급 AI 위협 탐지 및 악성코드 방지 제품을 사용하세요. 백그라운드 스캔과 엔드포인트 보안 모니터링을 설정해 디바이스, 네트워크, 사용자를 지속적으로 감시하세요. 내부자와 섀도 IT를 통한 공격을 예방하고 보호 계층을 추가할 수 있습니다.
• 직원들에게 실패한 RDP 연결과 접근 시도를 식별하는 방법을 교육하세요. 필요하다면 익명으로 발견 사항을 신고하도록 장려하고, 직장에서 투명한 소통 문화를 조성하세요. 직원들이 적극적으로 참여하면 팀 전체가 같은 상황을 이해하고 대응할 수 있습니다. 모든 부서는 RDP 공격 예방법과 공격자가 제어권과 권한을 확대하는 단계를 알아야 합니다. 안전은 자동화 도구와 워크플로를 방어에 활용하기에 앞서, 이러한 기술을 사용하는 사용자를 보호하는 것에서 시작됩니다.

RDP 공격에 대응하는 방법은?

사용하세요 을 사용하여 사고 조사를 자동화하고 최적의 RDP 플레이북 관행을 적용하십시오. SOC 팀의 대응 속도를 높일 수 있습니다. RDP 감염에 노출된 경우 취해야 할 조치는 다음과 같습니다:을 사용해 사고 조사를 자동화하고 RDP 대응 플레이북의 모범 사례를 적용하세요. SOC 팀의 대응 속도를 높일 수 있습니다. RDP 감염이 발생했다면 다음 단계를 따르세요:

• 침해된 사용자와 공격자의 IP 주소를 발견하는 즉시 차단하세요. 위협을 억제하고 격리하는 데 필요합니다. ASN 조사를 시작하고 사용자 활동을 살펴보세요. SentinelOne의 XSOAR 모듈을 사용해 RDP 관련 캠페인을 탐지하세요.
• Singularity Threat Intelligence와 Purple AI로 공격자의 IP 주소에 대한 심층 인사이트를 얻으세요. 침해된 엔드포인트를 격리하고 MITRE의 여러 단계에 따라 활동 내역을 가져오세요.  SentinelOne은 정보 보강부터 조사와 대응까지 모든 과정을 안내합니다. 사고를 종료하고 정보를 업데이트한 뒤 XDR과 동기화할 수 있습니다. 통합 대시보드와 콘솔에서 내부 및 외부 사용자 관리 환경에 관한 모든 정보를 확인할 수 있습니다.
• 심층 조사를 수행하려면 SentinelOne의 위협 헌팅 서비스를 이용해 보세요. 공격자의 IP 주소나 캠페인과 관련된 다른 IoCs(침해 지표)를 확인할 수 있습니다.침해 지표)에 대한 정보를 제공합니다.
• SentinelOne 플랫폼을 계속 사용해 RDP 무차별 대입 공격을 방어하고 조직의 중요 자산을 보호하세요. 효과적인 사이버 보안 조치를 적용하고 새로운 위협에 대비해 클라우드 방어를 강화하세요.

실제 RDP 기반 사이버 공격 사례

RDP의 기본 포트 3389는 경로상 공격에 악용될 수 있습니다. BlueKeep는 가장 심각한 RDP 취약점 중 하나로, 공식 식별자는 CVE-2019-0708입니다. 인증이 필요 없는 원격 코드 실행(RCE) 취약점이었으며 특정 형식을 따랐습니다. 실제 악용이 가능했고 결국 네트워크 내 다른 시스템으로 확산되었습니다. 사용자는 아무런 조치를 취할 수 없었고, 공격자는 무단 접근으로 시스템을 침해한 뒤 네트워크 내부에서 횡적으로 이동했습니다. 또한 권한을 상승시키고 악성코드를 설치했으며, 랜섬웨어까지 배포했습니다.

공격자는 Shodan과 같은 웹 크롤러를 사용해 잘못 구성된 RDP 포트를 빠르게 찾아 공격할 수 있습니다. 무차별 대입 공격으로 자동으로 무단 접근 권한을 얻거나 중간자(MitM) 공격을 시작할 수도 있습니다. Sodinokibi, GandCrab, Ryuk 같은 악성코드 모듈도 RDP 공격에 사용될 수 있으며, Baltimore시가 겪은 RobinHood 랜섬웨어 공격이 그 사례입니다.

SentinelOne으로 RDP 공격 완화

SentinelOne은 의심스러운 P2P 원격 데스크톱 공격을 포함해 원격 데스크톱 프로토콜 연결을 차단할 수 있습니다. 엔드포인트 보안 기능으로 전체 원격 셸에 대한 원격 접근을 보호할 수 있습니다. SentinelOne 에이전트를 배포하면 RDP 관련 프로세스와 연결을 포함한 모든 애플리케이션과 파일을 모니터링할 수 있습니다.

SentinelOne은 RDP 관련 기기를 포함한 모든 기기에 원격 액세스를 자동으로 배포합니다.

SentinelOne으로 파일을 격리하고 무단 변경 사항을 되돌릴 수도 있습니다. TeamViewer나 VMC 같은 상용 도구로 원격 제어를 수행하는 P2P RDP 공격을 탐지하고 차단합니다.

RDP 연결을 표적으로 삼고 악용하는 것으로 알려진 BlueKey 취약점 등 최신 취약점도 탐지하고 방어합니다. SentinelOne은 정책 기반 액세스 제어와 같은 추가 보안 조치를 제공합니다. 전용 비밀번호로 각 세션을 암호화하고 다단계 인증도 적용합니다.

액세스를 허용하기 전에 2단계 인증을 적용하며 상세한 감사 데이터를 제공합니다.

SentinelOne으로 RDP 관련 프로세스와 연결을 포함한 모든 기기에 원격 액세스를 배포할 수도 있습니다.

SentinelOne의 에이전트와 명령줄 도구로 에이전트를 관리합니다. 상태 확인과 진단을 수행하고 엔드포인트를 모니터링하고 보호합니다. SentinelOne은 전용 앱을 통해 SonicWall, NinjaOne 같은 다른 플랫폼과도 연동됩니다. 여러 플랫폼에서 원활한 RDP 연결을 보장하고 최고의 AI 기반 통합 보안을 제공합니다.

무료 라이브 데모를 예약하세요.

결론 및 CTA

RDP 공격은 규모에 관계없이 모든 조직에 여전히 위협입니다. 이 가이드의 수칙을 따라 이러한 공격을 방어하세요. 보안을 유지하려면 강력한 비밀번호, 다중 인증, 정기적인 업데이트가 필요합니다. 네트워크 트래픽과 RDP 로그를 모니터링하여 의심스러운 활동을 조기에 포착하세요. RDP를 사용하지 않을 때는 비활성화하고 방화벽과 허용 목록을 통해 접근을 제한하세요. 하지만 탄탄한 방어 태세를 갖추려면 고급 도구와 직원 교육도 필요합니다. SentinelOne은 RDP 기반 위협을 자동으로 탐지하고 차단하는 AI 기반 보호 기능을 제공하여, 원격 데스크톱 환경에 대한 완전한 가시성과 제어력을 제공합니다.

지금 기업을 보호하는 플랫폼, SentinelOne.