IoT는 5G 백본 보안 문제를 결합합니다.

IoT가 확장되는 5G 인프라 사용으로 이동함에 따라 보안이 취약한 IoT 장치는 5G 네트워크 보안에 대한 위협이 증가하고 있습니다.

상호 연결성과 편리함은 이제 많은 사람들이 일상 생활에 필수적이라고 생각하는 두 가지입니다. 많은 사람들이 사물 인터넷(IoT)의 편리함을 기대하지만 일반적으로 사물 인터넷의 기반이 되는 전송 네트워크의 보안에 대해서는 거의 고려하지 않습니다. 그러나 올해 138억 개의 활성 IoT 장치 연결이 있고 가까운 장래에 기하급수적으로 증가할 것으로 예상되는 상황에서 IoT 네트워크 보안이 가장 중요합니다.

2025년까지 250억 개 이상의 IoT 장치가 예상되므로 기업은 IT 직원에게 최소 권한 원칙을 신중하게 적용해야 합니다. (출처:freepik)

전 세계 모바일 네트워크 사업자를 대표하는 조직인 GSMA(GSM Association)에 따르면 IoT 장치 제조업체는 여전히 보안을 염두에 두고 적절하게 설계 및 구축하지 못하고 있습니다.

설상가상으로 GSMA는 대부분의 장치 제조업체가 장치를 보호하는 방법에 대해 충분히 이해하지 못하고 있다고 제안합니다. 안전하지 않은 장치는 해커가 통신 네트워크에 쉽게 액세스할 수 있도록 하여 사이버 공격에 대한 상당한 위험을 초래합니다. 그리고 네트워크가 확장됨에 따라 IoT가 5G 사용으로 이동함에 따라 안전하지 않은 장치가 5G 네트워크의 보안을 위협합니다.

IoT 에지에서의 보안 부족은 통신 네트워크 제공업체, 케이블 서비스 및 클라우드 통신 제공업체를 비롯한 통신 서비스 제공업체(CSP)에 상당한 보안 부담을 안겨줍니다. 기존 통신업체를 넘어 점점 더 많은 플레이어가 IoT에 참여하고 5G 네트워크를 통해 IoT 장치에 참여하면서 공격 표면이 크게 확대되고 있습니다. 따라서 CSP는 시스템 보안을 보장하기 위해 추가 조치를 취해야 합니다.

CSP에 대한 보안 문제의 진화

보안 환경에 대한 연례 검토에서 GSMA는 모바일 통신 산업의 8가지 주요 위협 및 취약성 영역을 식별했습니다.

• 기기 및 IoT
• 클라우드 보안
• 5G 보안
• 시그널링 및 상호 연결
• 공급망
• 소프트웨어 및 가상화
• 사이버 및 운영 보안
• 보안 기술 부족

특히 연결된 장치의 수가 세계 인구를 훨씬 초과하여 2025년까지 연결된 IoT 장치가 250억 개에 이를 것으로 예상됨에 따라 장치 및 IoT 보안은 GSMA의 지속적인 관심사였습니다. 장치에 대한 기술 스택의 복잡성은 계속해서 증가합니다.

GSMA는 특히 기업이 5G 출시를 활용함에 따라 기업 네트워크와 통신 네트워크 간의 연결을 중요한 잠재적 공격 벡터로 식별합니다. 업계 전문가와 학계는 미국 정부와 마찬가지로 몇 년 동안 5G의 보안 위험을 조사해 왔습니다. 그러나 5G가 보편화됨에 따라 공격 표면의 확장에 대한 우려는 여전히 남아 있습니다. GSMA는 5G CSP가 구현해야 하는 다양한 보안 프로토콜을 제안합니다.

CSP를 보호하기 위한 권장 조치 중에는 권한 있는 액세스 관리가 있습니다. 적절하게 구현된 PAM은 해커가 악용할 수 있는 권한과 권한의 수를 제한하여 공격 표면을 줄입니다. 그리고 PAM은 사람과 프로세스가 작업을 수행하는 데 필요하지 않은 권한과 권한을 제거하는 것이기 때문에 CSP 운영에 미치는 영향을 최소화합니다.

PAM 대 IAM

많은 독자가 IAM(신원 및 액세스 관리)에 익숙할 수 있지만 PAM은 덜 알고 있습니다. 그리고 공통의 목표를 공유하지만 범위와 적용 면에서 다릅니다.

제한된 수의 관리 사용자가 정점에 앉아 일반 사용자가 기반을 구성하는 피라미드를 생각해 보십시오. 다양한 반복에서 IAM은 전체 피라미드를 다룹니다. 그러나 많은 IAM 애플리케이션은 시스템에 자주 액세스하지만 관리 권한이 거의 또는 전혀 없는 기본 사용자의 권한에 중점을 둡니다. 반면에 PAM은 조직적 역할 때문에 가장 바람직한 목표를 설정하는 상위, 즉 상위에 초점을 맞춥니다.

여기서 사용자를 언급할 때 인간을 말하는 것과는 다릅니다. IAM 및 PAM 제어는 시스템 내의 비인간 ID(예:고유한 ID가 있을 수 있는 프로세스)에도 적용됩니다.

프로비저닝 권한 및 액세스 권한

조직의 사용자에게 권한을 할당할 때 IT 담당자가 취할 수 있는 몇 가지 접근 방식이 있습니다. 첫째, 최악의 상황은 회사 시스템 및 데이터 저장소에 대한 일반화된 광범위한 액세스로, 사실상 전혀 통제할 수 없다는 것입니다. 이 접근 방식은 위험이 높으며 조직에 상당한 노출을 야기한다는 것은 말할 필요도 없습니다. 그러나 많은 조직에서는 의도하지 않게 일상 활동을 방해하여 회사의 공격 표면을 확대하는 것을 방지하기 위해 사용자에게 필요한 것보다 훨씬 더 많은 액세스를 허용합니다.

