Cloudflare, NetScaler 취약점 대응 위한 심층 방어 및 제로 트러스트 전략 제시

NetScaler 취약점과 대응의 필요성

최근 Citrix NetScaler 게이트웨이에서 심각한 취약점(CVE-2026-88771, CVE-2026-88772 등)이 공개되었으며, 특히 CVE-2026-88771은 인증 없이 명령 실행이 가능한 문제로 활발히 악용되었다. 이 취약점은 로그인 페이지가 애플리케이션 서버를 침해하는 공격 표면이 될 수 있음을 보여준다. Citrix는 2026년 9월 27일 해당 취약점에 대한 공지를 발표했으며, 이후 10월 3일과 10월 8일에는 SAML 구성의 추가 취약점에 대한 권고를 발행했다. 이러한 취약점들은 공격자가 대상 시스템에서 임의 스크립트를 실행하거나 서비스 거부(DoS) 공격을 수행할 수 있도록 허용한다.

긴급 패치 적용은 필수적이지만, 이는 서비스 중단이나 사용자 접근 방해와 같은 운영상의 어려움을 초래할 수 있다. 또한, 웹 애플리케이션 방화벽(WAF) 규칙은 일시적인 방어 수단으로, 새로운 공격 변종이나 제로데이 익스플로잇에는 즉각적으로 대응하기 어렵다. 인공지능(AI)의 발전으로 공격자들이 새로운 공격 방식을 빠르게 개발할 수 있게 되면서, 단일 보안 실패가 치명적인 문제로 이어지지 않도록 심층 방어(defense-in-depth) 전략을 구축하는 것이 중요해졌다. 이는 NetScaler뿐만 아니라 원격 데스크톱 포털, 관리 콘솔 등 인터넷에 노출된 모든 내부 애플리케이션에 해당한다.

제로 트러스트 기반의 심층 방어 전략

Cloudflare는 NetScaler와 같은 인증 서비스의 보안을 강화하기 위해 제로 트러스트(Zero Trust) 원칙에 기반한 심층 방어 전략을 제시한다. 이 전략은 접근 정책, 웹 애플리케이션 보안, 그리고 원본 연결 제한을 결합하여 새로운 취약점이 공개되기 전에 인증 서비스를 보호하는 것을 목표로 한다. 핵심은 요청이 기존 게이트웨이 서버에 도달하기 전에 Cloudflare Access를 통해 독립적인 접근 정책을 적용하는 것이다. 이를 통해 공격자는 게이트웨이 서버에 직접 접근하여 특정 익스플로잇을 시도할 수 없으며, 오직 Cloudflare Access 로그인 페이지만을 보게 된다.

이러한 접근 방식은 익스플로잇 시그니처를 인식하고 차단하는 반응적인 방식이 아니라, 애초에 접근 권한이 있는지를 판단하는 제로 트러스트 정책에 기반한다. Cloudflare는 자사의 아키텍처에서 '고객 제로(customer zero)' 원칙을 통해 노출을 줄이고 독립적인 방어를 사용하여 하나의 결함이 전체 시스템 침해로 이어지지 않도록 한다. 이는 사용자가 애플리케이션에 접근하기 전에 거치는 서비스에서부터 보안을 강화하는 실질적인 시작점이 된다.

구체적인 보안 제어 방안

Cloudflare는 원본 서버에 대한 직접적인 연결을 차단하기 위한 여러 기술적 방안을 제공한다. 단순히 DNS 레코드를 변경하고 Access 정책을 적용하는 것만으로는 불충분하며, 공격자가 원본 IP 주소나 대체 호스트 이름을 통해 직접 연결하는 것을 막아야 한다. 가장 일반적인 방법은 Cloudflare Tunnel을 사용하는 것이다. 이는 애플리케이션 서버에서 아웃바운드 전용 터널을 설정하여 모든 인바운드 IP 트래픽을 차단함으로써 서버에 공개 IP 주소가 노출되지 않도록 한다.

공개 원본 IP 주소를 유지해야 하거나 커넥터 소프트웨어를 실행할 수 없는 경우에는 네트워크 제한과 원본 인증이 필요하다. 예를 들어, Dedicated CDN Egress IPs를 사용하면 Cloudflare에서 원본으로 가는 트래픽에 전용 소스 주소를 할당할 수 있으며, 애플리케이션 서버의 방화벽은 이 주소만 허용하고 다른 소스는 거부하도록 설정할 수 있다. 또한, Authenticated Origin Pulls는 상호 TLS를 사용하여 Cloudflare와 원본 간의 연결을 검증하여 보안을 강화한다. 원본 서버가 지원하는 경우, Access JSON 웹 토큰(JWT)의 서명, 발급자, 만료 및 대상 애플리케이션을 검증하여 요청이 Cloudflare Access에 의해 인증되었음을 보장할 수 있다.

