2018.04.26

IoT 보안 문제 극복을 위한 '베스트 프랙티스'

Bob Violino | Network World
사물인터넷(IoT)은 기업에 많은 혜택과 이점을 제공할 수 있는 잠재력을 갖고 있다. 예를 들어, 더 많은 풍부한 데이터를 수집, 고객들에게 더 효과적이고 나은 서비스를 제공할 수 있다. 하지만 '걱정거리'도 많이 동반한다. 수많은 장치와 제품, 자산, 차량, 건물 등이 연결되기 때문에 해커 등 사이버 범죄자가 취약점을 악용하려 시도할 확률이 높아졌다.

시장 조사 및 컨설팅 업체인 ITIC 수석 애널리스트 로라 디디오는 "수많은 형태와 종류의 장치, 사람이 다양한 연결 방식으로 서로 연결되는 IoT 생태계의 경우, 공격 표면이나 벡터가 무한하다. 네트워크 종단/경계부터 기업 서버, LoB(현업) 애플리케이션, 최종 사용자 장치, 전송 메카니즘에 이르기까지 네트워크의 모든 지점이 공격에 취약하다. 그리고 이런 지점에 대한 익스플로잇 공격 위험이 존재한다"고 지적했다.

이런 이유로, 많은 기업과 기관이 IoT 보안을 크게 걱정하고 있다. 시장 조사 업체인 451 리서치가 최근 전세계의 IT 의사 결정자 600여 명을 대상으로 실시한 온라인 조사 결과에 따르면, 기업과 기관이 현재 추진하고 있거나, 계획하고 있는 IoT 이니셔티브에서 가장 중시하는 기술이나 프로세스로 IoT 보안을 꼽은 비율이 55%가 넘었다. 조사 결과 보고서는 IoT의 특성 때문에 공격 방어나 보호가 특히 어렵다고 설명하고 있다.

기업들이 IoT 환경에 대한 보안을 강화하려면 어떻게 해야 할까. 전문가들이 추천하는 베스트 프랙티스 가운데 일부를 소개한다.

엔드포인트 장치를 파악하고, 추적, 관리하라
연결된 장치를 파악하고, 동작을 추적해야 한다. 이렇게 하지 않으면, 엔드포인트 보안이 불가능하거나, 아주 어려워진다.

가트너(Gartner) 조사 담당 책임자 러게로 콘투는 "아주 중요한 부분이다. 스마트 연결 장치에 대한 가시성을 100% 확보하는 것이 아주 중요하다. 운영과 보안 모두를 위해 반드시 해야만 할 일이다"고 강조했다.

IDC 데이터 보안 부문 조사 책임자 로버트 웨스터벨트는 "일부 기업과 기관은 보안보다는 자산 관리 측면에서 이런 '발견'과 '식별' 활동을 실시한다. 네트워크 액세스 관리 및 오케스트레이션 개발업체가 여기에 도움을 주는 제품을 공급하고 있다. 안전한 보안 연결 기능, 위협 신호 모니터링 기능 등이 추가되어 있는 제품들이다"고 설명했다.

디디오에 따르면, 기업들은 IoT 네트워크의 모든 장치에 대한 '재고'를 철저히 조사해야 한다. 또 백도어나 포트가 열려 있을 수 있는 장치를 찾아야 한다.

발견하는 즉시 취약점을 패칭하라
컨설팅 업체인 IP 아키텍츠(IP Architects) 대표이자 IoT 전문가 존 피론티에 따르면, 좋은 IT 보안 위생의 기본 구성 요소 가운데 하나가 '패칭'이다.

피론티는 "IoT 장치에 보안과 관련된 패칭이 존재한다면, 이는 개발업체가 장치에 취약점이 있음을 인정하는 것이다. 그리고 패칭은 이런 취약점을 해결하는 도구다. 그리고 패칭이 배포되면, 취약점 문제에 대한 책임이 개발업체로부터 장치를 사용하는 조직으로 이관된다"고 설명했다.

취약점과 구성을 관리하는 것이 좋다. 일부의 경우, 취약점 스캐너 제품들이 이런 기능을 제공한다. 이후 패칭과 '치료'를 한다. 웨스터벨트는 "일부 기업의 경우 패칭보다 구성 관리가 더 크고 중요한 문제가 될 수도 있다"고 말했다.

콘투에 따르면, IoT 패칭 관리가 쉽지 않을 때가 많다는 점을 유념해야 한다. 콘투는 "취약점이 존재하는 장소를 찾기 위해 전면적인 자산 발견(검색)을 실시하는 것이 중요한 이유가 여기에 있다. 패칭이 없는 경우도 있다. 이 경우, 대안이 될 수 있는 방법과 모델을 찾아 보안에 적용해야 한다"고 강조했다. 예를 들어, 패칭을 사용할 수 없는 경우 네트워크 트래픽을 모니터링하는 방법을 사용할 수 있다.

