핵심 인프라 사이버 보안 전략 개발

요구 사항에는 다음이 포함됩니다.

<울>

중요 인프라 보호는 오랜 우선 순위이지만 많은 조직에서 사이버 위협에 대한 대응이 늦어지고 있습니다.

COVID-19는 중요 인프라의 정의를 확장하는 동시에 기업이 운영에 필수적인 시스템에 대해 질문하도록 상기시켜줍니다. 이 기사는 "클라우드에서 에지까지 IoT 보안 문제 해결" 시리즈 중 1장의 조언을 바탕으로 작성되었습니다.

중요한 인프라를 관리하는 조직은 사전 예방적 사이버 보안 태세를 개발해야 하지만 코로나바이러스로 인한 혼란으로 인해 어려움이 커집니다.

이제 중요 인프라에 대한 포괄적인 사이버 보안의 필요성이 분명해졌습니다. 전력망, 댐, 투표 시스템 및 기타 연방에서 지정한 중요 기반 시설을 표적으로 하는 악의적인 행위자의 위험에 대해 공개 계정이 널리 퍼져 있습니다. 그러나 필수 서비스를 제공하는 대부분의 조직은 사이버 위험을 해결하기 위해 점진적인 조치만 취했습니다. Deloitte의 파트너인 Sean Peasley는 "많은 [운영 기술] 조직이 거의 초기 단계의 사이버 보안 프로그램을 보유하고 있습니다.

핵심기반시설(Critical Infrastructure)이라는 용어는 처음에는 교통기반시설, 공공시설 등 공공사업을 가리키는 용어였으나 1990년대 이후 점차 그 정의가 확대되었다. 이제 기준표 아래의 부문에는 무엇보다도 의료, 에너지 및 유틸리티, 다양한 제조업체가 포함됩니다. 딜로이트의 키어런 노턴(Kieran Norton) 교장은 “실제로 말해서 우리는 코로나 시대에 중요한 인프라가 우리가 생각했던 것보다 훨씬 더 광범위하다는 것을 알게 됐다”고 말했다. 예를 들어 개인 보호 장비 제조업체는 위기를 완화하는 역할을 합니다. Norton은 "예를 들어 팬데믹 기간 동안 공급망 중단이 잠재적으로 치명적일 수 있다는 것도 배웠습니다."라고 말했습니다. 당연히 물류 회사는 그들의 역할을 필수 요소로 공고히 했습니다. 미국 정부는 펄프, 제지 및 육류 포장 산업도 필수적이라고 선언했습니다. 따라서 중요한 인프라와 운영 기술(OT) 보안 간의 중복이 계속해서 흐려집니다. TÜV Rheinland가 후원하는 Ponemon Institute의 산업 보안 연구에 따르면 이름이 무엇이든 간에 이 영역의 산업 중 사이버 효율성이 높은 수준에 도달한 산업은 거의 없습니다.

[북미 최대 IoT 이벤트인 IoT World는 8월 11일부터 13일까지 3일간 가상으로 진행되며 IoT, AI, 5G 및 엣지를 업계 전반에 걸쳐 실행합니다. 지금 등록]

기존의 중요 인프라 기업은 기존의 위험 관리 및 안전 이니셔티브에 대한 수십 년의 경험을 가지고 있을 수 있지만 많은 사람들에게 사이버 보안은 상대적으로 새로운 우선 순위입니다. 그리고 대체로 중요한 인프라를 관리하는 조직은 느리게 움직이는 경향이 있습니다. Kudelski Security의 CEO인 Andrew Howard는 "제 일반적인 경험은 OT 보안이 IT 보안 분야보다 약 10~15년 뒤쳐져 있다는 것입니다."라고 말했습니다.

한편, 중요 인프라 조직에 대한 위협 환경은 계속해서 더 위태로워지고 있습니다. 이러한 인프라를 표적으로 하는 공격자의 수가 급증하고 있으며 많은 중요 인프라 환경에서 연결된 장치의 수도 증가하고 있습니다. IBM의 X-Force Threat Intelligence Index 2020에 따르면 2019년 산업 제어 시스템에 대한 공격 규모는 이전 3년을 합친 것보다 많습니다.

이러한 공격은 2020년에 헤드라인을 장식했습니다. 랜섬웨어 공격자는 Honda와 대만의 에너지 유틸리티와 미국 천연 가스 시설을 성공적으로 표적으로 삼았습니다. 이스라엘의 상수도가 공격을 받은 것으로 알려졌다. 일본 통신회사 NTT가 내부망을 해킹당했다.