신중한 회사는 최소 권한, 알아야 하는 액세스 또는 이 둘의 조합 원칙을 적용합니다. 최소 권한은 사용자가 시스템에서 작업하는 방식을 다룹니다. 알아야 할 사항은 시스템에서 액세스할 수 있는 항목을 다룹니다.

최소 권한 원칙에 따라 사용자는 작업에 필요한 권한과 권한만 받습니다. 그 이상도 이하도 아닙니다. 사용자가 사용하지 않는 영역에 대한 권한을 갖지 못하도록 함으로써 조직은 사용자의 성과에 부정적인 영향을 미치지 않으면서 불필요한 취약점을 제거합니다.

알아야 할 사항은 조직의 데이터에 적용되며 사용자가 직무를 수행하는 데 필요한 데이터에 대한 액세스를 제한하는 제한 사항이 있습니다.

최소 권한의 부족 또는 알아야 할 필요가 있는 제어 기능은 많은 조직에서 흔히 볼 수 있는 ID 관련 취약성의 일부일 뿐입니다. 많은 조직에서 여전히 공유 계정 또는 암호를 사용하므로 활동을 감사하고 기업 보안 정책을 준수하는지 확인할 수 있는 능력이 떨어집니다. 회사는 또한 오래 전에 이상적으로는 삭제되었을 상당한 권한이 있는 오래되고 사용되지 않는 계정을 자주 보유하고 있습니다. 그리고 많은 기업이 여전히 사용자 자격 증명의 수동 또는 분산 프로비저닝 및 유지 관리에 의존하고 있습니다.

CSP가 PAM을 사용해야 하는 이유(및 방법)

사용자가 가진 모든 권한과 액세스는 사이버 범죄자가 악용할 수 있는 고유한 기회를 만듭니다. 따라서 이러한 권한과 액세스 권한을 제한하는 것은 모든 CSP의 최선의 이익입니다. 이렇게 하면 해커가 특정 사용자의 ID를 성공적으로 도용할 때 잠재적인 공격 벡터를 제한하고 가능한 피해를 최소화할 수 있습니다. 사용자에게 부여된 권한이 적을수록 공격에 성공해야 하는 작업이 줄어듭니다.

권한을 제한하면 조직의 시스템을 손상시킬 수 있는 공격 유형도 제한할 수 있습니다. 예를 들어, 일부 유형의 맬웨어는 효과적으로 설치하고 실행하기 위해 더 높은 권한이 필요합니다. 해커가 권한이 없는 사용자 계정을 통해 악성 코드를 삽입하려고 하면 벽에 부딪힙니다.

다음은 CSP가 따라야 하는 몇 가지 모범 사례입니다.

<올>

권한 관리 정책 구현:보편적으로 적용할 수 있는 단일 IoT 보안 표준이 없다는 점을 감안할 때 CSPS는 위반 기회를 제거하여 규정 준수를 보장하는 엄격하게 정의되고 모니터링되는 정책이 필요합니다. 정책은 권한 및 권한의 프로비저닝 및 관리를 제어하는 ​​사람, 프로비저닝이 발생하는 방법, 필요에 따라 재프로비저닝 또는 디프로비저닝 일정을 정의해야 합니다. 또한 정책은 암호 강도, 다단계 인증 사용 및 암호 만료를 포함한 암호 보안을 다루어야 합니다.

1. PAM 및 IAM 중앙 집중화:CSP는 권한 및 액세스 권한의 프로비저닝, 유지 관리 및 디프로비저닝을 위한 중앙 집중식 시스템을 보유해야 합니다. 높은 권한을 가진 계정 인벤토리를 구축하면 조직에서 사용하지 않는 계정이 빠져나가는 것을 방지할 수 있습니다.

1. 최소 권한이 최소 권한을 의미하는지 확인:사용자가 특정 작업을 수행하기 위해 헬프 데스크에 문의해야 하는 경우 좌절감을 느낄 수 있지만, 그렇다고 해서 필요한 것보다 더 많은 권한을 제공해야 하는 이유는 아닙니다. 대부분의 회사 에지 또는 끝점 사용자는 루트 디렉터리에 대한 관리 권한이나 액세스 권한이 필요하지 않습니다. 권한이 있는 사용자라도 광범위한 액세스 권한이 필요하지 않습니다. 작업을 수행하는 데 절대적으로 필요한 액세스를 제한합니다.

1. 세그멘테이션을 통해 보안 추가:시스템과 네트워크를 세분화하면 해커가 회사 네트워크에 성공적으로 진입했을 때 측면 공격을 하는 것을 방지할 수 있습니다. 가능한 경우 세그먼트 간 제로 트러스트 정책으로 세분화를 강화합니다.

1. 암호 보안 모범 사례 시행:잘못된 암호 위생은 많은 조직에서 여전히 심각한 취약점으로 남아 있습니다. 강력한 암호, 다단계 인증 및 암호 만료로 인한 약간의 불편함이 침해로 인한 치명적인 결과로부터 회사를 보호한다는 것을 직원들이 이해하도록 교육하여 보안 문화를 구축하십시오.

보안 CSP는 보안 IoT의 백본입니다.

보안 CSP 네트워크가 없으면 IoT는 사이버 범죄자의 놀이터입니다. 수백만 개의 에지 장치에 대해 걱정하기 전에 CSP 보안 전문가는 내부 시스템을 최대한 보호하고 내부 시스템을 보호해야 합니다. 최소 권한 원칙과 권한 있는 액세스 관리 시스템을 적용하는 것은 유용한 첫 번째 단계입니다.