미-이란 긴장 속 산업 제어 시스템 위험 고조

미국과 이란 간 긴장 고조 속에 연결된 산업 인프라를 운영하는 조직은 사이버 방어를 강화해야 합니다.

"카셈 솔레이마니 장군 암살의 사이버 영향은 심대합니다."라고 네트워크 보안 기업 시메트릭스(Cynamics)의 CEO 겸 공동 창업자 에얄 엘야시브(Eyal Elyashiv)는 경고했습니다.

업계 분석가들은 최근 미-이란 마찰이 전반적인 사이버 위험을 확대한다고 지적합니다. "구체적 공격에 대한 내부 정보는 없지만, 정치적 긴장 고조가 더 많은 사이버 공격을 부추길 가능성이 크다"고 Trend Micro의 인프라 전략 부사장 빌 말릭(Bill Malik)은 말했습니다.

솔레이마니 사망 후 사이버 보안 전문가와 미국 당국 모두 이란 연계 적대 세력이 산업 제어 시스템에 가하는 위협을 경고했습니다.

일부 전문가는 공격자가 전면적 사이버 전쟁 대신 소규모 교란용 사이버 사고를 일으킬 수 있다고 주장합니다. "전면적 사이버 갈등을 가정하는 것은 시기상조"라며 Virtru의 수석 사회과학자 안드레아 리틀 림바고(Andrea Little Limbago) 박사는 말했습니다. "이란의 사이버 활동(파괴적 공격부터 허위 정보까지)은 수년간 만연해 왔으며, 최근 사건과 고유하게 연관된 것은 아닙니다."

지난 10년간 이란의 사이버 역량은 극적으로 성장했습니다. 보안 연구자들은 미국 은행 대상 DDoS 공격, 사우디 아람코(Saudi Aramco) 대상 맞춤형 악성코드 등 다양한 공격을 이란 행위자의 소행으로 돌립니다. 2015년에는 이란 해커가 미국 전력망에 침투했다는 보도도 있었습니다.

"미국 당국은 이란의 사이버 도달 범위와 역량에 대해 깊이 우려해야 한다"고 엘야시브는 강조했습니다.

양국 긴장 완화 보도에도 불구하고, 1월 4일 DHS 경보는 이란이 "미국 중요 인프라에 일시적 파괴 효과를 주는 공격"을 감행할 수 있다고 경고했습니다.

미국 사이버보안·인프라 보안국(CISA) 역시 전략적 부문(금융, 에너지, 통신)에 대한 공격 및 사이버 첩보 위험이 높아졌으며, 산업 제어 시스템과 운영 기술에 대한 초점이 커지고 있다고 경고했습니다.

이란 행위자는 미국 인프라 표적 전력이 있습니다. 2016년 법무부는 여러 은행과 뉴욕 댐에 대한 사이버 공격으로 이란 혁명수비대(IRGC)와 연계된 7명의 계약자를 기소했습니다. DHS는 이란 연계 행위자들이 "인프라 표적 정찰 및 계획, 다양한 미국 사이트에 대한 사이버 지원 공격"을 수행한다고 경고했습니다.

산업 표적도 예외가 아닙니다. Cyberscoop에 따르면 이란 연계 해커 집단 APT33이 국방, 운송, 에너지 부문을 반복적으로 표적으로 삼았습니다.

림바고(Limbago)는 이란이 산업 제어 취약점 악용에 즉각 집중할 것으로 기대하기는 이르다고 경고합니다. "긴장이 더 고조되면 전략이 바뀔 수 있지만, 현재 이란의 사이버 활동은 전면전 아래 '회색 지대'에 머물러 있다"고 설명했습니다. "이란은 중요 인프라 파괴적 공격이 보복을 초래할 것임을 알고 있습니다."

전 CIA 대테러 센터 국장 캐롤 롤리 플린(Carol Rollie Flynn)은 이란이 미국 보복을 피하기 위해 소규모 사이버 공격을 감행할 것으로 예측합니다. "그들은 레이더 아래에 머물고 싶어 한다"고 말했습니다.

