서버실은 잠겨 있는데, 회의실은 왜 열려 있나요

담당자님, 지난주 회의실 점검에서 방화벽 정책은 몇 번 확인하셨나요? 바닥 케이블, 천장 스피커 배선, 터치패널 펌웨어 버전도 함께 확인하셨나요?

“AV 기기는 IT 팀 소관이 아닌데요”라는 답이 돌아온다면, 지금 여러분의 회의실은 잠금장치 없는 옆문이 하나 열려 있는 상태입니다.

2026년 기준, AVIXA가 선정한 AV 업계 5대 트렌드 중 1위는 Enhanced Security(강화된 보안)입니다. 네트워크 AV 사이버보안이 더 이상 특수한 영역의 이야기가 아니라는 선언입니다. AVIXA는 보고서에서 이렇게 썼습니다. “Security can no longer be treated as an afterthought.” 보안은 설계 이후에 덧붙이는 것이 아니라, 처음부터 설계 안에 내재돼야 한다는 뜻입니다.

문제는 현장입니다. 제가 최근 몇 년간 기업 회의실과 방송 시설을 점검하면서 공통적으로 발견한 것이 있습니다. 방화벽, 엔드포인트 보안, 제로 트러스트 정책을 갖춘 기업조차 프로젝터, 협업 기기, 디지털 오디오 라우터는 IT 인벤토리 바깥에 놓여 있다는 것입니다. 이 기기들은 업무망과 같은 스위치에 꽂혀 있고, 패치되지 않은 펌웨어로 수년째 돌아가고 있습니다.

ISE 2026은 2026년 2월 5일 역사상 최초의 전용 사이버보안 서밋을 바르셀로나에서 개최했습니다. AV 업계가 보안을 이만큼 심각하게 받아들이기 시작했다는 신호입니다. 그런데 현장은 아직 따라가지 못하고 있습니다.

제가 처음으로 회의실 Dante 패킷을 캡처했던 날

몇 년 전, 대기업 본사의 회의실 음향 시스템 점검 의뢰를 받은 적이 있습니다. 중역 회의실 5개실, 대강당 1개, 교육장 4개실이 모두 Dante로 묶인 300석 규모 복합 시설이었습니다.

처음에는 음향 성능 이슈로 연락이 왔습니다. “마이크 소리가 가끔 끊긴다”는 민원이었는데, 저는 점검 과정에서 Dante Controller를 열었을 때 뭔가 이상하다는 것을 직감했습니다. 라우팅 경로가 설계 도면과 달랐습니다. 기술적으로 말하면, 누군가 같은 네트워크 세그먼트에서 Dante Controller 앱을 열어 멀티캐스트 라우팅을 바꿔놓은 것입니다.

그때 저는 노트북에 Wireshark를 켜고 네트워크 인터페이스를 모니터링 모드로 전환했습니다. UDP 포트 319, 320번 트래픽을 필터링하자마자 Dante 오디오 스트림 패킷이 화면에 흘러내리기 시작했습니다. 패킷 내용은 평문이었습니다. 무료 도구 하나로, 특별한 기술 없이도 회의실에서 오가는 음성을 실시간 캡처할 수 있다는 뜻입니다.

사실 문제는 기기가 아니라 설계였습니다. Dante는 원래 제조·방송 환경을 위한 저지연 오디오 네트워크 프로토콜로 만들어졌습니다. 네트워크 격리가 기본 전제였지, 오픈 기업망 위에서 돌아갈 것을 상정하고 만들어진 것이 아닙니다. 그것을 VLAN 분리 없는 기업 네트워크 위에 올려놓은 것이 문제의 본질이었습니다.

당시 고객사 환경을 정리하면 이렇습니다. 오디오 네트워크(Dante), 영상 제어망(터치패널 제어), 프레젠테이션 기기(무선 협업 장비), 기업 IT망이 모두 같은 물리 스위치에서 동작하고 있었습니다. VLAN 분리는 없었습니다. 각 기기는 기본 공장 비밀번호 상태였습니다. Dante 오디오는 기본 설정인 비암호화 상태였습니다.

