“레거시 인프라의 보안 공백을 메워라” 5가지 IoT 보안 문제와 효과적인 해결 방안

기업 네트워크와 연결된 IoT 기기의 양이 폭증하면서, 사이버보안 위협 역시 가파른 상승세를 타고 있다. 사이버보안 위협과 공급망 문제, 칩 부족, 지정학적 불안정성은 모두 IoT가 여러 애널리스트의 예측보다 훨씬 느리게 성장한 주요 원인이었다.
 

그렇다고 해도 IoT 보안의 규모는 지난 분기 52곳의 IoT 신생업체가 8억 4,000만 달러(약 1조 120억 원)라는 매출을 달성할 만큼 성장했다. 신중한 애널리스트조차도 IoT 시장이 내년에도 계속 꾸준히 성장할 것이라고 내다보고 있다. IDC는 오는 2025년까지 커넥티드 IoT 기기가 557억 대 규모로 확대될 것이라고 예측했다. 이런 기기가 생성하는 데이터의 양은 무려 80제타바이트(zettabytes)에 이를 것으로 추정된다.

많은 기업이 신생업체를 통해 기존 보안 인프라의 격차를 채우고 IoT 기반 보안 위협에 대응하고 있다. 여기서는 대표적인 IoT 보안 과제 5가지와 신생업체의 솔루션을 통해 이런 문제를 해결한 사례를 살펴본다. 

증가하는 공격 표면

다음은 지난 몇 년간 알려진 대표적인 IoT 보안 사고다. 이런 사고는 여느 CISO의 밤잠을 설치게 만든다. 
 

• 지난 5월, 대규모 틱톡 계정을 운영하는 한 어머니가 커넥티드 베이비 모니터에 공격자가 침투해 한밤중에 아이에게 말을 건 사실을 알아냈다.
• 우크라이나 침략 전쟁의 일부로 러시아의 특별 공작원이 상업 복합 거주지역과 커피숍의 IoT 카메라를 해킹해 인접 거리를 감시하고 우크라이나 시민에 대한 정보를 수집하며 보급 수송대를 모니터링했다. 
• 우크라이나를 지지하는 해커들이 러시아 TV 네트워크를 해킹해 우크라이나 무장 병력을 지원하는 영상을 송출했다. 몇몇 러시아 도시의 CCTV 네트워크에 침투해서 우크라이나의 젤렌스키 대통령의 연설을 내보낸 해커도 있었다.
• 2019년에는 미국 밀워키에 사는 한 부부의 스마트 홈 시스템이 공격당했다. 해커는 스마트 온도계 온도를 90도로 올리고 부엌 웹캠을 통해 부부에게 말을 걸고 이상한 노래를 재생했다.
• 2016년, 미라이 봇넷 맬웨어가 보안이 취약한 IoT 기기와 다른 네트워크로 연결된 기기를 감염시키고 미국 동부와 일부 유럽 지역의 인터넷을 불통으로 만들었다. 
• 2015년, 원격 해커들이 지프 체로키의 통제권을 탈취해 140만 대 규모의 피아트 크라이슬러 차량 리콜 사태가 발생했다.

이런 사건 사고는 모두 매우 골치가 아프지만, 엣지 컴퓨팅이 메인 서비스로 진출하고 고급 5G 네트워크가 RedCap(Reduced Capability, 5G망을 한 단계 업그레이드해 경량화한 IoT 서비스 지원 기술) 같은 기능을 출시하면서 IoT 보안 위험은 더욱 커졌다. RedCap 5G는 원래 기업 IoT의 도입을 촉진하기 위해 만들어졌다. 

RedCap 5G로 스마트폰이나 스마트 워치 같은 셀룰러 연결 모바일 기기는 근처의 제한된 기기에 임시 연결을 제공하는 허브 역할을 수행하게 됐다. 워크플로우가 간결해지고 비즈니스 효율성을 높이는 데 도움을 주기도 했지만, 보안이 허술한 모바일 기기, 가령 산업 진단 장비에 자동으로 연결될 경우, 기계가 자기 파괴를 하도록 유도한 맬웨어 스턱스넷(Stuxnet) 같은 위협에 노출될 수 있다. IDC 애널리스트 제이슨 리는 “엔드포인트가 늘어난다는 것은 공격자가 침투할 공격 표면도 늘어난다는 의미다. 보안팀이 더 많은 위험을 관리해야 한다는 의미이기도 하다”라고 말했다. 

