IoT 보안: 미라이(Mirai), 스턱스넷(Stuxnet) 등 사이버 공격 이해와 방어

편집자 주: 사물인터넷 보안은 각 IoT 애플리케이션 내 데이터 스트림과 소프트웨어 보호뿐만 아니라, 해당 애플리케이션에 의존하는 엔터프라이즈 리소스 보호를 위해서도 필수적입니다. IoT 보안은 체계적 접근으로 위협을 식별하고 효과적 완화 전략을 구현해야 하는 복잡한 과제입니다.

'아키텍트를 위한 사물인터넷', 페리 리(Perry Lea) 저에서 발췌·각색.

12장. IoT 보안
페리 리 저

IoT 사이버 공격 해부

사이버보안 분야는 방대하지만, 이 장은 하드웨어, 네트워킹, 프로토콜, 클라우드 구성요소, 운영체제 전반에 걸친 위협의 폭을 보여주는 세 가지 대표적 IoT 기반 공격 벡터에 초점을 맞춥니다. 이러한 공격 양상을 이해하면 아키텍트는 회복탄력적 방어를 설계할 수 있습니다.

• 미라이(Mirai): 역사상 가장 파괴적인 분산 서비스 거부(DDoS) 캠페인, 전 세계 불안전한 IoT 기기에서 기원.
• 스턱스넷(Stuxnet): 국가 주체 사이버 무기로 산업용 SCADA PLC 표적, 이란 핵 원심분리기에 돌이킬 수 없는 손상 입힘.
• 연쇄 반응(Chain Reaction): 인터넷 연결 없이 단순한 LED 조명이 PAN 레벨 네트워크를 침해할 수 있음을 보이는 연구용 개념 증명.

이 위협들을 해부함으로써 설계자는 유사 사고를 예방하기 위한 적절한 기술과 프로세스를 선택할 수 있습니다.

미라이(Mirai)

미라이는 2016년 8월 처음 등장한 악성코드로, 리눅스 기반 IoT 기기를 감염시켜 대규모 DDoS 공격 가능한 봇넷을 형성했습니다. 주요 피해자로는 보안 블로그 Krebs on Security, DNS 제공업체 Dyn, 통신사 Lonestar Cell 등이 있으며, Dyn이 압도당했을 때 소니 플레이스테이션, 아마존, 깃허브, 넷플릭스, 페이팔, 레딧, 트위터 등 광범위한 서비스에 영향이 미쳤습니다.

절정기 미라이는 약 60만 대 기기를 감염시켰으며, 주로 IP 카메라, DVR, 라우터, VoIP 전화, 프린터, 셋톱박스였습니다. 악성코드는 3단계로 배포되었습니다:

1. 탐색(Discovery): 미라이는 포트 23, 2323에서 SSH/텔넷 대상 비동기 TCP SYN 스캔 수행. 340만 IP 주소 블랙리스트(예: 미 우체국, 휴렛팩커드, 국방부) 준수. 스캔 속도 평균 250바이트/초로 제약된 IoT 기기에 적합.
2. 자격증명 무차별 대입(Credential Brute-Force): 62개 사용자명/비밀번호 조합 시도. 성공 로그인은 중앙 명령제어(C2) 서버에 보고.
3. 감염 및 지속(Infection & Persistence): 로더 바이너리가 대상 아키텍처(32비트 ARM, MIPS, X86) 식별 후 기기별 페이로드 배포. 포트 22/23 경쟁 프로세스 종료, 로더 난독화 및 삭제로 탐지 회피. C2 명령 수신까지 봇은 휴면 상태 유지.

미라이의 DDoS 전술은 SYN 플러드, GRE IP 네트워크 플러드, STOMP 플러드, DNS 플러드 포함. 5개월간 5,042개 인터넷 사이트에 15,194회 공격 명령 실행, 최대 623Gbps 피크 기록으로 역대 최대 DDoS 공격 기록.

클릭으로 확대

www.digitalattackmap.com 제공, Krebs on Security 웹사이트 대상 미라이 DDoS 공격 뷰

스턱스넷(Stuxnet)

스턱스넷은 타국의 산업 인프라에 영구적 손상을 입히도록 설계된 최초 문서화된 사이버 무기를 대표합니다. 이 웜은 중요한 SCADA 시스템을 제어하는 지멘스 S7-300 PLC를 표적으로 삼았습니다. 페이로드는 산업 장비의 모터 회전 속도(특히 펌프와 우라늄 농축 원심분리기)를 807Hz와 1210Hz에서 작동하는 슬레이브 가변 주파수 드라이브를 수정해 변경하도록 설계되었습니다.

스턱스넷의 정교함은 다단계 제로데이 익스플로잇, 루트킷 기능, 운영자 경보 없이 PLC 로직을 재프로그래밍해 치명적 고장을 유발하는 정밀함에 있었습니다.

이 기사의 2페이지 계속 >>