이것은 예외적인 케이스가 아닙니다. Palo Alto Networks Unit 42의 IoT 위협 보고서에 따르면 IoT 기기 트래픽의 98%가 암호화되지 않은 상태로 전송됩니다. 회의실 AV 기기는 IoT 기기와 본질적으로 같은 취약성 구조를 갖습니다.

보안팀이 AV 기기 인벤토리를 놓치는 이유

이 상황이 왜 반복되는지 이해하려면, AV 기기가 기업 IT 거버넌스 안에서 어디에 위치하는지를 봐야 합니다.

일반적으로 기업의 보안 정책은 컴퓨터, 서버, 모바일 기기를 중심으로 설계됩니다. AV 기기 — 프로세서, 무선 협업 기기, 스피커 앰프, 디지털 오디오 라우터 — 는 오랫동안 “시설팀 소관”이었습니다. IT 자산 관리 시스템(CMDB)에 등록되지 않고, 엔드포인트 보안 에이전트가 설치되지 않으며, 패치 주기도 없습니다.

문제는 이 기기들이 더 이상 독립 기기가 아니라는 점입니다. 현재의 AV 기기는 IP 주소를 가지고, 업무 네트워크에 직접 연결되며, 외부 인터넷과 통신하기도 합니다. 주요 AV 제조사들의 기기들은 웹 기반 관리 인터페이스를 제공합니다. 이 인터페이스는 HTTP 또는 HTTPS로 접근 가능하며, 취약한 비밀번호나 패치되지 않은 펌웨어를 가진 경우 외부 공격의 진입점이 됩니다.

2019년에 공개된 CVE-2019-3929는 이것이 이론적 위협이 아님을 보여줍니다. Crestron AM-100/AM-101, Barco wePresent WiPG-1000P/WiPG-1600W, Extron ShareLink 200/250, Optoma WPS-Pro, InFocus LiteShow3/4 — 이 기기들은 HTTP POST 요청 하나로 인증 없이 운영체제 명령을 루트 권한으로 실행할 수 있는 취약점이 확인됐습니다. CVSS 점수는 Critical입니다.

핵심 원칙은 간단합니다. IP를 가진 모든 기기는 IT 자산이며, 보안 정책의 대상입니다. 기술 트렌드 카테고리에서 이 원칙이 다른 분야에 어떻게 적용되는지도 참고하실 수 있습니다.

Dante, NDI, AES67 — 음악은 흐르지만 패킷은 열려 있다

네트워크 AV 사이버보안에서 오디오 프로토콜의 취약성은 구조적 문제입니다. 각 프로토콜이 설계된 배경을 이해해야 왜 이 문제가 반복되는지 알 수 있습니다.

Dante (Audinate) — 기본 설정은 평문 전송

Dante는 현재 가장 널리 사용되는 네트워크 오디오 프로토콜입니다. 방송, 공연, 기업 회의 시스템에서 표준 지위를 갖습니다. 그런데 Dante의 기본 설정은 오디오 스트림을 암호화하지 않습니다.

기술 구조를 설명하면 이렇습니다. Dante는 PTP(Precision Time Protocol, IEEE 1588)로 기기 간 시간 동기화를 하고, UDP 멀티캐스트 또는 유니캐스트로 오디오 패킷을 전송합니다. 이 UDP 패킷에는 오디오 PCM 데이터가 그대로 담겨 있습니다. 같은 네트워크 세그먼트에 있는 장비라면 어디서든 이 패킷을 수신할 수 있고, Wireshark에서 UDP 포트 14336~14591 범위를 필터링하면 실시간 오디오 스트림 캡처가 가능합니다.

Dante Controller 애플리케이션은 mDNS(멀티캐스트 DNS)로 같은 네트워크의 Dante 기기를 자동 탐색합니다. 인증이 없는 상태에서는 같은 네트워크에 연결된 누구나 Dante Controller를 열어 오디오 라우팅 경로를 변경할 수 있습니다. 마이크에서 나오는 신호를 외부 기기로 복사해 도청하는 것이 기술적으로 가능한 구조입니다.