가장 중요한 IoT 인프라 보안부터 우선적으로 처리하라
IoT 생태계의 데이터는 그 중요도가 각각 다르다. 피론티는 "위험을 기반으로 IoT 보안에 접근하면서, 가치와 중요도를 기준으로 했을 때 가장 소중한 자산을 가장 먼저 보호하는 것이 중요하다"고 설명했다.

IoT 장치는 기존 IT 장치보다 수가 많으며, 기하급수적으로 증가하는 경향이 있다. 따라서 이와 관련된 문제를 극복해야 한다. 피로티는 "단기간에 모든 장치를 패칭할 수 있다고 가정하는 것은 현실적이지 못하다. 이런 경우가 많다"고 말했다.

배포 전에 IoT 하드웨어와 소프트웨어 대한 '침입' 테스트를 실시하라
서비스 공급업체나 컨설팅 회사를 채용해 침입 테스트를 실시하는 경우, 필요한 펜 테스트를 명확히 지정해야 한다.

웨스터벨트는 "네트워크 침입 테스트를 실시하고, 분리된 네트워크의 무결성을 점검하는 침입 테스터를 의미한다. 일부 환경은 무선 인프라에 대한 평가와 테스트가 필요할 수도 있다. 현재 IoT의 경우, 일부 사용 사례를 제외하면 애플리케이션 침입 테스트의 우선순위는 이보다 낮은 편이다"고 설명했다.

콘투는 더 광범위한 위험 평가 프로그램의 일부로 침입 테스트를 실시해야 한다고 강조했다. 그는 "이와 관련된 보안 '자격증(인증)'에 대한 수요가 높아질 것으로 예상하고 있다"고 말했다.

실제 IoT 공격이 발생했을 때 그 즉시 대응할 수 있도록 준비해야 한다. 디디오는 "보안 대응 계획 및 문제에 대한 가이드, 거버넌스를 준비해야 한다. 실제 침입이 발생했을 때를 대비한 책임 및 명령 체계 또한 준비해야 한다"고 말했다.

'이상'을 파악과 개인 정보 보호 위해 IoT의 데이터 처리 방식 이해하라
웨스터벨트는 센서가 안전하게 데이터를 수집해 처리할 수 있도록 만전을 기해야 하며, 여기에 초점을 맞춰야 한다. 이를 위해서는 사이버보안 역량과 함께 장치 설치 장소 및 위험 프로필에 따라 물리적으로 조작과 변경을 방지하는 역량을 갖춰야 한다.

웨스터벨트는 "수집하는 데이터의 '요주의' 정도에 따라 하드웨어 및 소프트웨어 암호화, 장치와 센서, 기타 구성요소를 검사하는 PKI(Public Key Infrastructure)가 필요할 수도 있다. 또 POS 시스템 같은 IoT 장치에는 기능에 따라 화이트리스팅, 운영체제 제한, 바이러스 백신 등이 필요할 수도 있다"고 설명했다.

기본 보안 설정 사용은 '금물'이다
조직에 고유한 보안 정책에 따라 보안 설정을 선택해 사용해야 한다. 웨스터벨트는 "중요한 접점(Junture)에 네트워크 보안 어플라이언스를 도입하는 경우, 패시브 모드로만 배포해야 하는 경우도 있다. IoT 센서와 장치를 배포한 장소에 따라 오탐(false positives)을 허용해서는 안 되는 경우도 있다. 예를 들면, 산업용 기계류의 경우 중요한 '무엇'을 차단하면서 작동이 중단되고, 그 결과 많은 비용이 발생할 수 있다"고 설명했다.

보안 설정 변경이 IoT를 통해 연결된 실제 장치에도 적용될 수 있다. 예를 들면, 기본 설정으로 구성된 수백만 개의 비디오 카메라를 침해해 DDoS 공격을 감행한 사례가 있다.

'보안' 원격 액세스, 제공하라
해커들은 오래 전부터 '원격 액세스 취약점'을 표적으로 삼아왔다. 그런데 IoT의 경우, 도급업체에 특정 장치에 대한 원격 액세스를 제공하기 원하는 기업과 기관이 많다.

웨스터벨트는 "원격 액세스를 지원하는 솔루션을 올바르게 구현해야 한다. 또 원격 액세스를 모니터링, 승인, 취소할 수 있는 메카니즘을 도입해 활용해야 한다. '고위험' 시나리오의 경우, 원격 엑세스 소프트웨어의 취약점을 철저히 검사해야 한다"고 강조했다.

