기본 자격 증명

기본 자격 증명은 기기나 서비스가 공장에서 출고될 때 함께 제공되는 사용자 이름과 비밀번호입니다.

일반적인 예로는 admin/admin 또는 비밀번호가 전혀 없는 root가 있습니다.

제조업체는 기기가 처음부터 바로 작동하도록 기본 로그인 정보를 설정합니다.

소유자가 설정 과정에서 이를 변경할 것이라고 생각하지만, 실제로는 아무도 변경하지 않는 경우가 매우 많습니다.

기본 자격 증명은 일반적으로 해당 모델의 모든 기기에 동일하게 설정됩니다.

기본값을 아는 사람이라면 누구나 전 세계 수천 대의 변경되지 않은 기기에 로그인할 수 있습니다.

기본 로그인 정보는 비밀이 아닙니다. 설명서와 공개 웹사이트에 나와 있습니다.

공격자는 대규모 목록을 보유하고 있으며 admin : password와 같은 알려진 조합을 대상에 하나씩 시도합니다.

공격자는 기기를 직접 확인하지 않습니다. 인터넷을 검색하고 발견한 모든 기기에서 기본 자격 증명을 자동으로 시도하는 도구를 실행합니다.

유명한 Mirai 봇넷은 IoT 기기에서 짧은 기본 로그인 목록을 시도하며 확산되었습니다.

변경되지 않은 비밀번호 덕분에 수십만 대의 기기를 감염시키고 기록적인 공격을 일으켰습니다.

일부 기기에는 사용자가 전혀 볼 수 없는 추가 계정이 있으며, 지원이나 문제 해결을 위해 만들어집니다.

이 계정의 기본 비밀번호가 유지되면 기기로 들어가는 조용한 백도어가 됩니다.

가장 간단한 방어 방법은 설정하는 즉시 모든 기본 비밀번호를 변경하는 것입니다.

공장 출고 시 비밀번호가 아니라 기기마다 강력하고 고유한 비밀번호를 사용하십시오.

더 나은 기기는 사용자가 처음 사용할 때 새 비밀번호를 설정하도록 강제합니다.

기본 비밀번호가 그대로 유지될 수 없으므로 사용자가 변경을 잊어버릴 위험이 사라집니다.

가장 강력한 방법은 공장에서 각 기기에 고유한 무작위 비밀번호를 부여하고 라벨에 인쇄하는 것입니다.

그러면 공격자가 추측할 공유 기본값이 없습니다.

조직은 기기에 기본 자격 증명이 있는지 정기적으로 점검해야 합니다.

공격자가 찾기 전에 이를 발견하고 수정하면 네트워크로 들어오는 가장 쉬운 통로 중 하나를 차단할 수 있습니다.

공장 출고 시 기본 자격 증명이 심각한 위험인 이유는 무엇입니까?

기본 자격 증명은 공장에서 설정된 로그인 정보로, 흔히 여러 기기에서 공유되고 공개되어 있으며 변경되지 않은 채 남습니다. Mirai 봇넷이 이를 잘 보여 줍니다.

기본 자격 증명을 변경하고, 처음 사용할 때 변경하도록 강제하며, 기기별 고유 비밀 정보를 사용하고, 정기적으로 점검하여 방어하십시오.