거꾸로 IoT 위험을 제한하는 반대급부도 있다. 리는 “제한된 기기로는 복잡한 맬웨어가 침투하기 어렵다. 게다가 5.5G 등 신규 네트워크 사양은 위험을 감소하기 위해 네트워크 수준에서 탑재된 보안 요소 등을 포함하고 있다”라고 설명했다.

새로운 사양도 도움은 되겠지만, 공격자는 이미 IoT 네트워크를 목표로 지정하고 있다. 위험을 줄이려면 기업이 바로 지금 행동에 나서야 한다는 뜻이다. 그리고 많은 기업이 이런 문제를 해결할 역량이 있는 새로운 업체를 찾아 나서고 있다.

가시성 확보의 어려움

사이버보안 업계에는 ‘보이지 않는 것을 보호할 수 없다’라는 말이 있다. IoT 시장의 분할된 특성은 이런 문제를 악화시킨다. 리처기 기업 IoT 애널리틱스(IoT Analytics)에 따르면, 시장 점유율이 3%를 넘는 단일 공급업체가 한 곳도 없는 상황에서 상호운영성과 가시성 확보는 IoT 보안을 개선하기 위한 2가지 주요 과제다.

구체적인 사례가 있다. 데이튼 아동 병원(Dayton Childeren’s Hospital)은 급성 치료 교육 병원, 2곳의 주요 캠퍼스, 20곳의 외래 진료원을 갖춘 6억 달러 규모의 미국 소아과 네트워크를 운영한다. 지난 20년 동안 데이튼 아동 병원의 IoT, IoMT(Internet of Medical Things), BYOD(Bring Your Own Device) 역시 확대됐다. 데이튼 아동 병원의 IT 직원은 스마트 TV, 보안 카메라, 엑스레이나 MRI 같은 핵심 의료 기기, 신경외과 수술을 보조하는 로봇 등 병원 네트워크에 연결된 기기가 총 2만 5,000대가량이라고 추산한다.  

이런 상황은 데이튼 아동 병원에만 국한된 것이 아니다. IoT 성장은 의료 부문에 걸쳐 빠르게 이루어지고 있다. IT팀은 안전을 타협하거나 개인정보를 우선시하는 다양한 산업 규제를 위반하지 않으면서 간병인에게 지속적인 연결을 제공하는 방법을 파악해야 한다. 

뉴욕 시에 있는 마운트 시나이 헬스 시스템(Mount Sinai Health System)도 광범위한 의료 장비와 IoT 기기 네트워크의 보안을 개선하려고 할 때 한 가지 큰 문제에 직면했다. 네트워크에 연결된 기기에 대한 가시성이 부족한 것이었다. 게다가 생명의학과 IT 운영을 담당하는 팀 사이에 협업이 원활하게 이루어지지 않아 기기의 특성과 목적에 대한 가시성과 인식에 한계가 있을 수밖에 없었다. 

마운트 시나이가 IT 시스템 간소화와 현대화를 진행하는 동안 사이버보안 선임 이사인 톰 무스타크 박사는 기존 자원으로는 자산을 정확하게 식별하지 못한다는 것을 알고 좌절감을 느꼈다. 가시성 부족으로 인해 IT팀은 기기가 환자 치료에 미치는 영향과 잠재적인 네트워크 취약성을 평가할 수 없었다. 게다가 공급업체의 패치, 수명이 다한 운영체제, 원격으로 업그레이드할 수 없는 기기 등으로 인해 생명의학팀은 업무에 심한 제약을 받았다. 

마운트 시나이는 의료 기기 이외의 문제도 발견했다. 네트워크 환경에 자동차, 게임 시스템, 운동 장비 등의 폭넓은 커넥티드 기기가 포함돼 있었던 것이다. 적절한 맥락이 없으면 이런 기기를 인식하고 관리하는 것은 점점 최악으로 달려가는 악몽일 뿐이었다. 가시성을 확보하기 위해서는 우선 우선 레거시 시스템과의 상호운용성을 확보해야 했다. 