R 지속적으로 평가

측정할 수 없으면 개선할 수 없습니다. 그러나 그 조언은 위험과 위험 감소를 수량화하기 어려울 수 있는 중요한 인프라 사이버 보안에 이중으로 적용됩니다. 많은 조직이 환경의 다양성과 복잡성을 감안할 때 정확한 자산 인벤토리를 유지하기 위해 고군분투하고 있습니다. 한편, OT 사이버보안을 전문으로 하는 전문가는 부족한 실정이다. 조달된 하드웨어, 소프트웨어 또는 계약자를 통해 도입된 잠재적인 취약성을 평가하는 것을 포함하여 제3자 위험 관리의 복잡한 특성이 이러한 위험을 가중시킵니다.

위험 평가는 지속적인 프로세스여야 하지만 중요 인프라 조직은 위협, 취약성, 사이버 공격 및 기타 운영 중단 원인의 잠재적 결과를 정량화하도록 설계된 주기적인 심층 위험 평가부터 시작해야 합니다. 잠재적인 취약점에는 공유 암호, 패치되지 않은 시스템, 출처를 알 수 없는 소프트웨어 및 하드웨어, 지나치게 관대한 방화벽이 포함됩니다.

그러나 이러한 보안 평가는 수행하기 까다로울 수 있습니다. 펌프 및 밸브, 레거시 컨트롤러 및 수많은 컴퓨팅 장치에 이르기까지 추적할 장치 유형이 다양합니다. 또한 산업 시스템 침해의 결과를 이해하려면 심층적인 운영 지식이 필요합니다. 여러 시스템이 있는 환경에서는 문제가 더 복잡해집니다.

전통적인 네트워크 스캐닝 기술은 주의가 필요합니다. 산업 제어 시스템의 능동 네트워크 및 취약성 스캐닝 기술은 제어 시스템을 충돌시킬 수 있습니다. 산업 제어 시스템 보안 전문 컨설턴트인 Dale Peterson에 따르면 중요한 인프라 환경에서 능동 스캐닝을 안전하게 사용하는 것은 일반적으로 안전하게 수행할 수 있습니다. 그러나 위험을 해결하려면 운영팀과 긴밀하게 협력해야 합니다. 네트워크 모니터링을 위한 수동 기술은 덜 방해적이지만 덜 정확합니다. “이 논쟁은 IT 보안 관점이 OT 관점과 충돌하는 경우가 많습니다. IT 보안 담당자는 능동 검사를 선호하지만 중요 인프라 시스템을 모니터링하는 담당자는 위험에 빠뜨리고 싶지 않기 때문에 수동적 접근 방식을 선호하는 경우가 많습니다."

특히 심층 평가를 통해 조직은 긴 문제 목록을 발견하고 우선 순위를 정하기 위해 문제 해결에 의문을 제기할 가능성이 높습니다. 또한 문제를 복잡하게 하는 많은 사이버 보안 전문가는 일반적으로 감사를 받는 모든 장비에 대한 직접적인 경험이 없으므로 노련한 자산 소유자 및 운영자와의 인터뷰에 의존하여 사이버 위험을 측정해야 합니다.

조직은 치료의 심각성과 용이성 모두를 저울질해야 합니다. Miklovic은 액세스 제어가 종종 주제라고 말했습니다. 그는 “경계 인터페이스는 프로토콜 경계든 물리적 경계든 사이버 보안 문제의 가장 취약한 부분”이라고 말했다. "산업 사이버 보안 세계에서도 여전히 가장 큰 침해 지점 중 하나는 USB 드라이브입니다."

직원이 사용하지 않는 USB 드라이브를 연결하기 위해 초강력 접착제나 땜납을 사용하는 것이 빠르고 저렴하지만 일부 조직은 문제 해결에서 "쉬운 문제"를 해결하는 데 너무 집중한다고 Howard는 말했습니다. "예, 즉시 제거해야 하는 임계값 완화가 있습니다. 하지만 그 후에는 위험을 기준으로 우선 순위를 지정해야 합니다.”

RunSafe의 CEO인 Joe Saunders에 따르면 취약점의 영향 가능성과 잠재적 심각도를 측정하는 2x2 매트릭스를 사용하여 위험을 정량화하는 것이 가능합니다.