장치 간 안전 보안 통신을 위해 망분리를 하라
네트워크에 위치한 IoT 장치들을 분리하면, 문제가 생겼을 때 초래되는 영향을 제한할 수 있다. 피론티는 "특정 IoT 장치에서 악성 동작을 탐지했을 때, 문제를 조사해 해결할 때까지 다른 장치와의 통신을 분리해 막을 수 있다"고 설명했다.

피론티에 따르면, IoT 장치를 분리할 때 IoT 망분리와 다른 망분리 사이에 '검사' 계층을 구현, 모두를 검사할 수 있는 지점을 만드는 것이 중요하다. 이 지점에서 네트워크를 통과하는 트래픽의 종류에 대해 판단을 내릴 수 있다. 그리고 관련 트래픽에 초점을 맞춰 검사할 수 있다.

이렇게 하면, 모든 트래픽이 아닌, IoT 장치에 일반적인 특정 종류의 트래픽과 동작을 직접 검사할 수 있다.

사람과 정책 또한 중시하라
IoT의 경우, 장치와 네트워크에 대한 보안만 신경쓰면 안된다. 인적 요소 또한 중요하게 고려해야 한다.

디디오는 "IoT 보안은 장치와 보호, 추적 및 인증 메카니즘이 50%, IoT 생태계를 관리 및 감독하는 사람의 책임이 50%이다. C레벨 경영진부터 IT 부서, 보안 관리자, 최종 사용자까지 모든 사람이 IoT 생태계 보안에 최선의 노력을 경주해야 한다"고 강조했다.

여기에 더해, 기업의 기존 컴퓨터 보안 정책 및 절차를 평가하고 업데이트해야 한다. 디디오는 "만든 지 1년이 넘은 정책을 적용하고 있다면, IoT 배포를 감안해 업데이트해야 한다. 기업의 컴퓨터 보안 정책과 절차에서 1차, 2차, 3차 위반 시 처벌을 명확히 규정하는 것이 좋다. 예를 들면, 1차 위반은 경고, 반복되는 위반은 해고까지 할 수 있는 정책을 수립할 수 있다"고 말했다. editor@itworld.co.kr
 
2018.04.26

IoT 보안 문제 극복을 위한 '베스트 프랙티스'

Bob Violino | Network World
사물인터넷(IoT)은 기업에 많은 혜택과 이점을 제공할 수 있는 잠재력을 갖고 있다. 예를 들어, 더 많은 풍부한 데이터를 수집, 고객들에게 더 효과적이고 나은 서비스를 제공할 수 있다. 하지만 '걱정거리'도 많이 동반한다. 수많은 장치와 제품, 자산, 차량, 건물 등이 연결되기 때문에 해커 등 사이버 범죄자가 취약점을 악용하려 시도할 확률이 높아졌다.

시장 조사 및 컨설팅 업체인 ITIC 수석 애널리스트 로라 디디오는 "수많은 형태와 종류의 장치, 사람이 다양한 연결 방식으로 서로 연결되는 IoT 생태계의 경우, 공격 표면이나 벡터가 무한하다. 네트워크 종단/경계부터 기업 서버, LoB(현업) 애플리케이션, 최종 사용자 장치, 전송 메카니즘에 이르기까지 네트워크의 모든 지점이 공격에 취약하다. 그리고 이런 지점에 대한 익스플로잇 공격 위험이 존재한다"고 지적했다.

이런 이유로, 많은 기업과 기관이 IoT 보안을 크게 걱정하고 있다. 시장 조사 업체인 451 리서치가 최근 전세계의 IT 의사 결정자 600여 명을 대상으로 실시한 온라인 조사 결과에 따르면, 기업과 기관이 현재 추진하고 있거나, 계획하고 있는 IoT 이니셔티브에서 가장 중시하는 기술이나 프로세스로 IoT 보안을 꼽은 비율이 55%가 넘었다. 조사 결과 보고서는 IoT의 특성 때문에 공격 방어나 보호가 특히 어렵다고 설명하고 있다.

기업들이 IoT 환경에 대한 보안을 강화하려면 어떻게 해야 할까. 전문가들이 추천하는 베스트 프랙티스 가운데 일부를 소개한다.

엔드포인트 장치를 파악하고, 추적, 관리하라
연결된 장치를 파악하고, 동작을 추적해야 한다. 이렇게 하지 않으면, 엔드포인트 보안이 불가능하거나, 아주 어려워진다.