레거시 시스템과의 통합 

많은 대규모 의료 시스템과 마찬가지로 마운트 시나이와 데이튼 아동 병원은 시스코 인프라와 소프트웨어에 의존했다. 이들이 도입한 IoT 보안 도구는 어떤 것이든 기존 시스코 기반 시스템에 통합될 수 있어야 했다. 데이튼 아동 병원 CISO 니콜라스 쇼퍼스는 “다양한 시스코 제품을 보유하고 있는데, 각 제품이 상호작용할 수 있도록 설계됐다는 점이 좋았다. 무슨 일이 일어나면 상관 관계를 파악하기 쉽다”라고 말했다.

쇼퍼스의 팀은 이미 클라우드 기반 네트워크 모니터링 도구인 시스코 시큐어 네트워크 애널리틱스(Cisco Secure Network Analytics), SASE 서비스인 시스코 엄브렐라(Cisco Umbrella), IoMT, BYOD를 배포한 상태였다. 하지만 데이튼 아동 병원의 보안팀은 기기를 찾고 분류하고 IoT/IoMT 플로우를 관리하고 통신 패턴을 해독해 비정상 활동을 식별하기 위한 도움이 필요했다.

네트워크 액세스를 제어하기 위해 시스코 ISE(Identity Devices Engine)에 의존해 네트워크 액세스를 제어하던 마운트 시나이의 사이버보안팀도 비슷한 어려움을 겪었다. 마운트 시나이는 네트워크 안팎을 넘나드는 기기를 식별하고 분류하며 모니터하는 별도의 도구가 필요했다. 

두 조직 모두 새로운 기술을 도입할 필요가 있음을 알고 있었지만, 기존 네트워킹과 보안 시스템과 함께 상호운용할 수 있는 도구를 찾는 것이 최우선 임무였다. 

비즈니스 목표를 방해하지 않는 액세스 제어 

데이튼 아동 병원과 마운트 시나이 모두 시스코 인프라와 IoT 보안 통합을 제공하는 각기 다른 신생업체와 손을 잡았다. 데이튼 아동 병원은 2015년 생긴 미국 산타클라라 소재의 IoT 보안 플랫폼 오더(Order)를, 마운트 시나이는 2015년에 설립된 미국 뉴욕 기반의 보안 플랫폼 클래로티(Claroty)를 선택했다. 

데이튼 아동 병원은 기기 맥락을 식별하고, 정상적 기기 통신 플로우의 기준치를 잡고, 사용자와 기기 모두의 행동 분석을 수행하기 위해 오더의 커넥티드 디바이스 시큐리티(Connected Device Security) 소프트웨어를 사용했다. 데이튼 아동 병원은 이 도구를 통해 시스코 무선 컨트롤러와 방화벽에서 시스코 ISE 사용을 자동화되고 강제되는 정책을 생성하고 컨트롤에 액세스했다. 

제로트러스트 아키텍처로 이전함으로써 데이튼 아동 병원은 이제 기기를 분류하고, 네트워크에 대한 기기 액세스는 물론, 기기와 기기 간의 액세스를 제한하면서 특정 VLAN에만 기기를 연결할 수 있는 환경을 마련했다. 마운트 시나이도 클래로티가 최근 인수한 의료 IoT 보안 플랫폼 메디게이트(Medigate)를 배포하고 시스코 ISE와 통합하는 유사한 전략을 추구했다. 

마운트 시나이는 메디게이트로 기기의 행동, 통신 패턴, 그리고 정책 위반 가능성에 대한 인사이트를 얻었다. 메디게이트의 지속적 모니터링과 위반 탐지 기능은 애플리케이션 종속성과 소유권을 적극적으로 모니터링해 잠재적 위험을 평가하고 사전 조치를 구현하는 역량을 향상시키는 데 도움이 됐다. 

IoT 가시성 도구를 통해 마운트 시나이는 트래픽을 모니터링하고, 포트와 프로토콜을 식별하고, IoT 기기에 어떤 애플리케이션이 설치되었는지 파악할 수 있었다. 이를 통해 새로운 기기를 인식하고 정책을 적용한다. 또한 IT팀은 새로 발견된 관리되지 않은 기기로부터 네트워크를 세분화할 수 있다. 

