산업용 IoT 보안:아키텍처 선택 가이드

조직이 점점 더 산업 제어 네트워크를 IT 환경, 클라우드 애플리케이션 및 원격 작업자에 연결함에 따라 DMZ(비무장 지대)에 의해 생성된 공극이 줄어들고 운영 기술(OT) 네트워크를 보호하기 위한 새로운 방법을 배포해야 합니다.

보안 솔루션은 IT와 OT 모두의 요구 사항을 고려해야 하며 운영 오버헤드나 네트워크 복잡성을 증가시키지 않으면서 강력한 보안을 제공해야 합니다. 조직에 가장 적합한 솔루션을 선택하려면 사용 가능한 다양한 보안 아키텍처의 의미를 이해해야 합니다. 이 게시물에서는 산업용 IoT 보안에 적합한 아키텍처를 선택하기 위한 가이드를 간략하게 설명합니다.

시작하기

산업용 IoT 네트워크를 확보하기 위한 첫 번째 단계는 가시성을 확보하는 것입니다. 네트워크에 있는 장치, 통신 중인 장치 및 통신 위치를 이해해야 합니다. 그러나 기존의 산업 제어 네트워크는 이러한 통찰력을 제공하도록 구축되지 않았습니다.

다행스럽게도 네트워크 가시성을 확보하는 기술은 현재 사용할 수 있습니다. DPI(심층 패킷 검사)는 모든 통신 흐름을 디코딩하고 메시지 내용과 패킷 헤더를 추출하여 보안이 필요한 장치와 통신 중인 장치를 이해할 수 있는 가시성을 제공합니다. 이를 통해 올바른 보안 정책을 구축할 수 있을 뿐만 아니라 치명적인 영향을 미칠 수 있는 불법적인 명령과 같은 비정상적인 동작을 시스템에 감지할 수 있는 기능도 제공합니다.

아키텍처 선택

DPI를 수행하기 위해 네트워크 패킷을 수집할 때 보안 솔루션 공급자는 일반적으로 다음 두 아키텍처 중 하나를 사용합니다.

두 가지 접근 방식 모두 네트워크 가시성을 제공할 수 있지만 동시에 새로운 문제를 야기합니다. 트래픽을 중앙 서버로 보내도록 네트워크 스위치를 구성하려면 네트워크 흐름을 복제해야 하며, 이는 복잡하고 비용이 많이 들 수 있습니다. 추가 네트워크 정체로 인해 네트워크 대기 시간이 발생할 수도 있습니다. 이는 종종 용납할 수 없는 타협입니다.

보안 어플라이언스를 배포하면 네트워크 트래픽 복제와 관련된 문제가 해결됩니다. 어플라이언스는 스위치에서 네트워크 트래픽을 수집 및 분석하고 추가 분석을 위해 메타데이터만 서버로 보냅니다. 그러나 완전한 가시성을 위해서는 네트워크의 모든 스위치에 대한 전용 하드웨어의 설치, 관리 및 유지 관리가 필요합니다. 이는 곧 비용 및 확장성 문제로 이어질 수 있습니다. 그리고 효과적인 보안을 위해서는 완전한 가시성이 필요합니다. 스위치 하나를 "어두운 곳에" 두는 것만으로도 위험이 따릅니다.

대체 접근 방식

완전한 네트워크 가시성과 세 번째 아키텍처 접근 방식을 달성하는 더 나은 방법이 있습니다. 기본 DPI 기능이 있는 산업 등급 스위치를 배포하는 것입니다. 따라서 네트워크 흐름을 복제하고 추가 어플라이언스를 배포할 필요가 없습니다. 가시성과 보안 기능을 확보하는 것은 단순히 스위치 내에서 기능을 활성화하는 문제입니다. 비용, 트래픽 및 운영 오버헤드가 모두 최소화됩니다.

네트워크 스위치에 DPI를 포함하면 IT와 OT 모두 고유한 이점을 얻을 수 있습니다. IT는 추가 하드웨어나 네트워크 트래픽을 관리할 필요 없이 기존 기술을 활용하여 OT 네트워크를 보호할 수 있습니다. OT는 이제 전체 산업 네트워크 트래픽을 분석할 수 있어 제어 시스템에 대한 귀중한 분석 통찰력을 제공할 수 있으므로 이전에는 없었던 운영에 대한 가시성을 얻을 수 있습니다.

OT 보안 솔루션을 평가할 때 아키텍처에 미치는 영향을 인식하십시오. 배포를 단순화하고 확장할 수 있도록 하려면 스위치에 보안 기능을 내장하는 것이 가장 좋습니다. 이를 위해서는 산업용 컴퓨팅 기능이 있는 네트워크 장비가 필요합니다. 산업용 IoT용으로 설계된 DPI 지원 스위치를 찾으십시오.

이것이 Cisco Cyber ​​Vision에서 채택한 접근 방식입니다. 보안 모니터링 구성 요소가 당사의 산업용 네트워크 장비 내에서 실행될 수 있도록 하는 고유한 에지 컴퓨팅 아키텍처를 활용하여 OT 환경에 대한 가시성, 운영 통찰력 및 전체적인 위협 탐지를 제공합니다.

Cisco Cyber ​​Vision의 이점은 Cisco 네트워크가 있는 조직에 국한되지 않습니다. 센서는 레거시 네트워크 장치에 연결하여 에지에서 트래픽을 분석하는 Cisco IC3000 어플라이언스 내에서도 사용할 수 있습니다. 이를 통해 기존 네트워크에 대한 요구 사항을 충족할 수 있는 최대한의 배포 유연성을 제공하는 동시에 연결된 모든 것을 볼 수 있는 DPI 지원 네트워크 장비로 구형 스위치를 교체할 시간을 확보할 수 있습니다.

더 자세히 알아보려면 백서 "산업용 IoT 네트워크 보안을 위한 에지 아키텍처 접근 방식"을 확인하십시오. 여기에서 소개된 세 가지 보안 아키텍처와 네트워크 스위치에 DPI를 포함하는 방법에 대해 자세히 살펴봅니다. IT와 OT 모두.