2020.07.29

"최신 기기가 구형보다 더 취약하다?" 의료 IoT에 대한 2가지 시선

Jon Gold | Network World
의료 네트워크가 사이버공격에 더욱 취약해지는 원인이 구형 커넥티드 기기에 있는지, 아니면 신형 기기에 있는지에 대한 전문가의 의견이 분분하다.

IoT 기기가 보안이 취약할 경우 지금까지는 네트워크에 구형 기기가 통합된 것을 가장 큰 이유로 들었다. 인터넷이 생기기 한참 전부터 존재한 구형 기기가 통합된 업계도 있다. 따라서 구형 기기를 포함한 전체 네트워크를 원격 공격으로부터 보호하는 것이 많은 기업의 과제가 된 것도 놀라운 일은 아니다.
 
ⓒ Getty Images Bank

아주 오래된 것이 아니더라도, 구형 기기는 보통 핵심적인 보안 기능이 부족한 경우가 많다. 특히, IT 직원이 최신 위협을 방지할 때 필요한 소프트웨어 업데이트와 암호 변경 보호 기능 등이 부족하다.

그런데 이런 상황이 의료 분야에서는 꼭 들어맞지는 않을 수도 있다는 것이 의료 IoT 보안 스타트업 사일러라(Cylera)의 최고 보안 전략가 리차드 스테이닝스의 주장이다. 최근 몇 년간 그 규모와 종류가 폭발적으로 늘어난 최신 의료 IoT 기기 중에는 적어도 의료 분야의 구형 장비만큼도 안전하지 않은 것도 많다는 것이다.

스테이닝스에 따르면 구형 기기가 최신 기기보다 훨씬 더 안전하게 여겨지는 경우도 있다. 특히, 전기적 소거 기록 가능형 메모리(electrically erasable programmable read-only memory, EEPROM)의 구형 버전 등, 과거 기술로 만들어진 기기가 그렇다.

스테이닝스는 “구형 시스템은 EEPROM으로 작성되어 있기 때문에 손을 대려면 EEPROM 판독기가 있어야 한다. 코드베이스가 인터넷에 있지 않기 때문에 해커가 접근할 수 없고 코드베이스를 다시 쓰려면 EEPROM에 물리적으로 접근해야 한다”라고 설명했다.

반면, 새로 나온 기기일수록 잠재적인 공격자들에게 훨씬 더 익숙한 소프트웨어 및 하드웨어 구성요소를 자주 사용한다. 스테이닝스는 “(신형 기기는) 설계와 구성이 더욱 흔하다. 윈도우 임베디드와 같은 [기성품] 운영체제를 사용한다. (믿거나 말거나 이 운영체제는 아직도 사용되고 있다.) 구형 시스템보다 공격에 훨씬 더 취약하다”라고 지적했다.
현 세대 의료 IoT 하드웨어의 보안이 취약하다는 점은 당장의 문제뿐 아니라 지속적으로 더 큰 위험을 야기할 수도 있다. IT 자산은 빠르게 교체되는 반면, IoT 기기는 교체 주기가 훨씬 긴 경우가 많다. 스테이닝스는 “의료 장비는 반감기가 플루토늄급”이라며 “좀처럼 없어지지 않는다”고 말했다.

스태닝스가 말하는 의료 IoT에 대한 위협에 의구심을 품는 전문가도 있다. 신형 기기가 구형보다 더 위험하다는 개념이 최근에 이루어지고 있는 기기 안정성 강화 움직임에 정면으로 배치된다는 것이다. 언스트 앤 영의 사이버 보안 자문 활동 총괄 담당 키이스 물라스키는 스테이닝스의 주장이 “놀랍다”고 전제하고, 커넥티드 의료 기기에 대한 규제로 인해 보안 표준이 긍정적인 방향으로 빠르게 움직이고 있다고 전했다.

물라스키는 계속해서 “미국 FDA 지침은 기기 출시에 앞서 위협 모델링 구축을 의무화해 상당히 엄격하다. 지침에 따라 보안 아키텍처, 벡터 등등을 살펴봐야 한다. 이 밖에도 FDA는 출시 전 제출 시 서드파티 펜 테스트 의무화를 준비하고 있다. 구형 장비는 출시 전 제출 규제를 받지 않아 신형 장비만큼 보안이 강화되지 않았다”라고 말했다.

물라스키도 취약한 일부 구형 기기는 취약 자산으로 식별되므로 네트워크에서 의도적으로 더욱 고립되는 경우가 많다는 점은 인정한다. 일례로, 윈도우 95 빈티지 엑스레이 기계는 악의적 공격자의 표적이 되기 쉽다. 