2024년 6월, Audinate는 Dante Media Encryption을 발표했습니다. AES-256 암호화를 적용하며, 펌웨어 업데이트를 통해 기존 기기에 소급 적용이 가능한 경우도 있습니다. 단, 암호화가 작동하려면 연결된 모든 기기가 동일한 버전을 지원해야 하고, 레거시 하드웨어는 지원하지 않을 수 있습니다. 현장 적용 전 반드시 Audinate 제품 호환성 매트릭스를 확인해야 합니다.

Shure는 자사 공식 문서에서 Dante 보안을 위한 추가 조치로 MAC 주소 기반 접근 제한, VLAN 격리, AES-256 암호화 병행 적용을 권고하고 있습니다.

NDI (NewTek/Vizrt) — mDNS 자동 탐지의 이면

NDI는 IP 기반 영상 프로덕션 환경에서 비디오 전송을 위해 사용됩니다. mDNS를 사용해 같은 네트워크의 NDI 소스와 수신기를 자동으로 탐지하는 구조인데, 기본 설정에서 암호화가 없어 동일 네트워크에 연결된 모든 장비가 스트림에 접근할 수 있습니다. mDNS 관련 취약점은 Cisco(CVE-2024-20303), Apple(CVE-2024-44183) 등 다양한 플랫폼에서 확인된 바 있으며, NDI 환경에서도 같은 공격 경로가 이론적으로 적용됩니다.

AES67 — 전송만 정의하고 보안은 정의하지 않는다

AES67은 IP 오디오 전송 표준으로, 자체적으로 보안 메커니즘을 규정하지 않습니다. 전송 포맷만 정의하며, 암호화는 상위 레이어(예: SRTP)에서 별도로 적용해야 합니다. 이를 명시하지 않으면 오디오가 평문으로 전송됩니다. AES67 기반의 시스템을 도입할 때는 암호화 레이어를 별도 설계 항목으로 포함해야 한다는 뜻입니다.

위 다이어그램은 VLAN 분리 없는 환경과 분리된 환경의 차이를 보여줍니다. 암호화와 VLAN이 동시에 적용될 때 비로소 의미 있는 방어선이 형성됩니다.

CVE-2019-3929가 말해주는 것 — 회의실 기기에 비인증 RCE가 실재한다

CVE-2019-3929는 2019년에 공개됐지만, 2026년 현재도 패치되지 않은 기기가 현장에서 운영되고 있습니다. 이 취약점이 중요한 이유는 단 하나의 CVE가 제조사 여덟 곳의 협업 기기 전체를 아우른다는 점입니다.

공격 벡터는 단순합니다. file_transfer.cgi에 HTTP POST 요청을 보내면 인증 없이 운영체제 명령이 루트 권한으로 실행됩니다. 기기에 웹 서버가 있고 HTTP가 활성화돼 있으면 그것으로 충분합니다. return.cgi에는 별도의 스택 버퍼 오버플로우 취약점이 존재해 임의 코드 실행도 가능합니다.

영향을 받는 기기 목록:

실제 피해 사례도 문서화됐습니다. 침해된 AV 기기들이 Monero 암호화폐 채굴 봇넷으로 악용됐습니다. 기기의 CPU를 외부에서 원격 제어해 채굴 연산에 사용한 것입니다. 기업 보안 사고와 직결되는 문제입니다.

AMX 기기에는 별도의 취약점이 있습니다. ICSA-16-049-02A로 공개된 AMX 펌웨어 백도어로, 계정명 1MB@tMaN과 BlackWidow가 펌웨어에 하드코딩돼 있습니다. NX Controllers, DVX/DGX/NI 시리즈에 영향을 미치며, 원격 로그인 후 패킷 스니핑이 가능합니다. 하드코딩된 자격증명은 패스워드를 변경할 수 없기 때문에 영향받는 기기 버전은 교체 또는 네트워크 격리 외에 다른 방법이 없습니다.

