2019년 IoT 트래픽 150배 폭증, 보안 공백은 여전

IoT 기기 급증에도 보안 대책은 제자리걸음

2019년 5월, 자사 연구팀은 1,000개 이상의 조직에서 발생한 5,600만 건의 IoT 트랜잭션을 모니터링했습니다. 여기에는 270가지 유형의 기기가 포함되었습니다. 이 수치는 2016년 측정치보다 150배 이상 증가한 것으로, 기업 환경에서 IoT 배포가 얼마나 빠르게 확대되고 있는지를 보여줍니다.

가시성 부재가 만든 보안 사각지대

네트워크에 기기를 연결하는 것은 매우 쉽지만, 해당 기기를 식별하고 관리하는 일은 여전히 심각한 맹점으로 남아 있습니다. 포괄적인 가시성 없이는 조직이 기기 통신의 보안성을 검증할 수 없습니다.

취약한 소비자용 기기의 기업망 침투

분석 결과 스마트워치, 홈 어시스턴트, 커넥티드 카 등 보안이 취약한 소비자용 기기에서 발생한 트래픽이 다수 발견되었습니다. 이들 다수는 출하 시 기본 비밀번호가 설정되어 있으며, 사용자가 변경하지 않는 경우가 많아 무차별 대입 공격의 표적이 되기 쉽습니다. 실제로 최근 발견된 IoT 악성코드 샘플에는 하드코딩된 기본 인증 정보가 포함되어 있어 공격이 매우 용이합니다.

제조사의 안일한 보안 인식, 미라이 봇넷이 경고했다

2019년에도 여전히 최소한의 보안 통제만 갖춘 제품이 출시되고 있다는 점은 우려스럽습니다. '기기에 데이터가 저장되지 않는다'는 전제가 침입 방지 대책의 부재로 이어졌지만, 미라이 봇넷 공격은 이 생각이 위험하게 잘못되었음을 입증했습니다. 감염된 기기들이 대규모로 동원되어 분산 서비스 거부(DDoS) 공격 등을 수행할 수 있기 때문입니다.

암호화 부재가 노출하는 데이터

분석된 IoT 트래픽의 90% 이상이 평문 HTTP를 사용해 데이터가 가로채기와 중간자 공격에 무방비로 노출되어 있습니다. 반면 전 세계 인터넷 트래픽의 94%는 이미 SSL/TLS 암호화를 사용 중이며, IoT 역시 암호화 도입이 시급함을 시사합니다.

지속되는 악성코드 위협

미라이 변종을 포함해 IoT 기기를 노리는 6개의 악성코드 패밀리를 식별했습니다. 월평균 약 6,000건의 IoT 기반 악성 트랜잭션을 차단했으며, 이들 중 다수는 IoT 관리 프레임워크의 취약점을 악용해 원격 코드 실행을 가능하게 하고 기기를 봇으로 전환시켰습니다.

시큐어 바이 디자인, 더 이상 미룰 수 없다

제조사가 '설계 단계부터 보안 적용(Security-by-Design)' 접근을 채택하기 전까지 IoT 기기는 공격자들에게 매력적인 표적으로 남을 것입니다. 자세한 내용은 2019년 5월 전체 분석 보고서에서 확인하실 수 있습니다.

– 딥렌 데사이, 자일러(Zscaler) 보안 연구 부사장 겸 ThreatLabZ 디렉터

> 이 기사는 EE Times의 "IoT Security Gap Is Widening"에서 발췌되었습니다.