물라스키는 “대부분의 병원 환경에서는 이러한 구형 기기의 존재와 상대적으로 심한 취약성을 잘 인식하고 있다고 생각한다”고 말했다.

이 점은 대부분의 전문가가 의견을 같이하는 주제다. 즉, 네트워크에 있는 보안 결함 위험성을 인식하는 것부터가 의료 네트워크의 보안 확보에는 가장 중요한 시작이라는 것이다. 미국 소재의 네트워크 가시성 및 보안 스타트업 오르드르(Ordr)의 CEO인 그렉 머피는 물라스키와 스테이닝스의 주장이 모두 일리가 있다고 말했다.

머피는 “구형 커넥티드 기기의 위험을 대수롭지 않게 여기는 사람은 병원 의공학 부서의 입장에서 한참 생각해 볼 필요가 있다”고 전제하고 “그러나 다른 한편으로는, 네트워크에 연결되는 신형 기기는 그 자체에 엄청난 취약점이 있다. 제조업체도 직접 개발한 기기에 어떤 취약점이 있는지 모두 파악하지 못하는 경우가 많다”라고 덧붙였다.

머피는 문제 해결의 유일한 방법이 네트워크 수준에 있다고 설명했다. 모든 것을 기기 수준에서 안전하게 만들겠다는 목표는 보통 불가능에 가까우며, 네트워크에 연결된 모든 기기의 정확한 그림을 얻는 것조차 자동화 솔루션을 활용해야 하는 경우가 많다.

즉, 이 문제는 더는 “인간적 범위의 문제가 아니”라는 것이다.

물라스키와 스테이닝스 역시 이 점에 의견을 같이했다. 특정 네트워크에서 어떤 기기가 가장 취약하건 간에, 접근이 가능하기만 하다면 사이버 공격자는 어떤 기기를 해킹할지를 그다지 신경 쓰지 않는다는 점이 중요하다. 물라스키는 “접근 가능한 기기를 발견하고 스캔해 취약점을 찾아내는 공격자가 있을 수도 있지만, 의료 기기가 구체적으로 표적이 된 경우는 아직 보지 못했다. 의료 기기를 보유한 회사라면 반드시 네트워크에 있는 기기를 추적할 수 있는 역량을 갖추는 것이 중요하다”라고 강조했다. editor@itworld.co.kr 


2020.07.29

"최신 기기가 구형보다 더 취약하다?" 의료 IoT에 대한 2가지 시선

Jon Gold | Network World
의료 네트워크가 사이버공격에 더욱 취약해지는 원인이 구형 커넥티드 기기에 있는지, 아니면 신형 기기에 있는지에 대한 전문가의 의견이 분분하다.

IoT 기기가 보안이 취약할 경우 지금까지는 네트워크에 구형 기기가 통합된 것을 가장 큰 이유로 들었다. 인터넷이 생기기 한참 전부터 존재한 구형 기기가 통합된 업계도 있다. 따라서 구형 기기를 포함한 전체 네트워크를 원격 공격으로부터 보호하는 것이 많은 기업의 과제가 된 것도 놀라운 일은 아니다.
 
ⓒ Getty Images Bank

아주 오래된 것이 아니더라도, 구형 기기는 보통 핵심적인 보안 기능이 부족한 경우가 많다. 특히, IT 직원이 최신 위협을 방지할 때 필요한 소프트웨어 업데이트와 암호 변경 보호 기능 등이 부족하다.

그런데 이런 상황이 의료 분야에서는 꼭 들어맞지는 않을 수도 있다는 것이 의료 IoT 보안 스타트업 사일러라(Cylera)의 최고 보안 전략가 리차드 스테이닝스의 주장이다. 최근 몇 년간 그 규모와 종류가 폭발적으로 늘어난 최신 의료 IoT 기기 중에는 적어도 의료 분야의 구형 장비만큼도 안전하지 않은 것도 많다는 것이다.

스테이닝스에 따르면 구형 기기가 최신 기기보다 훨씬 더 안전하게 여겨지는 경우도 있다. 특히, 전기적 소거 기록 가능형 메모리(electrically erasable programmable read-only memory, EEPROM)의 구형 버전 등, 과거 기술로 만들어진 기기가 그렇다.

스테이닝스는 “구형 시스템은 EEPROM으로 작성되어 있기 때문에 손을 대려면 EEPROM 판독기가 있어야 한다. 코드베이스가 인터넷에 있지 않기 때문에 해커가 접근할 수 없고 코드베이스를 다시 쓰려면 EEPROM에 물리적으로 접근해야 한다”라고 설명했다.