이것이 단순한 기술적 결함이 아닌 이유는 악용 난이도에 있습니다. 이 공격들은 숙련된 해커를 전제하지 않습니다. 기기의 IP 주소와 HTTP 요청을 보낼 수 있는 수준이면 충분합니다. 기업 내부망에 이미 접근한 공격자 — 피싱, VPN 취약점 등을 통해 — 라면 AV 기기를 내부 피벗 포인트로 즉시 활용할 수 있습니다.

패치 현황도 문제입니다. 제조사들이 업데이트를 발표해도 실제 현장 적용률은 낮습니다. AV 기기는 운영 중 재부팅을 꺼리는 경향이 있고, 패치 프로세스가 IT 자산 관리 체계 바깥에 있기 때문입니다.

AV 기초 지식 카테고리에서 기기 관리의 기본 원칙도 함께 확인하실 수 있습니다.

VLAN 4개로 만드는 네트워크 AV 사이버보안 최소 구현

Zero Trust는 거창한 철학처럼 들리지만, AV 시스템에서의 최소 구현은 구체적입니다. 핵심은 세 가지입니다: VLAN 분리, 802.1X 인증, 암호화. 이 세 가지를 순서대로 적용하는 것이 현실적인 시작점입니다.

1단계: VLAN 4분할 — 피해 범위를 세그먼트 안에 가둔다

AV 환경에서 권장하는 최소 VLAN 구성은 4개입니다.

이 분리의 목적은 한 세그먼트가 침해되더라도 “blast radius” — 피해 범위 — 를 해당 세그먼트 안으로 제한하는 것입니다. Dante 기기 한 대가 침해되더라도 VLAN A 내부에서만 영향이 머뭅니다.

스위치 설정에서 함께 확인해야 할 것들:

• IGMP 스누핑 활성화 (Dante 멀티캐스트 트래픽 제어)
• STP(Spanning Tree Protocol) 설정 점검 — Dante는 STP 포트 블로킹에 민감하게 반응
• 각 VLAN 간 Inter-VLAN 라우팅 정책 명시 (기본값: deny)

2단계: 802.1X EAP-TLS 포트 인증 — 기기가 먼저 신원을 증명한다

802.1X는 네트워크 포트에서 기기를 인증하는 프로토콜입니다. 스위치 포트에 연결된 기기가 인증서를 제시하지 않으면 네트워크 접근 자체를 차단합니다.

AV 환경에서의 적용 포인트:

• Radius 서버와 연동해 인증서 기반 인증(EAP-TLS) 구성
• Dante 기기 다수는 802.1X를 직접 지원하지 않으므로 MAC Authentication Bypass(MAB) 예외 처리가 필요. 단, MAB는 MAC 주소 스푸핑에 취약하므로 화이트리스트를 엄격하게 관리해야 함
• 비관리 포트(게스트 포트, 시공 중 임시 연결)는 기본값 deny로 설정

3단계: 관리 인터페이스 암호화 — 평문 통신 경로를 모두 닫는다

• 모든 AV 기기 웹 관리 인터페이스에서 HTTP 비활성화, HTTPS 전용으로 전환
• Dante Media Encryption(AES-256) 활성화 — 2024년 6월 이후 지원 기기 대상, 호환성 매트릭스 사전 확인 필수
• SSH 키 기반 접근, Telnet 비활성화
• 기본 공장 비밀번호 즉시 변경 및 비밀번호 복잡도 정책 적용

SYM Consulting이 AV 시설 점검에서 가장 자주 발견하는 누락 항목은 암호화보다 VLAN 분리 미적용입니다. VLAN 없이 암호화만 적용해도 같은 세그먼트 내 공격에는 취약합니다. 순서가 중요합니다.

NIST CSF 2.0부터 EU CRA까지 — 규제가 AV 시스템까지 올라왔습니다

2024년 이후 발효된 국제 규제 프레임워크들은 AV 기기를 명시적으로 포함하거나, 적용 범위상 포함될 수밖에 없는 구조로 설계됐습니다. “규정 준수”가 아니라 “우리 건물이 어디까지 노출되어 있는가”를 파악하는 데 이 프레임워크들이 유용합니다.