가트너(Gartner) 조사 담당 책임자 러게로 콘투는 "아주 중요한 부분이다. 스마트 연결 장치에 대한 가시성을 100% 확보하는 것이 아주 중요하다. 운영과 보안 모두를 위해 반드시 해야만 할 일이다"고 강조했다.

IDC 데이터 보안 부문 조사 책임자 로버트 웨스터벨트는 "일부 기업과 기관은 보안보다는 자산 관리 측면에서 이런 '발견'과 '식별' 활동을 실시한다. 네트워크 액세스 관리 및 오케스트레이션 개발업체가 여기에 도움을 주는 제품을 공급하고 있다. 안전한 보안 연결 기능, 위협 신호 모니터링 기능 등이 추가되어 있는 제품들이다"고 설명했다.

디디오에 따르면, 기업들은 IoT 네트워크의 모든 장치에 대한 '재고'를 철저히 조사해야 한다. 또 백도어나 포트가 열려 있을 수 있는 장치를 찾아야 한다.

발견하는 즉시 취약점을 패칭하라
컨설팅 업체인 IP 아키텍츠(IP Architects) 대표이자 IoT 전문가 존 피론티에 따르면, 좋은 IT 보안 위생의 기본 구성 요소 가운데 하나가 '패칭'이다.

피론티는 "IoT 장치에 보안과 관련된 패칭이 존재한다면, 이는 개발업체가 장치에 취약점이 있음을 인정하는 것이다. 그리고 패칭은 이런 취약점을 해결하는 도구다. 그리고 패칭이 배포되면, 취약점 문제에 대한 책임이 개발업체로부터 장치를 사용하는 조직으로 이관된다"고 설명했다.

취약점과 구성을 관리하는 것이 좋다. 일부의 경우, 취약점 스캐너 제품들이 이런 기능을 제공한다. 이후 패칭과 '치료'를 한다. 웨스터벨트는 "일부 기업의 경우 패칭보다 구성 관리가 더 크고 중요한 문제가 될 수도 있다"고 말했다.

콘투에 따르면, IoT 패칭 관리가 쉽지 않을 때가 많다는 점을 유념해야 한다. 콘투는 "취약점이 존재하는 장소를 찾기 위해 전면적인 자산 발견(검색)을 실시하는 것이 중요한 이유가 여기에 있다. 패칭이 없는 경우도 있다. 이 경우, 대안이 될 수 있는 방법과 모델을 찾아 보안에 적용해야 한다"고 강조했다. 예를 들어, 패칭을 사용할 수 없는 경우 네트워크 트래픽을 모니터링하는 방법을 사용할 수 있다.

가장 중요한 IoT 인프라 보안부터 우선적으로 처리하라
IoT 생태계의 데이터는 그 중요도가 각각 다르다. 피론티는 "위험을 기반으로 IoT 보안에 접근하면서, 가치와 중요도를 기준으로 했을 때 가장 소중한 자산을 가장 먼저 보호하는 것이 중요하다"고 설명했다.

IoT 장치는 기존 IT 장치보다 수가 많으며, 기하급수적으로 증가하는 경향이 있다. 따라서 이와 관련된 문제를 극복해야 한다. 피로티는 "단기간에 모든 장치를 패칭할 수 있다고 가정하는 것은 현실적이지 못하다. 이런 경우가 많다"고 말했다.

배포 전에 IoT 하드웨어와 소프트웨어 대한 '침입' 테스트를 실시하라
서비스 공급업체나 컨설팅 회사를 채용해 침입 테스트를 실시하는 경우, 필요한 펜 테스트를 명확히 지정해야 한다.

웨스터벨트는 "네트워크 침입 테스트를 실시하고, 분리된 네트워크의 무결성을 점검하는 침입 테스터를 의미한다. 일부 환경은 무선 인프라에 대한 평가와 테스트가 필요할 수도 있다. 현재 IoT의 경우, 일부 사용 사례를 제외하면 애플리케이션 침입 테스트의 우선순위는 이보다 낮은 편이다"고 설명했다.

콘투는 더 광범위한 위험 평가 프로그램의 일부로 침입 테스트를 실시해야 한다고 강조했다. 그는 "이와 관련된 보안 '자격증(인증)'에 대한 수요가 높아질 것으로 예상하고 있다"고 말했다.

실제 IoT 공격이 발생했을 때 그 즉시 대응할 수 있도록 준비해야 한다. 디디오는 "보안 대응 계획 및 문제에 대한 가이드, 거버넌스를 준비해야 한다. 실제 침입이 발생했을 때를 대비한 책임 및 명령 체계 또한 준비해야 한다"고 말했다.

