보안 취약점 공개 후 가장 먼저 확인해야 할 것

이런 상황일 때

널리 쓰이는 프로그램에 심각한 취약점이 나왔다는 기사를 봤습니다. 제가 쓰는 것 같기는 한데 확실하지 않고, 기사에는 즉시 업데이트하라는 말만 있습니다. 뭘 해야 할지 모른 채 마음만 급합니다.

한 줄 결론

패치부터 찾지 마세요. 첫째 내 판이 무엇인가, 둘째 그 범위에 들어가는가, 셋째 밖에서 닿는가 — 이 순서입니다. 대부분은 세 번째 전에 끝납니다.

핵심 개념

먼저 내 판을 안다

가장 먼저 할 일이자 가장 자주 건너뛰는 일입니다. 판을 모르면 나머지 판단이 전부 추측이 됩니다. 여러 서비스를 쓴다면 평소에 적어 두는 편이 낫습니다.

다음으로 영향 범위와 대조한다

공지에는 어느 판부터 어느 판까지가 적혀 있습니다. 내 판이 그 밖이면 여기서 끝입니다. 많은 경우 여기서 끝납니다.

그 다음 밖에서 닿는지 본다

범위 안이라면 이제 노출을 봅니다. 인터넷에서 바로 닿지 않고 로그인이 필요하다면 급도가 크게 낮아집니다. 며칠 안으로 충분한 경우가 대부분입니다.

기사보다 공지가 정확하다

기사는 자극적인 부분을 앞세우고 조건을 생략합니다. 어느 판이 대상인가와 무엇을 해야 하는가는 만든 쪽 공식 공지에 있습니다.

수정본이 아직 없을 수도 있다

공개가 수정보다 먼저인 경우가 있습니다. 그때 공지에는 임시 조치가 적혀 있습니다 — 특정 기능 끄기, 접근 제한 같은 것들입니다. 그것을 먼저 하고 수정본을 기다립니다.

이런 분에게 해당됩니다

• 보안 뉴스를 보고 내 서버가 걱정되는 모든 분
• 여러 서비스를 올려 두고 어느 것이 해당되는지 모르는 분
• 가족이나 동료가 함께 쓰는 서비스를 관리하는 분

확인해야 할 항목

• 내가 그 프로그램을 실제로 쓰고 있는가
• 쓰고 있다면 정확한 판 번호가 무엇인가
• 공지의 영향 범위에 들어가는가
• 인터넷에서 바로 닿는가
• 수정본이 나와 있는가, 아니면 임시 조치가 있는가

잘못 이해하기 쉬운 부분

안전한 행동 순서

1. 그 프로그램을 쓰는지 확인합니다. 직접 깔지 않았어도 다른 것이 끌어다 쓰고 있을 수 있습니다.
2. 쓴다면 정확한 판 번호를 확인합니다.
3. 기사 말고 만든 쪽 공식 공지를 엽니다.
4. 영향받는 판 범위와 내 판을 대조합니다. 범위 밖이면 끝입니다.
5. 범위 안이면 밖에서 닿는지 확인합니다.
6. 수정본이 있으면 올리고, 없으면 공지의 임시 조치를 합니다.
7. 공지에 침해 확인 방법이 있으면 그것도 합니다.

확인 체크리스트

• 그 프로그램을 쓰는지 확인했다
• 정확한 판 번호를 확인했다
• 공식 공지의 영향 범위와 대조했다
• 외부 노출 여부를 확인했다
• 수정본을 올렸거나 임시 조치를 했다

관련 도구와 버전 페이지

• 내 소프트웨어 버전 확인
  내가 쓰는 버전을 적어 두면 최신과 얼마나 벌어졌는지 계산합니다. 다만 보안 공지·지원 종료·호환성은 아직 판정하지 못하며, 화면에도 그렇게 표시됩니다.
• 보안 공지 수집 — 아직 제공하지 않습니다
  이 사이트는 보안 공지를 모으지 않습니다. 어떤 판이 취약한지 알려 드리지 못하며 화면의 상태도 그렇게 표시됩니다. 각 제품의 공식 공지를 직접 보셔야 합니다.

자주 묻는 것

내 서버가 밖에서 닿는지 어떻게 확인하나요?

공유기의 포트 개방 설정과 자동 포트 기능을 보세요. 자기도 모르게 열려 있는 경우가 흔합니다. 바깥 회선에서 접속을 시도해 보는 것도 확실한 방법입니다.

공식 공지를 어디서 찾나요?

제품 홈페이지의 보안 항목, 저장소의 보안 권고 탭, 릴리스 노트 순으로 보시면 대개 나옵니다.

이미 당했는지 어떻게 아나요?

공지에 확인 방법이 적혀 있으면 그것을 따르세요. 없다면 평소와 다른 계정, 접속 기록, 바깥으로 나가는 통신을 살펴봅니다. 확신이 서지 않으면 전문가의 도움을 받는 편이 낫습니다.