웹 애플리케이션 및 데스크톱 접근 보호

Cloudflare의 웹 애플리케이션 방화벽(WAF)은 Cloudflare Access 인증 확인 이전에 HTTP 요청을 검사하여 웹 기반 인증 서비스의 보안을 강화한다. WAF는 알려진 악성 IP, 특정 국가, ASN 등 접근이 허용되지 않는 속성을 가진 요청을 차단할 수 있다. 또한, WAF Attack Score는 머신러닝을 활용하여 알려진 규칙과 정확히 일치하지 않는 잠재적 악성 요청을 식별하며, 이는 Cloudflare의 글로벌 네트워크 트래픽 및 Cloudforce One 조사 피드에서 얻은 위협 인텔리전스를 기반으로 한다. Cloudforce One 위협 인텔리전스 구독 고객은 WAF 정책에 실시간 위협 지표를 활용하여 보안 컨텍스트를 추가할 수 있다.

웹 인증 보호는 시작점이며, Cloudflare는 가상 데스크톱을 위한 제로 트러스트 아키텍처를 통해 데스크톱 인프라 자체에 대한 접근 제어도 지원한다. Cloudflare One Client와 사설 네트워크 연결을 사용하면, 기존 ICA(Independent Computing Architecture) 경로를 포함하여 데스크톱 트래픽을 전달하는 엔드포인트에 접근할 수 있는 사용자 및 장치를 제한할 수 있다. 일부 워크플로우에서는 ICA 의존성을 제거할 수도 있다. Cloudflare의 브라우저 기반 원격 데스크톱 접근은 로컬 클라이언트 없이 Windows 호스트에 연결하며, 사용자가 웹 애플리케이션만 필요로 하는 경우 Access와 Browser Isolation으로 전체 가상 데스크톱 없이 해당 웹 접근 사용 사례를 대체할 수 있다.

적용 조건 및 한계

이러한 보안 강화 조치는 기존 시스템에 대한 패치 적용이 선행되어야 한다. 노출을 줄이는 것이 이미 침투한 공격자를 제거하지는 못하므로, 침해 의심 시에는 Citrix의 지침에 따라 증거를 보존하고, 자격 증명 및 인증서를 폐기하며, 연결된 시스템을 조사하고, 알려진 양호한 상태에서 시스템을 재구축하거나 복원해야 한다. 또한, 웹 인증 경로 보호가 DTLS(Datagram Transport Layer Security) 지원 리스너와 같은 다른 게이트웨이 서비스로 자동 확장되지 않으므로, 이러한 인터페이스는 별도의 노출 검토와 적절한 보안 업데이트가 필요하다.

모든 인증 페이지가 사전 직원 ID를 요구할 수는 없다. 소비자 로그인 페이지나 초기 세션 설정을 위한 ID 공급자 엔드포인트는 공개적으로 접근 가능해야 할 수 있다. 이러한 페이지는 의도적으로 보호하고 순환 인증 종속성을 피해야 한다. 새로운 보안 설정을 적용한 후에는 반드시 검증 절차를 거쳐야 한다. 보호된 호스트 이름에 로그인 없이 접근하여 요청이 Cloudflare에서 중단되는지 확인하고, 허용되지 않은 그룹의 테스트 계정으로 로그인하여 보호된 애플리케이션에 접근할 수 없는지 확인해야 한다. 또한, 직접 원본 주소와 대체 호스트 이름을 테스트하여 Access 정책을 우회하지 않는지 확인하고, 승인된 사용자로 로그인하여 인증, 데스크톱 실행 및 세션 재연결이 정상적으로 작동하는지 확인해야 한다. 이러한 확인은 브라우저 표시뿐만 아니라 관련 정책, 방화벽, 원본 로그를 통해 이루어져야 하며, 라우팅, ID 또는 페일오버 설정 변경 시에도 반복적으로 수행하여 구성 업데이트로 인해 이전에 닫았던 경로가 다시 열리지 않도록 해야 한다.