각 시스템에 대한 위험 프로필을 구축하는 것은 거의 간단하지 않습니다. 자산 소유자 및 운영자와의 인터뷰는 특정 시스템이 충돌할 경우의 영향을 이해하는 데 중요합니다. Miklovic은 "취약하고 위험이 높은 것으로 보이는 기계를 가질 수 있습니다."라고 말했습니다. 그러나 다운되면 모든 것을 "완전히 정지"시키는 것이 아니라 고립 된 문제 만 일으킬 수 있습니다.

위험 평가를 복잡하게 만들 수 있는 또 다른 요소는 조직이 투자한 시간이나 비용만을 기준으로 사이버 우선 순위를 지정하는 경향입니다. Trend Micro의 인프라 전략 담당 부사장인 Bill Malik은 "조직이 가치 있다고 생각하는 것이 사이버 범죄자가 가치 있다고 생각하는 것과는 상당히 다를 수 있습니다.

기존 장비의 경우 조직은 위험을 줄이는 능력이 제한될 수 있습니다. 수십 년 된 운영 체제를 실행하는 장치는 업데이트할 수 없습니다. "일반적으로 이러한 시스템에서 취하는 전략은 격리 및 모니터링입니다."라고 Howard는 말했습니다. "제 경험에 따르면 격리는 일반적으로 매우 다공성입니다."

뉴 노멀의 새로운 위험

사이버 보안에 대한 우려가 커짐에 따라 중요 인프라의 위험 관리가 점점 더 어려워지고 있습니다. 이러한 조직이 COVID-19 대응 계획을 개발하는 동시에 일부 근로자에 ​​대한 원격 근무를 확대해야 하는 필요성은 복잡성을 가중시킵니다. IronNet Cybersecurity의 전략, 파트너십 및 기업 개발 담당 수석 부사장 Jamil Jaffer는 "중요한 인프라 환경에서 볼 수 있는 주요 변화는 재택 근무 시나리오라고 생각합니다."라고 말했습니다.

재택근무 패러다임은 취약한 시스템을 보호하는 것이 복잡하다고 Howard는 말했습니다. "이제 VPN을 사용하여 직원들이 집에서 프로덕션 시스템에 연결하여 변경 작업을 수행할 수 있습니다."라고 그는 말했습니다. “그들은 아마 전에 그렇게 하지 않았을 것입니다.”

마찬가지로 일부 조직에서는 공급업체 및 기술자와 같은 제3자에게 민감한 시스템에 대한 원격 액세스 권한을 부여하고 싶을 수 있습니다. Norton은 "많은 사람들이 업무를 완수하고 업무를 유지하는 데 집중할 때 사이버 보안에 덜 집중할 것입니다."라고 말했습니다.

네트워크 가용성은 중요한 인프라 컨텍스트에서 원격 작업 기능을 확장하려는 조직의 또 다른 고려 사항입니다. Norton은 "과거에는 직원의 10~20%가 기존 원격 액세스 인프라를 사용하는 조직이 있었습니다. Norton은 조직이 원격 작업 기능을 확장함에 따라 "대역폭, 확장 및 자산 배포에 문제가 발생했습니다."라고 말했습니다.

산업 자산에 대한 연결을 확장하면 잠재적으로 더 많은 취약성이 발생할 수 있지만 COVID-19는 또한 근로자의 물리적 존재, 수동 프로세스 및 서류 작업에 의존하는 구식 비상 계획의 위험을 강조했습니다.

전통적으로 변경 속도가 느리지만 핵심 인프라 조직은 핵심 프로세스와 워크플로를 재고하면서 기술 아키텍처를 전면적으로 변경하는 것을 주저해서는 안 됩니다. Norton은 "이것이 새로운 표준이라면 인프라를 재설계해야 할 것입니다."라고 말했습니다.

사전적 사이버 보안을 위해

궁극적으로 중요 인프라 조직은 점진적인 위험 감소를 제공하는 확립된 수동 프로세스에서 보다 적극적인 사이버 보안 태세로 전환하려고 합니다. "산업 환경은 복잡하고 끊임없이 진화하는 경향이 있습니다."라고 Sternum의 CEO인 Natali Tshuva는 말했습니다. "보안 통제는 현재 상태를 평가할 뿐만 아니라 앞으로 몇 년 동안 지속 가능한 보호와 마음의 평화를 제공하기 위해 필요합니다."