메디게이트는 기기의 일반적인 행동을 정의하고 트래픽 모니터링하고 통신 패턴을 식별해 정책 생성과 시행을 자동화한다. 이런 패턴은 정책과 베스트 프랙티스를 생성하는 데 사용된다. 일단 승인된 정책은 적용을 위해 시스코 ISE로 전송된다.

무스타크 박사는 “메디게이트, 시스코와의 통합으로 병원이 네트워크에 걸쳐 엄격한 보안 정책을 시행하고, 비승인 액세스를 방지하고, 중요한 임상 시스템의 무결성을 보장할 수 있게 됐다”라고 말했다. 이런 보호는 기기와 임상 시스템 간에 승인된 통신만 이뤄지도록 보장하므로 효과적인 치료 제공에 필요한 통신을 방해하지 않으면서 환자의 안전에 우선순위를 둘 수 있다.

서드파티 위험 관리 

내부자 위협은 오랫동안 가장 완화하기 어려운 사이버보안 위협으로 꼽혀 왔다. IT 정책을 관장하는 C 레벨 경영진 같은 고급 사용자뿐 아니라 협력업체도 종종 기업 자원에 간단하게 액세스할 수 있다. 이런 과정에서 편의성이라는 명목으로 의도치 않은 위험을 위협을 가져올 수도 있다. IoT가 계속해서 인명 구조용 의료 장비와 자율주행 차량 같은 기기까지 포함하게 되면 작은 위험도 커다란 보안 사고로 이어진다.  

미국 샌프란시스코 기반 자율주행 차량 신생업체인 크루즈(Cruise)에 있어 커넥티드 차량과 연관된 많은 위험을 완화할 방법은 협력업체와 공급업체에 대한 철저한 위험 평가를 수행하는 것이었다. 문제는 서드파티 위험 평가가 엄청난 시간이 소요되는 번거로운 작업이었기 때문에 기존 프로세스를 회사의 성장에 맞춰 확장할 수 없었다. 

크루즈의 정보 보안, 신뢰, 평가 이사인 알렉산더 휴즈는 “클라우드의 부상은 협력업체의 위험 태세를 이해하는 데 엄청난 스트레스를 줬다. 이것은 복잡한 문제다. 파트너십은 압박을 준다”라고 말했다. 

크루즈는 제너럴 모터스, 혼다, 마이크로소프트, 소프트뱅크, 티.로우 프라이스, 월마트 등으로부터 100억 달러 규모의 투자를 받았다. 그러나 크루즈는 제조 부문을 확장하면서 점점 늘어나는 공급업체 생태계를 관리하는 데 어려움을 겪었다. 사이버보안팀은 한정된 인력으로 새로운 업체를 검토해야 한다는 지속적인 압박을 받았다. 적하 및 재적재 시간은 점점 길어졌고 종국에는 다른 보안 검토 과정도 계속해서 늘어졌다. 

크루즈는 IoT 보안 플랫폼으로 비소 트러스트(VISO TRUST)를 선택했다. 비소 트러스트는 2016년 미국 캘리포니아의 산 제로니모에서 설립된 위험 관리 플랫폼으로 수동 위험 관리 작업을 자동화한다. AI와 머신러닝을 활용한 비소 트러스트 플랫폼은 크루즈의 수동 평가 부담을 감소시키고, 전체 평가 시간을 절반으로 단축했으며, 새롭게 합류한 업체의 적하 및 재적재 시간도 줄였다. 휴즈는 “비소 트러스트는 보안 검토 과정을 완전 자동화하고 비직원 비용을 90%, 완료 시간을 50% 개선하고, 117% 더 많은 업체 평가를 지원하는 효과를 줬다”라고 말했다. 

일반적인 IoT 시장과 마찬가지로 한동안 IoT 보안은 단순한, 단일 업체 솔루션으로 해결할 수 없는 복잡한 문제로 남을 것이다. 기업은 기존 업체를 통해 보호를 현명하게 강화하고, 업체의 협력업체 생태계를 활용해야 한다. 

신생업체 협력업체는 산업별 IoT 보안 문제에 초점을 맞추는 경우가 많다. 이미 보편적으로 보유하고 있는 솔루션과 상호운용되는 솔루션이 가장 빠르게 높은 ROI를 제공할 것으로 보인다.
editor@itworld.co.kr