'이상'을 파악과 개인 정보 보호 위해 IoT의 데이터 처리 방식 이해하라
웨스터벨트는 센서가 안전하게 데이터를 수집해 처리할 수 있도록 만전을 기해야 하며, 여기에 초점을 맞춰야 한다. 이를 위해서는 사이버보안 역량과 함께 장치 설치 장소 및 위험 프로필에 따라 물리적으로 조작과 변경을 방지하는 역량을 갖춰야 한다.

웨스터벨트는 "수집하는 데이터의 '요주의' 정도에 따라 하드웨어 및 소프트웨어 암호화, 장치와 센서, 기타 구성요소를 검사하는 PKI(Public Key Infrastructure)가 필요할 수도 있다. 또 POS 시스템 같은 IoT 장치에는 기능에 따라 화이트리스팅, 운영체제 제한, 바이러스 백신 등이 필요할 수도 있다"고 설명했다.

기본 보안 설정 사용은 '금물'이다
조직에 고유한 보안 정책에 따라 보안 설정을 선택해 사용해야 한다. 웨스터벨트는 "중요한 접점(Junture)에 네트워크 보안 어플라이언스를 도입하는 경우, 패시브 모드로만 배포해야 하는 경우도 있다. IoT 센서와 장치를 배포한 장소에 따라 오탐(false positives)을 허용해서는 안 되는 경우도 있다. 예를 들면, 산업용 기계류의 경우 중요한 '무엇'을 차단하면서 작동이 중단되고, 그 결과 많은 비용이 발생할 수 있다"고 설명했다.

보안 설정 변경이 IoT를 통해 연결된 실제 장치에도 적용될 수 있다. 예를 들면, 기본 설정으로 구성된 수백만 개의 비디오 카메라를 침해해 DDoS 공격을 감행한 사례가 있다.

'보안' 원격 액세스, 제공하라
해커들은 오래 전부터 '원격 액세스 취약점'을 표적으로 삼아왔다. 그런데 IoT의 경우, 도급업체에 특정 장치에 대한 원격 액세스를 제공하기 원하는 기업과 기관이 많다.

웨스터벨트는 "원격 액세스를 지원하는 솔루션을 올바르게 구현해야 한다. 또 원격 액세스를 모니터링, 승인, 취소할 수 있는 메카니즘을 도입해 활용해야 한다. '고위험' 시나리오의 경우, 원격 엑세스 소프트웨어의 취약점을 철저히 검사해야 한다"고 강조했다.

장치 간 안전 보안 통신을 위해 망분리를 하라
네트워크에 위치한 IoT 장치들을 분리하면, 문제가 생겼을 때 초래되는 영향을 제한할 수 있다. 피론티는 "특정 IoT 장치에서 악성 동작을 탐지했을 때, 문제를 조사해 해결할 때까지 다른 장치와의 통신을 분리해 막을 수 있다"고 설명했다.

피론티에 따르면, IoT 장치를 분리할 때 IoT 망분리와 다른 망분리 사이에 '검사' 계층을 구현, 모두를 검사할 수 있는 지점을 만드는 것이 중요하다. 이 지점에서 네트워크를 통과하는 트래픽의 종류에 대해 판단을 내릴 수 있다. 그리고 관련 트래픽에 초점을 맞춰 검사할 수 있다.

이렇게 하면, 모든 트래픽이 아닌, IoT 장치에 일반적인 특정 종류의 트래픽과 동작을 직접 검사할 수 있다.

사람과 정책 또한 중시하라
IoT의 경우, 장치와 네트워크에 대한 보안만 신경쓰면 안된다. 인적 요소 또한 중요하게 고려해야 한다.

디디오는 "IoT 보안은 장치와 보호, 추적 및 인증 메카니즘이 50%, IoT 생태계를 관리 및 감독하는 사람의 책임이 50%이다. C레벨 경영진부터 IT 부서, 보안 관리자, 최종 사용자까지 모든 사람이 IoT 생태계 보안에 최선의 노력을 경주해야 한다"고 강조했다.

여기에 더해, 기업의 기존 컴퓨터 보안 정책 및 절차를 평가하고 업데이트해야 한다. 디디오는 "만든 지 1년이 넘은 정책을 적용하고 있다면, IoT 배포를 감안해 업데이트해야 한다. 기업의 컴퓨터 보안 정책과 절차에서 1차, 2차, 3차 위반 시 처벌을 명확히 규정하는 것이 좋다. 예를 들면, 1차 위반은 경고, 반복되는 위반은 해고까지 할 수 있는 정책을 수립할 수 있다"고 말했다. editor@itworld.co.kr
 
X