림바고는 또한 이란이 명백한 산업 연관이 없는 민간 기업을 공격할 수 있다고 경고했습니다. 2015년 전 국가정보국장 제임스 클래퍼(James Clapper)가 샌즈 카지노(Sands Casino) 공격을 이란 소행으로 지목한 사례를 인용하며, CEO 셸던 아델슨(Sheldon Adelson)의 발언에 대한 보복이었다고 설명했습니다. "이란은 일반적으로 행정부와 연계된 민간 기업을 표적으로 삼아 더 광범위한 미국 대응을 촉발하지 않으면서 재정적 피해를 입힌다"고 림바고는 지적했습니다.

허위 정보 캠페인은 이란 사이버 전략의 핵심입니다. 림바고는 이를 "극도로 다작적이고 글로벌하다"고 묘사했습니다. "이러한 작전은 국내적으로는 친정부 정서 강화, 국제적으로는 반미 내러티브 조장을 위해 지속될 것"이라고 덧붙였습니다.

사이버 위험 관리

현재 긴장이 어떻게 전개되든, 이 순간은 산업 인프라 운영자에게 연결된 장치를 감사할 기회를 제공합니다. "산업 제어 시스템 소유자와 운영자에게 기술 인벤토리 파악, 취약점 평가, 공격 표면 축소 통제 구현을 촉구한다"고 말릭은 조언했습니다.

산업체는 가동 시간을 최우선으로 하여 종종 레거시, 패치되지 않은 하드웨어와 소프트웨어에 의존합니다. "역사가 보여주듯 쉽게 손상되는 이러한 노후 시스템을 넘어봐야 한다"고 엘야시브는 경고했습니다.

사이버 위생은 필수적이지만, AssetLink Global LLC의 사장 겸 CEO 데이비드 골드스타인(David Goldstein)은 강력한 물리적 보안의 필요성을 강조합니다. "IIoT 보안은 하드웨어와 소프트웨어만으로 해결되지 않는다."

물리적 접근은 2010년 이란 나탄즈(Natanz) 핵 농축 시설에 대한 스턱스넷(Stuxnet) 작전에서 핵심적이었습니다. 미국과 이스라엘 정보기관과 연계된 이중 첩자가 에어갭 네트워크에 악성코드를 주입하여 결국 약 1,000개의 원심분리기를 무력화했습니다.

골드스타인은 스턱스넷이 엄격한 접근 통제와 신뢰의 필요성을 강조한다고 지적합니다. "누구와 협력하는지, 파트너에 대한 신뢰, 누가 물리적 접근권을 가지는지가 중요한 요소"라고 강조했습니다.

산업 분야에서 IoT가 확산되면서 산업 제어 시스템 전문 사이버 인재 격차가 나타납니다. "많은 분석가가 독점 프로토콜과 업데이트 과제를 고려하지 않고 일반 IT 전술을 산업용 IoT에 적용하여 중대한 취약점을 만든다"고 골드스타인은 경고했습니다.

국방부(DoD)와 MITRE Corporation 같은 연방 기관은 MITRE ATT&CK for IC 같은 산업 제어 프레임워크로 이 격차를 해소하려 합니다. "이 프레임워크는 제조사, 소유자, 운영자가 공격 시나리오를 설명하고 취약점을 부문 간 일관되게 보고할 수 있게 한다"고 말릭은 설명했습니다. "모든 조직이 이를 채택하여 IC 보안 태세를 평가해야 합니다."

말릭은 사이버 보안이 목적지가 아닌 지속적인 여정임을 강조했습니다. "긴장이 단기적이라면 제조사가 생산 보안을 신속히 강화할 여지는 제한적"이라고 말했습니다.

그는 핵심 취약점을 지적했습니다: 필드 유지보수 링크. "벤더가 유지보수나 장애 진단을 위해 장비에 접근할 때 그 연결이 잠재적 공격 벡터가 된다"고 말릭은 경고했습니다.

말릭은 벤더가 고객 데이터를 보호하고, 가능하면 트래픽을 암호화하며, 소프트웨어 업데이트를 안전하게 할 것을 촉구했습니다. "한 고객의 사소한 문제가 제조사로 하여금 의도치 않게 전체 포트폴리오에 악성코드를 배포하는 패치를 배포하게 된다면 재앙이 될 것"이라고 경고했습니다.