전통적으로 산업 및 중요 인프라 보안은 물리적 경계 내에서 안전 및 액세스 제어를 포괄하는 물리적 보안을 의미했습니다. 많은 전통적인 산업 프로토콜은 설계자가 승인된 직원만 액세스할 수 있다고 가정했기 때문에 근본적으로 안전하지 않습니다. 그러나 원격 작업, 클라우드 컴퓨팅 및 IIoT의 부상으로 성과 해자 보안 모델이 약화되었습니다. 그러나 이러한 레거시 모델의 영향은 기업뿐 아니라 많은 중요 인프라 조직이 사후 대응적 보안 접근 방식을 취하는 이유 중 하나입니다.

이러한 재설계의 강조점은 보편적인 보안 정책을 기반으로 하는 강력하고 효율적인 워크플로를 만드는 것입니다. Norton은 "보안 제어 장치를 자산에 최대한 가깝게 이동하십시오."라고 조언했습니다.

이 프로세스에는 다음 자산에 대한 포괄적이고 진화하는 보안 정책을 만드는 작업이 포함됩니다.

<울>

장비 및 기기 :이러한 하드웨어는 레거시 산업 장비에서 IoT 장치, 기업 지급 노트북에 이르기까지 다양합니다. Norton은 "사용자와 관련된 컨텍스트에서 이러한 장치를 이해하는 것이 매우 중요합니다."라고 말했습니다. RunSafe Security의 CEO인 Joe Saunders는 조직이 산업용 컨트롤러를 보호해야 한다고 조언했습니다. 이와 대조적으로 센서와 게이트웨이의 보안은 비교적 간단합니다. "하지만 컨트롤러는 성능에 민감하고 인프라 깊숙이 있습니다."

네트워크 및 사용자 :사용자의 경우 보안 담당자는 조직의 보안 정책에 요약된 제어를 기반으로 가능한 한 액세스를 제한해야 합니다. Norton은 "사용자와 애플리케이션의 컨텍스트를 통해 동적으로 적용할 수 있는 보안 제어와 통신하는 정책 엔진을 가질 수 있습니다."라고 말했습니다. 조직은 또한 네트워크 침해 탐지 기능에 투자해야 합니다.

데이터 . 데이터 분류 및 검색은 주어진 데이터 유형을 보호하는 데 필요한 제어 수준을 평가하는 데 유용한 도구입니다.

작업 흐름, 작업 부하 및 프로세스. 필요한 보호 수준은 조직에 대한 이러한 프로세스의 본질적인 가치와 공격자가 프로세스를 방해할 가능성을 설명합니다. 이 작업에는 공급망을 강화하고 계약자와 공급업체가 지정된 보안 제어 수준을 준수하도록 하는 것도 포함됩니다.

소프트웨어 개발 프로세스. 중요한 인프라 조직은 "소프트웨어 개발에 보안을 구축해야 배포하는 소프트웨어가 탄력적입니다."라고 Saunders는 말했습니다.

사이버 위생이 중요하지만 보안의 일반적인 함정은 위협 감지, 대응 및 복구의 우선순위를 과소평가하는 것입니다. PAS Global의 책임자인 Matt Selheimer는 "경험의 50%는 예방 및 탐지에 사용하고 50%는 대응 복구에 사용하는 것입니다."라고 말했습니다. Norton은 "전통적으로 많은 조직이 취한 접근 방식은 예방적 통제를 먼저 배치하는 것입니다."라고 말했습니다. 그러나 중요한 인프라 환경에서 위험을 조사하는 것이 복잡하기 때문에 대응 및 복구가 때때로 뒷걸음질 칩니다. Norton은 "문제가 발생하면 신속하게 식별하여 종료할 수 있기를 원합니다."라고 말했습니다. "뭔가가 결국 잘못될 것이라는 것을 알기 때문에 예방하는 것만큼이나 중요합니다."

사전 예방적 사이버 보안 태세로 전환하려는 조직은 포괄적인 ISO 27002 및 ISA/IEC 62443과 같은 산업 제어 시스템에 특정한 표준에 이르는 다양한 프레임워크에서 영감을 얻을 수 있습니다. 국방부 — 조직이 다양한 정부 프로그램에 입찰하는 데 필요한 보안 수준을 지정하도록 설계되었습니다. 5개 계층으로 분류된 처음 3개 계층은 기본, 중급 및 우수한 사이버 위생을 지정합니다. 두 개의 상위 계층에는 보다 정교한 사이버 보안 관리가 필요합니다. 네 번째는 “모든 사이버 활동을 검토하고 효율성을 측정한다”고 규정하고 검토 결과를 경영진과 공유합니다. 최상위 계층은 모든 관련 단위와 관련된 표준화되고 포괄적인 문서를 추가합니다.