반면, 새로 나온 기기일수록 잠재적인 공격자들에게 훨씬 더 익숙한 소프트웨어 및 하드웨어 구성요소를 자주 사용한다. 스테이닝스는 “(신형 기기는) 설계와 구성이 더욱 흔하다. 윈도우 임베디드와 같은 [기성품] 운영체제를 사용한다. (믿거나 말거나 이 운영체제는 아직도 사용되고 있다.) 구형 시스템보다 공격에 훨씬 더 취약하다”라고 지적했다.
현 세대 의료 IoT 하드웨어의 보안이 취약하다는 점은 당장의 문제뿐 아니라 지속적으로 더 큰 위험을 야기할 수도 있다. IT 자산은 빠르게 교체되는 반면, IoT 기기는 교체 주기가 훨씬 긴 경우가 많다. 스테이닝스는 “의료 장비는 반감기가 플루토늄급”이라며 “좀처럼 없어지지 않는다”고 말했다.

스태닝스가 말하는 의료 IoT에 대한 위협에 의구심을 품는 전문가도 있다. 신형 기기가 구형보다 더 위험하다는 개념이 최근에 이루어지고 있는 기기 안정성 강화 움직임에 정면으로 배치된다는 것이다. 언스트 앤 영의 사이버 보안 자문 활동 총괄 담당 키이스 물라스키는 스테이닝스의 주장이 “놀랍다”고 전제하고, 커넥티드 의료 기기에 대한 규제로 인해 보안 표준이 긍정적인 방향으로 빠르게 움직이고 있다고 전했다.

물라스키는 계속해서 “미국 FDA 지침은 기기 출시에 앞서 위협 모델링 구축을 의무화해 상당히 엄격하다. 지침에 따라 보안 아키텍처, 벡터 등등을 살펴봐야 한다. 이 밖에도 FDA는 출시 전 제출 시 서드파티 펜 테스트 의무화를 준비하고 있다. 구형 장비는 출시 전 제출 규제를 받지 않아 신형 장비만큼 보안이 강화되지 않았다”라고 말했다.

물라스키도 취약한 일부 구형 기기는 취약 자산으로 식별되므로 네트워크에서 의도적으로 더욱 고립되는 경우가 많다는 점은 인정한다. 일례로, 윈도우 95 빈티지 엑스레이 기계는 악의적 공격자의 표적이 되기 쉽다. 

물라스키는 “대부분의 병원 환경에서는 이러한 구형 기기의 존재와 상대적으로 심한 취약성을 잘 인식하고 있다고 생각한다”고 말했다.

이 점은 대부분의 전문가가 의견을 같이하는 주제다. 즉, 네트워크에 있는 보안 결함 위험성을 인식하는 것부터가 의료 네트워크의 보안 확보에는 가장 중요한 시작이라는 것이다. 미국 소재의 네트워크 가시성 및 보안 스타트업 오르드르(Ordr)의 CEO인 그렉 머피는 물라스키와 스테이닝스의 주장이 모두 일리가 있다고 말했다.

머피는 “구형 커넥티드 기기의 위험을 대수롭지 않게 여기는 사람은 병원 의공학 부서의 입장에서 한참 생각해 볼 필요가 있다”고 전제하고 “그러나 다른 한편으로는, 네트워크에 연결되는 신형 기기는 그 자체에 엄청난 취약점이 있다. 제조업체도 직접 개발한 기기에 어떤 취약점이 있는지 모두 파악하지 못하는 경우가 많다”라고 덧붙였다.

머피는 문제 해결의 유일한 방법이 네트워크 수준에 있다고 설명했다. 모든 것을 기기 수준에서 안전하게 만들겠다는 목표는 보통 불가능에 가까우며, 네트워크에 연결된 모든 기기의 정확한 그림을 얻는 것조차 자동화 솔루션을 활용해야 하는 경우가 많다.

즉, 이 문제는 더는 “인간적 범위의 문제가 아니”라는 것이다.

물라스키와 스테이닝스 역시 이 점에 의견을 같이했다. 특정 네트워크에서 어떤 기기가 가장 취약하건 간에, 접근이 가능하기만 하다면 사이버 공격자는 어떤 기기를 해킹할지를 그다지 신경 쓰지 않는다는 점이 중요하다. 물라스키는 “접근 가능한 기기를 발견하고 스캔해 취약점을 찾아내는 공격자가 있을 수도 있지만, 의료 기기가 구체적으로 표적이 된 경우는 아직 보지 못했다. 의료 기기를 보유한 회사라면 반드시 네트워크에 있는 기기를 추적할 수 있는 역량을 갖추는 것이 중요하다”라고 강조했다. editor@itworld.co.kr 


X