미-이란 긴장 고조로 산업 제어 시스템 사이버 위험 증가

최근 미국과 이란 간 긴장 고조로 산업 제어 시스템(ICS)의 위협 환경이 악화되었습니다. 연결된 산업 인프라를 운영하는 조직은 이제 더 경계하는 보안 태세를 취해야 합니다.

사이버 보안 기업 시메트릭스(Cynamics)의 CEO 겸 공동 창업자 에얄 엘야시브(Eyal Elyashiv)는 이란 군부 실세 카셈 솔레이마니(Qasem Soleimani) 암살로 인한 사이버 영향이 상당할 수 있다고 경고했습니다.

업계 분석가들은 미-이란 갈등 고조가 전반적인 사이버 위험을 높인다고 지적합니다. Trend Micro의 인프라 전략 부사장 빌 말릭(Bill Malik)은 "구체적 공격 계획에 대한 내부 정보는 없지만, 정치적 긴장 고조가 더 많은 사이버 공격을 촉발할 수 있다는 것은 논리적"이라고 말했습니다.

암살 이후 수많은 사이버 보안 전문가와 미국 정부 관계자들이 이란 연계 적대 세력으로부터의 공격 위험 증가를 경고했습니다.

Virtru의 수석 사회과학자 안드레아 리틀 림바고(Andrea Little Limbago) 박사는 전면적 사이버 전쟁보다는 소규모 교란 중심 사이버 공격 가능성이 더 높다고 경고했습니다. 그녀는 "이란의 사이버 활동(파괴적 공격부터 허위 정보까지)은 꽤 오랫동안 광범위하게 이어져 왔으며, 이번 주 사건과만 연관된 것이 아니다"라고 덧붙였습니다.

지난 10년간 이란의 사이버 역량은 극적으로 확장되었습니다. 분석가들은 미국 은행 대상 DoS 공격, 사우디 아람코(Saudi Aramco) 대상 맞춤형 악성코드 등 다양한 공격을 이란 행위자의 소행으로 지목했습니다. 2015년에는 이란 해커가 미국 전력망에 침투했다는 보도도 있었습니다.

미국 당국은 이란의 사이버 도달 범위와 역량에 대해 깊이 우려해야 한다고 엘야시브는 강조했습니다.

1월 4일 국토안보부(DHS) 경보는 이란이 최소한 미국 중요 인프라에 일시적 파괴 효과를 주는 공격을 감행할 수 있다고 경고했습니다.

미국 사이버보안·인프라 보안국(CISA) 역시 금융, 에너지, 통신, 산업 제어 시스템에 대한 사이버 첩보 및 공격 위험이 높아졌다고 강조했습니다.

2016년 미국 법무부 기소장은 이란 혁명수비대(IRGC)와 연계된 7명의 계약자가 여러 은행과 뉴욕 댐에 대한 사이버 공격을 수행했다고 밝혔습니다. DHS는 이란 연계 행위자들이 "인프라 표적 정찰 및 계획, 다양한 미국 기반 표적에 대한 사이버 지원 공격"을 수행한다고 경고했습니다.

산업 부문에서는 이란과 연계된 해커 집단 APT33(Advanced Persistent Threat 33)이 국방, 운송, 에너지 조직을 표적으로 삼았다고 Cyberscoop이 보도했습니다.

림바고(Limbago)는 현재 긴장 수준을 고려할 때 이란이 단기적으로 명시적 ICS 취약점 악용을 우선시할 가능성은 낮다고 봅니다. 그녀는 "이란은 중요 인프라에 대한 파괴적 공격이 확대와 보복을 유발할 것임을 이해한다"고 언급했습니다.

전 CIA 대테러 센터 국장 캐롤 롤리 플린(Carol Rollie Flynn)은 이란 행위자가 보복을 피하기 위해 소규모 사이버 공격에 집중할 것으로 예측했습니다.

림바고는 또한 이란 적대 세력이 명확한 ICS 연관성이 없는 민간 부문 조직을 표적으로 삼을 수 있다고 제안합니다. 2015년 샌즈 카지노(Sands Casino) 공격이 이란과 연계됐다는 주장이 이를 뒷받침합니다.

허위 정보는 이란 사이버 전략의 핵심 요소로 남아 있습니다. 림바고는 이를 "극도로 다작적이고 글로벌하다"고 설명하며, 국내 지지를 강화하고 전 세계 반미 정서를 조장하는 것을 목표로 한다고 덧붙였습니다.

사이버 위험 관리

진화하는 지정학적 환경에 관계없이 산업 운영자는 연결된 장치를 감사해야 합니다. 말릭은 기술 인벤토리 검토, 취약점 평가, 공격 표면 축소를 위한 통제 적용을 권장합니다.

가동 시간이 최우선이므로 많은 산업 환경은 구식의 패치되지 않은 하드웨어와 소프트웨어를 계속 사용합니다. 엘야시브는 "최근 역사가 보여주듯 쉽게 손상될 수 있는 노후 시스템을 넘어봐야 한다"고 경고했습니다.

AssetLink Global LLC의 사장 겸 CEO 데이비드 골드스타인(David Goldstein)은 IIoT 보안이 하드웨어와 소프트웨어만으로 해결되지 않는다고 강조했습니다. "IIoT 보안의 답은 하드웨어와 소프트웨어에만 있지 않습니다."

이란 나탄즈(Natanz) 핵 농축 시설에 대한 스턱스넷(Stuxnet) 공격은 물리적 접근 통제의 중요성을 보여주었습니다. 그 작전에서 이중 첩자가 에어갭(air-gapped) 중앙 네트워크에 악성코드를 설치해 약 1,000개의 원심분리기를 파괴했습니다.

골드스타인은 신뢰와 접근 통제가 중요하다고 강조했습니다. "누구와 일하고, 누구를 신뢰하며, 누가 시스템에 접근할 자격 증명을 가지고 있고, 누가 물리적 접근 권한을 가지는가? IoT 시스템이 모든 것에 스며들면서 행위자와 파트너 간의 신뢰가 점점 더 중요해질 것입니다."

IoT 기술이 산업 현장에 확산되면서 산업 제어 시스템에 정통한 사이버 전문가 부족이 지속됩니다. 골드스타인은 "많은 분석가가 산업용 IoT에 일반 IT 기법을 적용하여 독점 프로토콜과 업데이트 과제를 간과하고, 이는 중대한 취약점을 만든다"고 경고했습니다.

미국 국방부(DoD)와 MITRE Corp. 같은 조직은 MITRE ATT&CK for ICS 같은 프레임워크로 이 격차를 해소하려 합니다. 말릭은 이 프레임워크가 제조사, 소유자, 운영자가 공격 시나리오를 논의하고 취약점을 부문 간 일관되게 보고할 수 있게 한다고 설명했습니다.

말릭은 사이버 보안이 목적지가 아닌 여정임을 강조했습니다. 현재 긴장이 단기적일 경우, "제조사가 생산 보안 태세를 신속히 강화할 수 있는 여지는 거의 없다"고 그는 말했습니다.

그는 구체적 취약점을 지적했습니다: 진단용 필드 유지보수 링크가 공격 벡터가 될 수 있습니다. 말릭은 벤더가 고객 데이터를 보호하고, 가능하면 트래픽을 암호화하며, 소프트웨어 업데이트에 악성코드가 없도록 보장할 것을 촉구했습니다.