2022년 IoT 기기에 영향을 미치는 취약성 증가율
57
%
자료 제목 :
2022년 상반기 XIoT 보안 현황 보고서
State of XIoT Security: 1H 2022
자료 출처 :
Claroty
원본자료 다운로드
발행 날짜 :
2022년 08월 31일
보안

클래로티, 2022 상반기 XIoT 보안 현황 보고서 발표…“12개월 동안 IoT 취약성 57% 증가”

 | ITWorld 2022.08.31
가상물리시스템(Cyber-Physical System) 보안 기업인 클래로티가 발표한 보고서에 따르면, IoT 기기에 영향을 미치는 취약성 노출이 2021년 하반기에 비해 57% 증가한 것으로 나타났다.
 

이번 2022년 상반기 XIoT 보안 현황 보고서에 따르면, 같은 기간 동안 공급업체가 자체적으로 공개한 취약성이 69% 증가했다. 독립 조사기관 발표보다 공급업체의 공개가 더 많이 보고된 것은 이번이 처음이라고 업체 측은 설명했다.

전체 또는 부분적으로 수정된 펌웨어 취약성도 79% 증가했다. 펌웨어 패치에서 취약성을 해결하는 것이 최초 소프트웨어 배포보다 상대적으로 어려운 점을 감안할 때 주목할 만한 개선이 이뤄진 것으로 볼 수 있다.

클래로티의 연구팀인 팀82가 작성한 이번 보고서는 운영 기술(OT), 산업 제어 시스템(ICS), IoMT(Internet of Medical Things), 빌딩 관리 시스템 및 엔터프라이즈 IoT를 포함하는 광범위한 가상물리시스템 네트워크를 뜻하는 XIoT(Extended Internet of Things)에 영향을 미치는 취약성에 대한 심층 조사 및 분석 내용을 담고 있다. 

이 보고서의 데이터는 팀82를 비롯해 오픈소스인 NVD(National Vulnerability Database), ICS-CERT(Industrial Control Systems Cyber Emergency Response Team), CERT@VDE, MITRE와 산업 자동화 기업인 슈나이더 일렉트릭, 지멘스에서 발견한 취약성으로 구성돼 있다.

클래로티의 리서치 사업부 부사장인 아미르 프레밍어는 “이미 수십 년 동안 사물이 인터넷과 연결되면서, 가상물리시스템은 우리가 먹고 마시는 음식과 물은 물론, 일상적으로 이용하는 엘리베이터와 의료 서비스에 이르기까지 현실 세계에 직접적인 영향을 미치고 있다”며, “우리는 XIoT 취약성 환경에 대한 청사진을 제공함으로써 이러한 중요 영역에 있는 의사결정권자들이 중요 시스템에 대한 위험을 적절하게 평가하고, 우선순위를 지정 및 해결할 수 있도록 이번 조사작업을 수행했다”고 밝혔다.
 

IoT 기기에서 15%의 취약성이 발견됐으며, 이는 팀82의 2021년 하반기 보고서에서 조사된 9%보다 크게 증가한 수치이다. 또한 IoT와 IoMT 취약성을 합하면 18.2%에 이르며, 처음으로 IT 전체 취약성 16.5%를 넘었다. 이는 연결된 기기들이 네트워크에 더 깊이 침투할 수 있는 관문이 될 수 있기 때문에 이를 보호해야 하는 공급업체들과 연구원들의 이해도가 개선되고 있음을 나타낸다.

공급업체가 자체 공개한 취약성이 29%에 이르면서 독립 조사기관(19%)을 처음으로 넘었다. 제3자 보안업체(45%)에 이어 두 번째로 많은 취약성 보고자가 되었다. 공개적으로 알려진 정보 보안 결함 목록 CVE(Common Vulnerabilities and Exposures)에는 214개를 게시했다. 팀82가 2021년 하반기에 보고한 127개보다 거의 두 배에 달하는 수치다. 이는 더 많은 OT, IoT, IoMT 공급업체들이 취약성 공개 프로그램을 수립하고, 제품의 보안과 안전성을 검사하는데 더 많은 리소스를 투자하고 있음을 보여준다.
 
게시된 펌웨어 취약성과 소프트웨어 취약성은 각각 46% 및 48%로 거의 유사한 수치를 보였다. 2021년 하반기 보고서에서 소프트웨어(62%) 대비 거의 절반에 불과했던 펌웨어(37%) 취약성이 크게 증가한 것으로 나타났다. 또한 이번 보고서에서는 전체 또는 부분적으로 수정된 펌웨어의 취약성이 2021년 하반기 21% 대비 2022년 상반기에는 40%로 상당히 증가한 것으로 드러났다. 이는 길어진 업데이트 주기와 간헐적 유지관리로 인해 펌웨어 패치 적용에 상대적으로 어려움을 겪고 있는 점을 감안하면 주목할 만한 결과이다. 연구원들이 프로세스와 보다 직접적으로 연결돼 공격자에게 더 매력적인 표적이 되는 퍼듀 모델(Purdue Model)의 더 낮은 레벨에서 장치를 보호하는데 관심이 증가하고 있음을 보여준다.
 

XIoT 취약성은 2022년 상반기에 총 747건에 이르렀으며, 평균적으로 월 125건의 비율로 게시 및 해결되고 있다. CVSS(Common Vulnerability Scoring Syste) 스코어는 대부분 치명적(19%) 또는 높은 심각도(46%) 수준으로 나타났다.

거의 3/4(71%)에 달하는 취약성이 시스템 및 장치 가용성에 큰 영향을 미치고 있으며, 이러한 영향 지표는 XIoT 기기에서 가장 크게 나타나는 것으로 확인됐다. 가장 큰 잠재적 영향은 무단으로 원격 코드를 실행하거나 명령을 실행(취약성의 54%에서 보편적으로 나타남)하는 것이었으며, 그 다음으로는 DoS(Denial-of-Service) 상황(충돌, 종료 또는 재시작)이 43%로 뒤를 이었다.

가장 높은 단계의 완화조치는 네트워크 세분화(취약성 노출의 45%에서 권장)로 나타났으며, 다음으로 보안 원격 액세스(38%), 그리고 랜섬웨어, 피싱 및 스팸방지(15%)가 그 뒤를 이었다.
editor@itworld.co.kr
 Tags 클래로티

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.