NIST CSF 2.0 — GOVERN 기능이 추가된 이유

NIST가 2024년 2월 26일 발표한 Cybersecurity Framework 2.0은 기존 5개 기능(Identify, Protect, Detect, Respond, Recover)에 GOVERN(거버넌스)을 추가했습니다. 조직의 사이버보안 리스크 관리 정책과 거버넌스 체계를 명시적으로 다루는 기능입니다.

CSF 2.0은 OT(운영 기술) 및 IoT 기기를 명시적으로 언급합니다. AV 기기는 IoT 범주에 포함되므로 GOVERN 기능 아래 자산 인벤토리, 위험 평가, 정책 수립의 대상이 됩니다. 미국 연방기관 및 미국과 계약하는 글로벌 기업에는 사실상 표준 적용 압력이 가해집니다.

IDENTIFY 기능에서 요구하는 자산 관리(ID.AM)는 “조직 내 모든 하드웨어와 소프트웨어 자산 목록 관리”를 포함합니다. 회의실 프로젝터, Dante 인터페이스 카드, 무선 협업 기기가 이 목록에 있지 않다면 CSF 2.0 기준으로 준수 상태가 아닙니다.

IEC 62443 — 스마트 빌딩의 AV가 포함된다

IEC 62443은 산업 자동화 및 제어 시스템(IACS) 보안 국제 표준입니다. 2024년 업데이트에서 빌딩 관리 시스템(BMS) 및 스마트 빌딩 구성 요소를 포함하는 범위로 명확화됐습니다. 회의실, 강당, 방송실의 AV 시스템은 스마트 빌딩의 구성 요소로 볼 수 있습니다.

IEC 62443은 보안 수준(Security Level, SL)을 0~4로 분류합니다. 기업 회의실 AV 환경에서 현실적인 목표는 SL-1(기본 무결성 보호)에서 SL-2(의도적 침해 방어)입니다. SL-2는 VLAN 분리, 802.1X, 암호화 적용이 포함되는 수준입니다. 표준 원문은 IEC 공식 사이트에서 확인할 수 있습니다.

EU Cyber Resilience Act — 2027년 전면 시행

EU CRA는 2024년 12월 10일 발효됐으며, 2027년 12월 11일 전면 시행됩니다. 네트워크 연결 기능이 있는 모든 하드웨어 제품 제조사에 사이버보안 요건을 부과합니다. 프로젝터, 협업 기기, 오디오 네트워크 기기 — 유럽 시장에서 판매되는 모든 AV 기기가 해당됩니다. 벌칙은 최대 €15M 또는 연간 글로벌 매출의 2.5% 중 높은 금액입니다.

EU CRA의 파급 효과는 유럽 내에만 그치지 않습니다. EU 시장에 납품하는 제조사들이 보안 설계를 강화함에 따라 글로벌 제품 기준이 상향됩니다. 한국 기업이 유럽 법인이나 유럽 기반 고객을 대상으로 한다면 2027년 전에 준비가 필요합니다.

IBM Security의 2024년 보고서에 따르면 글로벌 평균 데이터 침해 비용은 $4.88M으로 사상 최고를 기록했고, 전년 대비 10% 상승했습니다. 침해를 경험한 조직의 70%가 “심각한 업무 중단”을 보고했습니다. 이 수치는 회의실 AV 기기 한 대의 침해가 기업 전체 리스크로 이어질 수 있다는 현실을 보여줍니다.

AV 시스템이 기업 IT 네트워크·클라우드 서비스와 통합되는 속도는 지금도 빨라지고 있습니다. 보안은 설계 이후에 덧붙이는 것이 아닙니다.

자주 묻는 질문

현장에서 가장 자주 받는 질문들입니다. 네트워크 AV 사이버보안을 처음 접하는 담당자분들이 공통적으로 혼동하는 부분들을 모았습니다.

[email protected] · https://www.symconsulting.co.kr