“회사 컴퓨터에 원격 데스크톱을 열어 두고 포트를 공용 인터넷에 매핑하면, 집에서도 다시 접속해 업무를 볼 수 있다” — 많은 기업이 쓰는 이 방법은 편해 보이지만, 실은 랜섬웨어와 해커가 가장 좋아하는 통로입니다. 오늘은 원격 데스크톱(RDP/3389)을 왜 공용 인터넷에 그대로 노출하면 안 되는지, 그것이 얼마나 위험한지, 그리고 안전한 원격 접속은 어떻게 해야 하는지를 명확히 짚어 드립니다.
먼저 결론부터
원격 데스크톱 포트(기본 3389)를 공용 인터넷에 그대로 열어 두는 것은, 회사 정문에 “여기 문이 하나 있으니 와서 비밀번호를 시도해 보세요”라고 적은 팻말을 걸어 전 세계의 스캐닝 프로그램에 알리는 것과 같습니다. 중소기업이 랜섬웨어 공격과 침해를 당하는 가장 흔한 통로 가운데 하나입니다. 올바른 방법은 “포트를 바꿔 숨기는 것”이 아니라 애초에 공용 인터넷에 노출하지 않고, 제로 트러스트/VPN처럼 먼저 신원을 검증한 뒤 암호화 채널을 맺는 방식으로 접속하는 것입니다.
RDP를 공용 인터넷에 노출하면 얼마나 위험할까
- 전 세계 자동 스캔, 24시간 상시: 공용 인터넷에는 열려 있는 3389 포트를 24시간 스캔하는 자동화 프로그램이 넘쳐납니다. 한 번 매핑해 두면 몇 분 안에 발견됩니다.
- 비밀번호 무차별 대입: 발견되는 즉시 계정과 비밀번호를 계속 시도합니다. 취약한 비밀번호는 몇 시간 만에 뚫리고, 한 번 들어오면 그 장비의 완전한 제어권을 넘겨주는 셈입니다.
- 랜섬웨어의 주요 통로: 수많은 랜섬웨어 사건이 뚫린 RDP를 통해 들어옵니다. 들어온 뒤에는 디스크 전체 파일을 암호화하고 공유 드라이브와 다른 장비로 옆으로 번집니다.
- 취약점 위험: RDP 자체가 과거에 심각한 취약점(웜처럼 확산되는 고위험 취약점 등)을 낸 이력이 있습니다. 공용 인터넷에 노출된다는 것은 패치가 조금만 늦어도 곧바로 뚫릴 수 있다는 뜻입니다.
흔히 쓰이는 “가짜 안전” 방식들, 실은 모두 믿을 수 없습니다
| 방식 | 왜 믿을 수 없는가 |
|---|---|
| 포트 변경(3389 → 다른 포트) | 스캐너는 전체 포트를 훑습니다. 포트 변경은 가장 초보적인 수준만 막을 뿐 자동화 도구는 막지 못합니다 |
| 복잡한 비밀번호만 설정 | 무차별 대입은 막아도 취약점 악용과 자격 증명 유출은 막지 못하며, 노출된 이상 계속 공격받습니다 |
| 허용 IP 목록 추가 | 외부에 있는 직원의 IP는 자주 바뀌어 관리가 어렵고, 설정이 조금만 느슨해지면 무력해집니다 |
| 일부 개인용 원격 제어 소프트웨어 사용 | 기업 환경에서는 권한이 거칠고 감사가 약하며 규정 준수도 어려워 정식 운영 환경에 적합하지 않습니다 |
올바른 방법: 노출하지 말고, 신원을 검증한 뒤 접속하세요
안전한 원격 접속의 핵심 원칙은 이것입니다. 업무 시스템(원격 데스크톱 포함)은 공용 인터넷에 직접 노출하지 않고, 신원 검증을 통과한 사람만이 암호화 채널 안에서 권한을 부여받은 그 장비에 접속할 수 있게 하는 것. 구현 방식은 크게 두 가지입니다.
- 제로 트러스트 원격 접속(권장): 기본적으로 신뢰하지 않고, 접속할 때마다 신원과 권한을 검증합니다. 업무 시스템은 공용 인터넷에서 “보이지 않게”(스캔으로도 찾을 수 없게) 숨겨지고, 계정별 권한 부여와 감사, 퇴사 시 원클릭 회수가 가능합니다.