CMMC 레벨 1	기본 사이버 위생(수행)	필요한 경우 선택 사례가 문서화됨
CMMC 레벨 2	중간 사이버 위생(문서화)	각 관행이 문서화되고 모든 활동에 대한 정책이 존재합니다.
CMMC 레벨 3	좋은 사이버 위생(관리됨)	위의 관행 외에도 사이버 계획이 존재하며 모든 활동을 포함하도록 운영됩니다.
CMMC 레벨 4	사전적(검토됨)	모든 사이버 활동을 검토하고 효율성을 측정합니다. 결과는 경영진과 공유됩니다.
CMMC 레벨 5	고급 프로그레시브(최적화)	위의 사례 외에도 이 단계에서는 조직 전체에 표준화된 문서를 추가합니다.

Attivo Networks의 CTO인 Tony Cole은 "이는 민감한 정부 프로그램에 입찰하는 통합업체 및 하청업체에 특정한 성숙도 모델이 표시된 첫 번째 프레임워크입니다."라고 말했습니다. 프레임워크는 중요 인프라 조직이 내부 사이버 위험에 대한 보다 정교한 이해와 제3자에게 필요한 실사를 개발하도록 장려할 수 있습니다. Cole은 프레임워크에 도움이 될 수 있는 객관성 수준이 있다고 말했습니다. “모델에 따르면 제3자 감사인이 들어와 계약자의 사이버 보안 수준을 확인해야 합니다. 자체 보고된 설문조사가 없다”고 말했다. “누군가는 그것을 감사해야 합니다.”

자동화는 사전 예방적 보안 전략을 설계할 때 고려해야 할 요소이기도 합니다. 기계 학습과 같은 기술은 조직이 네트워크 침해 탐지와 같은 일상적인 보안 모니터링 작업을 자동화하고 공격의 확산을 막기 위한 제어를 구현하는 데 도움이 될 수 있습니다.

다양한 리소스가 제한된 장치에서 점점 더 많이 사용되는 내장형 보안 보호 기능은 본질적인 위협 보호 기능을 제공합니다. Tshuva는 온디바이스 보호에는 "포괄적인 자산 관리 기능도 포함되어야 합니다"라고 말했습니다. 이러한 제어는 네트워크 가시성을 지원하고 공격에 대한 자동 경고를 제공할 수 있습니다.

Selheimer는 강력하고 상황에 맞는 보안 정책 없이 보안 모니터링을 자동화하는 방법을 서둘러 찾는 조직은 폭발적인 오경보에 직면하는 경우가 많다고 경고했습니다. 그러나 결국 모든 조직은 보안 제어를 조정하는 데 시간을 투자할 계획을 세워야 합니다. “OT와 IT가 다르지 않습니다. [보안 운영 센터]의 사람들은 소음을 줄이기 위해 방화벽 규칙과 보안 정보, 이벤트 관리 상관 관계 규칙을 조정하는 데 많은 시간을 할애합니다.”라고 Selheimer는 말했습니다.

문제를 더욱 복잡하게 하는 것은 기성품 보안 자동화 및 AI 도구 배포를 복잡하게 만들 수 있는 독특하고 다양한 중요 인프라 환경입니다. “확실히 몇 가지 한계가 있습니다. 그러나 이 문제를 해결할 수 있는 방법도 있습니다.”라고 Norton은 말했습니다. 예를 들어, 조직은 민감한 운영 시스템을 격리하고 자동화 및 오케스트레이션 도구를 사용하여 결과적인 영역을 보호할 수 있습니다. Norton은 "자동화 및 오케스트레이션을 통해 가능한 한 많이 자동화한 다음 자동화할 수 없는 부분을 오케스트레이션하여 효과적인 기능을 보유하고 위협에 대응하고 조정하는지 확인합니다."라고 말했습니다.

결국 중요한 인프라 보안 위협은 빠르게 변할 것입니다. Norton은 "선제적이라는 것은 조직에 대한 직접적인 영향은 물론 업계 관점에서 보고 있는 상황 모두를 해결하기 위해 사이버 태세를 지속적으로 조정한다는 의미입니다."라고 말했습니다.