공급망 취약점이 산업용 IoT 보안 위협

산업용 IoT(IIoT) 기업은 생산 라인을 가동하는 원자재와 부품을 조달하기 위해 신뢰할 수 있는 공급망에 의존합니다. 이러한 1차 공급망은 면밀히 모니터링되지만, IIoT 인프라를 구동하는 하드웨어를 전달하는 두 번째, 종종 간과되는 체인이 존재합니다. 제한된 투명성으로 인해 IIoT 디바이스 내 내부 구성요소의 출처를 추적하기 어렵고, 많은 부품이 악용 가능한 보안 결함을 안고 도착합니다.

단일 IIoT 디바이스가 종종 수십 개의 글로벌 공급업체에서 조립되므로 임베디드 취약점의 위험이 증폭됩니다. Finite State의 2019년 Finite State Supply Chain Assessment 보고서에 따르면 구성요소는 OEM에 의해 보드에 통합, 테스트, 출하되기 전에 여러 계층의 공급업체와 통합업체를 거칩니다.

IIoT 인프라에 대한 실제적이고 다양한 위험

네트워크 운영자는 공급망 위험을 인지하지만 특정 취약점을 정확히 짚어내기는 어렵습니다. IIoT 배포는 제조업체 벽을 넘어 선적업체, 상인, 파트너까지 확장됩니다. 네트워크가 성장함에 따라 악성 코드 전파 가능성과 겉보기에 양성인 펌웨어가 열린 포트를 노출할 확률이 증가합니다.

Finite State의 CEO 매트 위크하우스(Matt Wyckhouse)는 많은 임베디드 시스템이 자산 소유자가 모르는 숨겨진 취약점을 포함한다고 관찰합니다. 침해는 기업 시스템 침투의 발판이 되어 산업제어시스템(ICS), 생산 프로세스, 중요 기업 데이터를 손상시킬 수 있습니다. 펌웨어 업데이트가 지연되거나 적용되지 않을 때 문제는 증폭됩니다.

ARC Advisory Group의 2019년 7월 The State of Industrial Cybersecurity 설문조사에서 응답자의 26%가 서드파티 위협(공급망 또는 파트너 위험)을 주요 우려로, 44%가 사소한 우려로 꼽았습니다. 특히 랜섬웨어(70%)와 표적 공격(68%)이 공급망 침해를 통해 발사될 수 있습니다.

같은 설문조사에서 28%의 응답자는 자사의 ICS가 표적이 될 가능성이 '매우 높음' 또는 '꽤 높음'이라고 느꼈습니다. Irdeto 2019 Global Connected Industries Cybersecurity Survey에 따르면 대기업이 사용하는 IoT 디바이스의 17%만이 지난 1년간 공격 없이 안전했습니다.

IoT 보안에 대한 더 많은 내용은 12월 IoT Security Summit 등록을 참조하세요.

IIoT 공급망이 침해되는 방식

생산을 중단시키는 기존 공급망 혼란과 달리 IIoT 침해는 은밀하며 수주 또는 수개월에 걸쳐 전개됩니다. 공격자는 일반적으로 2차 산업용 IoT 공급업체를 침해하고, 웹사이트에 침투하여 정품 펌웨어를 트로이목마 버전으로 교체합니다. 네트워크 관리자는 모르고 이 악성 펌웨어를 다운로드 및 배포하여 공격자에게 플랜트 방화벽 내부의 발판을 제공합니다.

내부에 진입하면 공격자는 산업 네트워크에서 기업 데이터 네트워크로 확산되어 승수 효과를 만듭니다. 10년 이상 제자리에 있던 센서와 구성요소 같은 구형 디바이스는 오래된 지원과 패치로 인해 더 높은 위험을 안고 있습니다. Finite State의 연구는 잘 문서화된 취약점인 2003년 OpenSSL 버전을 사용한 화웨이 구성요소를 인용했습니다.

백도어(의도적인 디버그 포트나 숨겨진 API 액세스 포인트)도 악의적 행위자의 진입 경로가 될 수 있습니다. 많은 경우 제조업체가 지원을 돕기 위해 이러한 포트를 열어두어 공격자에게 쉬운 길을 제공합니다. 일부 국가에서는 지적재산 탈취를 위해 의도적인 백도어가 있는 제품을 수출하기도 합니다.

뉴욕대 탄돈 공과대학의 연구는 IoT가 보안 표준 측면에서 여전히 크게 규제되지 않고 있음을 강조합니다. 디바이스 소유자는 업스트림 공급망에 대한 통제권이 거의 없으며 많은 공급업체가 사이버보안 관행을 공개하지 않습니다.

악의적 행위자의 목적

공격은 종종 랜섬웨어를 목표로 하여 몸값이 지불될 때까지 생산을 중단시킵니다. 센서 데이터 변조나 안전하지 않은 기계 설정을 통한 생산 라인 혼란은 불량품과 안전 위험을 초래할 수 있습니다. 2020년 3월 OT Security Best Practices 보고서는 이러한 침해가 인간 안전, 환경, 국가 경제를 위협한다고 경고했습니다.

에너지, 전력망, 석유·가스, 팬데믹 속 의료 분야 같은 고위험 부문이 주요 표적입니다. Finite State의 위크하우스는 병원 대상 랜섬웨어 공격 증가를 언급했으며, Adolus의 바이어스(Byres)는 의료 분야를 새로운 표적 풍부한 환경으로 식별했습니다.

재정적 동기 외에도 공격자는 지적재산을 노리거나 공급망을 기업 네트워크 침투의 초기 발판으로 사용할 수 있습니다.

IIoT 공급망 약점 완화

효과적인 방어는 모든 IIoT 디바이스의 포괄적 인벤토리에서 시작합니다. 이어서 매크로 위험(랜섬웨어, 데이터 도난 등)을 식별하고 각 디바이스의 특정 취약점을 평가하는 공급망 위험 평가가 따라옵니다.

에어갭을 통한 IIoT 트래픽 격리로 OT를 IT 네트워크와 분리하는 것을 고려하세요. 구매 시점에서 공급업체 평가; 공급업체 보안 태세는 조달 시 가장 평가하기 쉽습니다. 대량 구매의 경우 일관된 보안 표준을 보장하기 위한 공식 심사 프로세스를 수립하세요.

보안 성명 이상을 요구하세요. 상세한 보안 보고서나 서드파티 평가를 요청하세요. 국립표준기술연구소(NIST) 국가 취약점 데이터베이스 같은 공공 리소스를 활용해 공통 취약점 및 노출(CVE)을 교차 참조하세요.

새로운 서비스가 이러한 과제를 해결합니다. 미국 국토안보부 이니셔티브에서 탄생한 Adolus는 디바이스 계보, 구성요소 출처, 알려진 취약점을 추적하는 데이터베이스를 제공합니다. Finite State는 숨겨진 위험을 탐지하고 업데이트 후 위험 프로필을 재평가하는 펌웨어 분석 도구를 제공합니다.