IoT 보안: 해커가 공격하기 전에 생명을 보호하라

ACG 리서치(ACG Research)의 로버트 하임(Robert Haim)이 인터넷 오브 씽스(IoT)가 악의적 행위자가 해를 끼치기 전에 강화되어야 하는 이유를 설명합니다.

전 미국 부통령 딕 체니(Dick Cheney)는 테러리스트에 의한 심장마비 유도를 피하기 위해 심박조율기의 무선 접근을 비활성화한 것으로 유명합니다. 2007년 영화 "다이 하드 4.0(Live Free or Die Hard)"에서 범죄자들은 워싱턴 D.C.의 교통 신호를 해킹해 모든 신호를 녹색으로 바꾸어 혼란을 야기했습니다. 이러한 실제 및 허구적 사건은 손상된 IoT 시스템의 치명적 잠재력을 보여줍니다.

전 세계적으로 수십억 개의 센서와 액추에이터가 연결되어 있는 상황에서, 취약한 보안은 공격자가 통제권을 장악하고 위험한 행동을 유발하거나 인간 운영자가 잘못된 결정을 내리도록 조작하는 것은 시간문제일 뿐입니다.

비극이 발생하기 전에 어떻게 이를 막을 수 있을까요? 답은 IoT의 고유한 제약에 맞춘 강력한 보안 관행에 있습니다.

공격 탐지, 공격 차단

"안전한" IoT 네트워크를 달성하는 과제는 보안이 본질적으로 부정적 목표라는 점입니다—적의 정확한 능력을 모르면서 그들을 막아야 합니다. 많은 IoT 엔드포인트는 정교한 보안 스택을 위한 메모리가 부족하여 보호 전략을 재고해야 합니다.

"우리는 기기 자체를 보호하고 손상되었을 때를 대비한 계획이 필요합니다."라고 하임은 말합니다. 충격적으로도 55%의 기업이 위협의 출처를 특정하지 못합니다.

신원뿐만 아니라 행동 보기

CA 테크놀로지스(CA Technologies)의 마크 맥거번(Mark McGovern)은 사용자 행동이 자격 증명보다 중요하다고 강조합니다. "1억 사용자를 다루는 금융기관이든 케이블 회사든, 진짜 질문은 인증된 행위자가 '무엇을 하는가'이지 '누구라고 주장하는가'가 아닙니다."라고 그는 말합니다.

CA의 분석은 패턴을 모니터링하고 과거 행동에서 벗어난 이상 징후를 플래그하여, 머신러닝 모델을 강화하고 신뢰를 높입니다.

위협 모델링으로 시작

짐퍼리움(Zimperium)의 존 미첼슨(John Michelsen)은 기기 수준 위협 모델링의 필요성을 강조합니다. "어떤 IoT 제품이 시장에 출시되기 전에, 기기, 네트워크, 애플리케이션 수준에서 가능한 모든 악용 벡터를 식별하세요."라고 그는 조언합니다.

블랙 햇(Black Hat) 2017에서 15개 자동 도어락 중 13개가 몇 시간 만에 해킹당했으며, 이는 소비자 IoT 기기의 최소 70%가 해킹 가능함을 강조합니다.

모두가 외부에서 봐야 한다

지프텐(Ziften)의 로크 폴록(Roark Pollock)은 내부 테스트만으로는 불충분하다고 주장합니다. "외부 감사, 파트너 인증, 오픈소스 커뮤니티 검토는 보안 통제를 검증하는 데 필수적입니다."라고 그는 말합니다.

"자사 엔지니어만 의지하지 마세요."라고 폴록은 경고합니다. 외부 전문가와 커뮤니티 검토가 숨겨진 취약점을 발견할 수 있습니다.

인공지능으로 신원 감시

노이스타(Neustar)의 행크 스코니(Hank Skorny)는 신원이 확률적이라고 설명합니다. "머신러닝을 사용하여 신원 주장을 지속적으로 도전하고 개선하며, 모든 상호작용을 실시간으로 모니터링해야 합니다."라고 그는 말합니다.

AI 기반 모델은 인간 분석가보다 악의적 패턴을 더 빠르게 탐지하여 즉각적인 개입을 가능하게 합니다.

다중 도메인에서 신뢰 입증

HIPAA나 국가 안보 법령 같은 데이터 보호법은 엄격한 보호장치를 요구합니다. 운동선수 텔레메트리 제공업체인 제브라 스포츠(Zebra Sports)는 스포츠 팀이 미사일 유도부터 병원 장비까지 모든 민감한 텔레메트리에 사용하는 것과 동일한 엄격한 보안 원칙을 적용하는 사례를 보여줍니다.

제브라 스포츠의 존 폴라드(John Pollard)는 NFL 팀을 위한 전례 없는 성능 데이터 캡처가 미사일 유도에서 병원 장비에 이르기까지 모든 민감한 텔레메트리와 동일한 보호를 요구한다고 언급합니다.

신뢰 영역 생성 및 시행

모든 사용자가 동일한 접근을 필요로 하는 것은 아닙니다. 병원 IT 직원은 투석 펌프 데이터를 확인만 해야 할 수 있고, 현장 기술자는 제한된 역할 기반 접근만 필요할 수 있습니다. 랜트로닉스(Lantronix)의 산지브 다틀라(Sanjeev Datla)는 신뢰 영역이 자격 증명이 아닌 책임에 의해 정의되어야 한다고 강조합니다.

행동 분석은 사용자의 정상 패턴에서 벗어난 행동—이상 징후—을 식별하여 경고를 트리거하고 상위 승인을 요구합니다.

모든 것이 연결되어 있음을 잊지 말라

폴록은 현대 IoT 기기가 본질적으로 완전한 PC임에도 종종 '멍청한' 센서로 취급된다고 관찰합니다. "모든 연결된 기기는 상태와 위생 모두에 대해 모니터링되어야 합니다. 강화, 행동 모니터링, 외부 검증은 협상 불가능합니다."라고 그는 단언합니다.

IoT 기기나 애플리케이션이 취약할 때, 생명이 위험에 처할 수 있습니다.

작성자는 로버트 하임(Robert Haim), 수석 애널리스트 – 비즈니스 분석 & IoT, ACG 리서치(ACG Research)입니다.