IoT 보안 – 페리 리(Perry Lea)의 실용 가이드

편집자 주: 사물인터넷(IoT) 보안은 각 IoT 애플리케이션 내 데이터 스트림과 소프트웨어의 무결성뿐만 아니라, 해당 애플리케이션과 연계된 엔터프라이즈 리소스의 무결성을 위해서도 필수적입니다. IoT 보안은 복잡한 문제로, 가능한 위협과 대응 방법을 체계적으로 이해하는 접근이 필요합니다.

'아키텍트를 위한 사물인터넷(Internet of Things for Architects)' 12장에서 페리 리(Perry Lea)가 IoT 보안의 핵심 원칙을 다룹니다. 이 장은 다음을 포함한 다부작 시리즈로 제시됩니다:

• 사이버 용어 101
• IoT 사이버 공격 해부
• 물리 및 하드웨어 보안
• 암호학
• 핵심 암호화 역량
• 소프트웨어 정의 경계와 블록체인

'아키텍트를 위한 사물인터넷', 페리 리 저에서 발췌·각색.

12장. IoT 보안

페리 리 저

사이버 보안 용어

책의 첫 장은 전 세계 수십억 기기 연결과 두 자릿수 성장률로 아날로그 세계가 지구상 최대 공격 표면으로 변모한 IoT의 엄청난 규모를 개괄했습니다. 익스플로잇, 멀웨어, 악의적 행위자들이 이미 전 세계적으로 비즈니스, 네트워크, 삶을 교란하고 있습니다. 아키텍트로서 우리는 IoT 스택을 이해하고 센서부터 클라우드까지 모든 계층에 보안을 내재화해야 합니다.

역사적으로 많은 IoT 배포가 보안을 사후 고려 사항으로 다룹니다. 메모리, 처리 능력, 전력 소비 제약으로 최신 PC와 웹 플랫폼에서 볼 수 있는 엔터프라이즈급 보호를 적용하기 어렵기 때문입니다. 이 장은 가장 파괴적인 IoT 특화 공격을 검토하고 스택 전반(물리 디바이스, 통신 프로토콜, 네트워크 인프라)에 걸친 실용적 대응책을 개괄함으로써 그 간극을 메웁니다.

또한 소프트웨어 정의 경계와 블록체인 같은 고급 개념을 탐구하고, 2017년 미국 사이버보안 개선법과 IoT 제조사에 대한 시사점으로 결론을 맺습니다.

공격 및 위협 용어

아래는 IoT 시스템을 표적으로 삼는 가장 일반적인 공격 벡터의 간결한 용어집입니다:

• 증폭 공격(Amplification attack): 합법적 서비스(NTP, DNS 등)를 활용해 피해자 쪽으로 트래픽 증폭. NTP는 556배, DNS는 179배 증폭 가능.
• ARP 스푸핑(ARP spoof): 위조 ARP 메시지로 공격자 MAC 주소를 합법적 IP에 연결.
• 배너 스캔(Banner scans): 네트워크 서비스 탐침과 응답 헤더 파싱으로 시스템 정보 식별.
• 봇넷(Botnets): 명령제어(C2) 서버가 조정하는 손상된 IoT 기기 네트워크, 주로 DDoS, 스팸, 스파이 활동에 사용.
• 무차별 대입(Brute force): 자격증명이나 키를 무작위 대입해 성공할 때까지 시도.
• 버퍼 오버플로(Buffer overflow): 할당된 경계 넘어 메모리 덮어쓰기, 악성 코드 실행 허용. 경계 검사 없는 C/C++ 코드베이스에서 특히 만연.
• C2 (명령 및 제어 Command & Control): 손상된 기기에 지시 내리는 중앙 서버.
• 상관 전력 분석 공격(Correlation power analysis attack): 암호 연산 중 측정된 전력 소비 상관관계로 암호키 추출.
• 사전 공격(Dictionary attack): 사전 컴파일된 사용자명/비밀번호 쌍 목록으로 무단 접근 시도.
• 분산 서비스 거부(DDoS, Distributed Denial of Service): 다수 소스에서 트래픽 폭주로 대상 압도.
• 퍼징(Fuzzing): 변형된 데이터 전송으로 기기 응답 기반 취약점 발견.
• 중간자 공격(MITM, Man-in-the-Middle): 두 당사자 간 통신 가로채기 및 잠재적 변조.
• NOP 슬레드(NOP sleds): 버퍼 오버플로 시 명령어 포인터 정렬 돕는 무연산 명령어 시퀀스.
• 재전송 공격(Replay attack): 캡처한 네트워크 패킷 재전송으로 수신자 기만.
• 원격 코드 실행(RCE, Remote Code Execution): 버퍼 오버플로나 프로토콜 취약점으로 공격자가 디바이스에서 임의 코드 실행 허용.

이 용어들을 이해하는 것이 진화하는 위협 환경에 견딜 수 있는 회복탄력적 IoT 시스템을 구축하는 첫걸음입니다.