최근 침해 사례에서 배우는 IoT 보안 교훈: 기업 보호 전략

예기치 못한 사건으로, 라스베이거스의 한 카지노가 IoT 지원 수족관에서 시작된 사이버 공격의 희생양이 되었습니다. 먹이 주기와 수온 모니터링용 원격 제어 온도계가 해커들의 관문이 되어 민감한 고객 데이터를 탈취했습니다.

사물인터넷은 공급망 전반의 디바이스를 연결해 기업 운영을 재편하고, 효율을 높이고, 비용을 절감하며, 새로운 제품 가능성을 열고 있습니다. 타타 커뮤니케이션즈(Tata Communications)의 관리형 보안 서비스 총괄 아비나시 프라사드(Avinash Prasad)에 따르면, IoT의 변혁적 잠재력은 보안이 비즈니스 모델에 처음부터 내재될 때만 완전히 실현될 수 있습니다.

IoT 디바이스가 생성하는 데이터 볼륨은 전례 없는 통찰을 제공하지만, 사이버 범죄자들에게 매력적인 진입점도 만듭니다. 가트너(Gartner)에 따르면 지난 3년간 거의 20%의 조직이 최소 한 번 이상의 IoT 기반 공격을 경험했습니다. 2025년까지 전 세계적으로 약 750억 개의 연결 디바이스가 예상되면서 사이버 취약점 노출은 5배 증가할 것으로 예측됩니다.

IoT 지배 시대를 맞이해, 광범위한 디바이스 배포에 수반되는 위협을 면밀히 검토하고 강력한 보안 조치를 기업 전략에 엮는 것이 필수적입니다. 다음은 모든 기업이 해결해야 할 세 가지 핵심 IoT 취약점입니다.

1. 가장 단순한 연결 디바이스도 취약할 수 있다

베이거스 수족관 사건은 어떤 디바이스도 면역이 아님을 보여줍니다. 온도조절기의 펌웨어는 공격자가 10GB의 개인 데이터를 유출해 핀란드의 원격 서버로 전송하게 허용했습니다. 전 세계 데이터의 80%가 프라이빗 서버에 저장된 상황에서, 가장 기본적인 IoT 디바이스조차 보호하는 것이 전체 네트워크 무결성 유지에 필수적입니다.

2. 물리적 보안과 디바이스 폐기는 고유한 과제를 안고 있다

2018년 보안 연구 그룹 리미티드 리절츠(Limited Results)는 LIFX 미니 화이트 스마트 전구를 해부해, 디바이스가 소유자의 와이파이 비밀번호, RSA 개인키, 루트 비밀번호를 평문으로 저장하고 있음을 발견했습니다. LIFX가 펌웨어 수정을 배포했지만, 이 사건은 운영 중 디바이스 보호와 구형 하드웨어의 안전한 폐기 중요성을 강조합니다.

3. 산업용 멀웨어가 물리적 안전을 위협한다

2018년 사우디아라비아 정유 공장에 대한 트리톤(Trition) 멀웨어 공격은 사이버 위협이 산업 안전 시스템을 파괴하도록 설계된 첫 사례였습니다. 안전 센서를 비활성화함으로써 공격자는 대재앙을 유발할 수 있었습니다. 이 특정 공격은 실행 전 차단되었지만, 산업 제어 시스템이 더 연결됨에 따라 그 보안을 최우선시해야 함을 일깨웁니다.

컴플라이언스 난제

최근 브리티시 에어웨이즈(British Airways), 메리어트 호텔(Marriott Hotels), 다양한 지방 당국의 고위험 침해는 부적절한 데이터 보호가 EU 일반정보보호규정(GDPR) 하에서 막대한 벌금으로 이어질 수 있음을 보여줬습니다. 메리어트 침해만으로 영국 거주자 700만 명의 기록이 노출되었습니다.

유럽 집행위원회를 포함한 규제 당국은 데이터 프라이버시 집행을 강화하고 있습니다. 향후 영국 IoT 규제는 제조사가 본질적 디바이스 취약점에 책임을 지게 하며, 기업도 자사 IT 생태계 보안에 책임을 져야 합니다.

해결책은 무엇인가?

IoT의 보편화는 공격자들에게 지속적으로 매표 표적이 될 것입니다. 진화하는 위협으로부터 보호하기 위해 기업은 고급 분석, 머신러닝, 인공지능을 통합해 모든 연결 디바이스에서 이상 행동을 탐지하는 다층 방어 전략을 채택해야 합니다.

블록체인 기술은 제어를 분산화해 네트워크 내 디바이스들이 서로의 행동을 검증하고 관리자에게 의심스러운 요청을 경고하게 할 수 있습니다. 실시간 위협 인텔리전스, 자동 대응, 컴플라이언스 지원을 제공하는 관리형 보안 서비스 제공업체와 파트너십을 맺으면 포괄적인 보안 대시보드를 확보해 경영진이 IoT 환경 전체를 완전히 가시화할 수 있습니다.

만연된 통제, 확장된 가시성, 신기술을 통합하는 총체적 클라우드 기반 접근을 수용함으로써 조직은 진화하는 데이터 보호 표준을 준수하면서 엔드투엔드 IoT 환경을 보호할 수 있습니다.

결론적으로, IoT를 두려워할 필요는 없습니다. 올바른 안전장치를 갖춘다면 IoT는 약속을 이행하고 기업 운영을 격상시킬 수 있습니다.

저자는 타타 커뮤니케이션즈(Tata Communications)의 관리형 보안 서비스 총괄 아비나시 프라사드(Avinash Prasad)입니다.