- 전통적 VPN: 역시 입구를 닫을 수는 있지만 “VPN에 들어가면 내부망 전체”라는 구조라 권한이 거칩니다. 과도기에는 쓸 수 있으나 장기적으로는 제로 트러스트를 더 권합니다.
중소기업에는 SaaS 방식의 제로 트러스트 솔루션이 가장 간편합니다. sTrust를 예로 들면, 제어 평면이 중국 국내에 있고 등록(ICP)을 마쳤으며 MLPS 2.0(중국 등급보호제도)에 대응할 수 있습니다. 직원이 클라이언트를 설치하고 신원을 검증하면 권한을 부여받은 내부 자원(원격 데스크톱 포함)에 접속할 수 있고, 어떤 포트도 공용 인터넷에 노출할 필요가 없습니다. 계정별 권한 부여, 퇴사 시 원클릭 회수, 중국 국내 직결로 안정적인 연결을 제공하며, 소프트웨어 방식이라 하드웨어 구매 없이 개통할 수 있습니다. 베이징 기업이 현지 구축과 시행을 원하신다면 Siwenlide가 네트워크, 보안, 원격 접속을 한 번에 패키지로 처리해 드릴 수 있습니다.
지금 바로 할 수 있는 세 가지
- 먼저 점검: 회사가 3389(또는 다른 원격 데스크톱/관리 포트)를 공용 인터넷에 매핑해 두었는지 확인하고, 있다면 가능한 한 빨리 닫으세요.
- 통로 교체: “공용 인터넷에서 원격 데스크톱 직결”을 “제로 트러스트/VPN에 먼저 접속한 뒤 내부망에서 원격 데스크톱 접속”으로 바꾸세요.
- 계정 강화: 핵심 계정은 강력한 비밀번호 + 다중 인증(MFA)을 적용하고, 최소 권한 원칙에 따라 권한을 부여하세요.
자주 묻는 질문
Q: 원격 데스크톱 포트를 3389에서 다른 번호로 바꾸면 안전해지나요?
A: 안전하지 않습니다. 자동 스캐너는 전체 포트를 훑습니다. 포트 변경은 가장 초보적인 탐지만 막을 뿐 전문적인 자동화 공격은 막지 못합니다. 근본적인 방법은 공용 인터넷에 노출하지 않는 것입니다.
Q: 아주 복잡한 비밀번호를 설정했는데도 뚫릴 수 있나요?
A: 복잡한 비밀번호는 무차별 대입은 막아 주지만 프로토콜 취약점 악용과 자격 증명 유출 등은 막지 못합니다. 게다가 포트가 노출된 이상 계속 공격받습니다. 보안의 전제는 노출면을 먼저 줄이는 것입니다.
Q: 직원이 외부에서 회사 컴퓨터에 접속해야 한다면 어떻게 하나요?
A: 직원이 먼저 제로 트러스트/VPN으로 신원을 검증하고 암호화 채널을 맺은 뒤, 내부망에서 원격 데스크톱에 접속하도록 하세요. 이렇게 하면 재택 근무가 가능하면서도 포트를 공용 인터넷에 열어 둘 필요가 없습니다.
Q: 중소기업에 전담 IT/보안 인력이 없으면 어떻게 도입하나요?
A: SaaS 방식의 제로 트러스트 솔루션(예: sTrust)을 쓰면 소프트웨어로 개통하고 하드웨어를 살 필요가 없습니다. 또는 IT 운영 서비스 업체에 일괄 설정과 유지 관리를 맡기면 됩니다.
아직도 원격 데스크톱을 공용 인터넷에 열어 두셨나요? 지금 안전한 연결 방식으로 바꾸세요
sTrust 제로 트러스트 원격 접속: 업무 시스템은 공용 인터넷에서 보이지 않고, 신원을 먼저 검증한 뒤 연결하며, 계정별 권한 부여, 퇴사 시 원클릭 회수, MLPS 2.0(중국 등급보호제도) 대응이 가능합니다. 소프트웨어로 개통해 하드웨어 구매가 필요 없고 중국 국내 직결로 연결이 안정적입니다. strust.siwenlide.com 에서 무료로 체험해 보세요. 베이징 기업의 현지 구축은 400-686-2011로 전화하시거나 siwenlide.com 을 방문하시면 됩니다.
