가짜 데이터가 IoT 보안에 ‘문제’가 되는 이유

그는 또 전력 그리드를 방해하는 공격 방법도 조사했다. 슈크리 교수는 “전력 그리드 안정화에 센서 정보를 사용한다. 따라서 이 정보를 침해, 전체 그리드에 불안정과 운영 중지를 초래할 수 있다”라고 지적했다.

산업 제어 시스템(ICS)은 보안이 미흡한 경우가 많다. 최근 트렌드마이크로(Trend Micro)가 발표한 보고서에 따르면, 수 많은 에너지 및 상수 시스템이 온라인에 노출되었다. 특히 트라이톤 맬웨어(TRITON malware)는 ICS를 표적으로 삼으며, 안전 제어 시스템을 조작할 수 있도록 만들어져 있다.

센서에 대한 직접적인 공격을 감지하기란 거의 불가능하다. 조작을 알려주는 디지털 기록도 거의 남지 않는다. 지난 해, 미시건 대학(University of Michigan) 연구원들은 음파를 사용해 가속도계를 공격하는 방법 한 가지를 밝혀냈다. 카스퍼스키의 조사 결과에 따르면, 산업계의 기업 가운데 약 절반이 ICS 장치에 대한 공격을 감지할 방법과 수단이 없다.

트렌드마이크로의 수석 보안 전략가인 바라트 미스트리는 “현재, 센서의 데이터 캡처 방법에 대한 표준(기준)이 없다. 그냥 데이터를 캡처해 전송할 뿐이다. 일부 벤더가 센서와 데이터를 획득하는 서버 사이의 터널을 암호화하고 있다. 그러나 데이터 자체에 디지털 서명이 없다. 특정 센서에서 쉽게 데이터를 수집, 다른 센서의 데이터처럼 보이도록 만들 수 있다는 의미이다”fk고 지적했다.

데이터의 양이 많기 때문에, 지표에 급변동이 있는 경우를 제외하면 사람들이 데이터 조작을 파악하기 아주 어렵다. 반면 머신은 공급되는 데이터를 ‘소화’할 뿐이다. 여기에 더해, 많은 데이터가 비구조화 데이터이기 때문에 조작을 포착하기 더 어려워진다. 특정 네트워크에서 여러 센서를 공격, 모두 유사한 정보를 전송 및 보고하도록 만들 경우, 다른 센서와 일치하지 않아도 이를 신뢰할 수 있는 정보로 판단하게 되는 문제도 있다.

슈크리는 “공격받은 데이터를 모두 통합하기 때문에 더 어려운 문제가 된다. 여러 센서들을 교차 점검하지 않는 한, 이런 공격을 발견하기란 사실상 불가능하다”라고 지적했다.

아마 2015년 우크라이나 전력 그리드 공격, 이란 원자력 시설을 표적으로 한 스턱스넷(Stuxnet) 공격 같은 ‘국가 수준의 대규모’ 공격이 존재하게 될 것이다. 그러나 미스트리는 ‘갈취’에 목적이 있는 공격도 있을 수 있다고 지적했다. 그는 “범죄자들이 쉽게 FUD(공포, 불확실성, 의심)를 초래할 수 있다. 이를 통해 “침해를 했는데, 변경 및 조작 사항, 방법을 알고 싶으면 돈을 내라!”고 말할 수도 있다”라고 설명했다.

또 미스트리는 “범죄자가 데이터를 조작한 후 조직에 조작된 부분을 알려주지 않으면 조직은 혼란에 빠진다. 데이터가 얼마나 오랜 기간 침해된 상태였는지, 어떤 데이터가 조작되었는지, 이로 인해 얼마나 많은 제품을 리콜 해야 하는지 모르기 때문이다. 스스로 복구할 수 없는 데이터가 있는 경우를 중심으로, (침해된 센서, 데이터, 기간을 파악하기 위해)돈을 낼 수밖에 없는 조직이 많을 것이다”라고 덧붙였다.

사물 인터넷의 보안
가짜 IoT 데이터와 관여된 공격 사례는 거의 없다. 그러나 안전하지 못한 사물과 관련된 일반적인 공격에 대한 사례는 아주 많다. 이런 장치를 배포하는 기업과 장치 제조업체 모두 IoT 보안을 향상시킬 방법을 찾아야 한다.

영국의 정보 기관인 GCHQ(Government Communications Headquarters)는 ‘컨슈머 IoT 보안을 위한 실천 강령(Code of Practice for Consumer IoT Security)’이라는 자료를 발간했다. 기본 설정 암호를 사용하지 말고, 취약점 공개 정책을 수립해 이행하고, 정기적으로 패칭을 하고, 안전한 스토리지와 안전한 데이터 통신을 구현하는 것 등 장치의 보안을 향상시키는 방법을 제시하고 있는 자료이다. 캘리포니아 주 정부는 한 걸음 더 나아가, 입법을 추진했다. 좋은 IoT 보안에 대한 법이다.

일반 소비자 IoT 장치의 보안은 계속 미흡한 상태이다. 그러나 기업들이 이 문제에 더 신중하게 접근하고 있는 것으로 보인다. 451 리서치의 조사에 따르면, IoT 프로젝트를 진행하고 있는 대기업 중 절반 이상은 보안에 대한 우선순위가 가장 높다고 밝혔다. 또 2018년 포네몬 글로벌 암호화 트렌드 보고서(2018 Ponemon Global Encryption Trends Report)에 따르면, IoT 장치의 IoT 데이터를 부분적으로, 또는 광범위하게 암호화하고 있다고 대답한 대기업 비율이 49%에 달한다.

트렌드 마이크로의 미스트리는 “장치에 대해서는 걱정하면서, 이와 관련된 데이터 획득 서비스, 데이터가 보관되는 리포지토리(저장소)는 망각하는 기업들이 많다. 사용하는 데이터가 진짜 데이터인지 둘 모두를 균형 있게 점검을 해야 한다. 센서부터 저장소까지 감사 및 추적을 하고, 이에 대한 기록을 유지해야 한다”라고 강조했다.

오염된 IoT 데이터가 시스템으로 유입되는 것을 줄이는 예방적인 방법들이 있다. 휴지 상태나 전송 상태의 데이터를 암호화하는 것, 데이터를 해싱하는 것, 수집한 각 기록에 디지털 서명을 생성하는 것 등을 예로 들 수 있다. 미스트리는 IoT 데이터 또한 많은 규제를 받는 결제 관련 데이터, 의료 데이터와 유사한 방식으로 취급 및 관리해야 한다고 강조했다.

공격 포착 및 감지의 경우, 비정상적인 것을 모두 포착하는 기준선을 마련하면 훨씬 쉽게 공격을 감지할 수 있다. 가능한 경우, 예측 모델을 실제 결과에 꾸준히 비교하는 것도 좋다. 그러면 ‘불일치한 부분’, ‘이상한 부분’을 확인할 수 있다. 그는 “데이터가 아주 많기 때문에 일정 수준 감시와 감독이 필요하다. 머신러닝 알고리즘을 감시하는 또 다른 알고리즘도 필요하다”라고 말했다. ciokr@idg.co.kr