IoT의 부상: 보안이 첫날부터 내재되어야 하는 이유

오늘날 소비자 기기—주전자부터 스마트 TV까지—가 점점 더 연결되어 일상 물건을 인터넷이 가능한 '사물'로 바꾸고 있습니다. 페이스메이커와 인슐린 펌프 같은 의료 장비조차 종종 로컬 네트워크에 의존합니다. 시놉시스(Synopsys, Inc.)의 매니징 컨설턴트인 아트 다너트(Art Dahnert)에 따르면, 이 추세는 수년간 가속화되어 왔으며 둔화될 기미가 보이지 않습니다.

연결성의 이면에는 어두운 면이 있습니다: 점점 더 많은 IoT 기기가 해킹당하고 있습니다. 하이프로파일 사례로는 보안 카메라가 봇넷으로 하이재킹되고, 스마트 TV가 감시에 악용되며, 피트니스 트래커가 기밀 장소를 폭로하는 데 악용된 경우가 있습니다. 이러한 공격은 일반적으로 기반 소프트웨어가 보안을 최우선으로 설계되지 않았기 때문에 발생합니다.

취약한 차량

현대 자동차는 이 문제를 생생하게 보여줍니다. 오늘날 단일 차량에는 100개 이상의 마이크로프로세서와 수백만 줄의 코드가 포함되어 있으며, 적응형 크루즈 컨트롤, 차선 유지 보조, 자율 주차, 비상 제동 같은 기능을 지원합니다. 급한 출시 일정과 복잡한 코드베이스는 종종 보안을 사후 고려사항으로 만듭니다. 2016년 휴스턴 갱단이 차량 보안 통제를 우회하는 소프트웨어 취약점을 악용해 30대 이상의 지프(Jeep)를 훔쳤습니다.

이러한 사건들은 안전하지 않은 차량이 공격자에게 물리적 도난뿐만 아니라 데이터 유출과 사보타주를 위한 수익성 있는 표적임을 강조합니다.

무엇을 할 수 있는가?

IoT 보안은 문화적 변화에서 시작됩니다: 기업은 보안을 사후 고려사항이 아닌 기본 요소로 다뤄야 합니다. 주요 단계에는 다음이 포함됩니다:

• 시큐어-바이-디자인(Secure-by-Design) 교육: 개발 팀에 안전한 코드 작성과 민감한 데이터 격리를 위한 시스템 아키텍처 모범 사례 가이드라인을 제공합니다.
• 보안 아키텍처: 비밀번호나 토큰을 평문으로 전송하지 않는 설계를 채택하고 구성요소 간 최소 권한 통신을 강제합니다.
• 통합 SDLC: 소프트웨어 개발 수명주기 전반에 보안 체크포인트를 내재화합니다. 매 빌드마다 정적 코드 분석과 프로덕션 릴리스 전 필수 침투 테스트를 포함합니다.
• 지속적 모니터링: 새로 발견된 취약점을 신속히 해결하기 위해 펌웨어 업데이트와 패치 관리 프로세스를 배포합니다.

보안은 목적지가 아닌 여정입니다. 스마트 주전자부터 자율주행차까지 IoT 기기의 확산과 함께, 모든 연결된 '사물'은 사용자, 데이터, 인프라를 보호하기 위해 회복탄력성을 염두에 두고 설계되어야 합니다.

이 블로그의 작성자는 아트 다너트(Art Dahnert), 매니징 컨설턴트, 시놉시스(Synopsys, Inc.)입니다.

작성자 소개:

아트 다너트는 19년 이상의 IT 경험을 가진 정보 보안 컨설턴트로, 9년 이상의 애플리케이션 침투 테스트 경험을 포함합니다. 그는 웹, 데스크톱, 모바일 플랫폼 전반에서 수백 건의 보안 위험 평가, 침투 테스트, 취약점 평가를 완료했습니다. 다너트의 전문성은 소규모 웹 애플리케이션부터 대규모 엔터프라이즈 뱅킹 시스템과 미국 군대 특수 배포까지 아우릅니다.