파이브 아이즈(Five Eyes) 기관, 기업에 중요 에지 디바이스 보호 권고

에지 디바이스 공격 증가로 공격자가 기업 네트워크로 더 깊이 침투할 수 있게 되자, 모든 사람이 보안 수준을 높여야 할 때라고 파이브 아이즈(Five Eyes) 동맹 기관들이 말합니다.

5개국의 국가 정보 기관이 기업에 자사의 게임에서 스파이를 이기는 방법에 대한 조언을 일련의 문서로 제공하여, 방화벽, 라우터, VPN(가상 사설망) 게이트웨이, 사물인터넷(IoT) 기기, 인터넷 연결 서버, 인터넷 연결 OT(운영 기술) 시스템과 같은 네트워크 에지 디바이스와 어플라이언스를 사이버 공격으로부터 보호하도록 돕고 있습니다.

파이브 아이즈 동맹은 호주, 캐나다, 뉴질랜드, 영국, 미국의 정보 기관을 하나로 모읍니다. 각 기관은 네트워크 에지 보안 과제에 서로 다른 각도에서 접근하여 화요일에 보고서를 발표했습니다.

"외국 적대 세력이 네트워크 에지 디바이스의 소프트웨어 취약점을 정기적으로 악용하여 중요 인프라 네트워크와 시스템에 침투합니다. 피해는 공공 및 민간 부문 조직에 비용이 많이 들고, 시간이 오래 걸리며, 평판에 치명적일 수 있습니다."라고 미국 사이버보안 및 인프라 보안국(CISA)은 가이드 소개에서 밝혔습니다. "이 가이드 문서들은 침해 전후에 더 안전하고 탄력적인 네트워크를 위한 다양한 고려 사항과 전략을 자세히 설명합니다."

새 문서들은 제조업체가 설계 단계부터 안전한 기기를 만들도록 돕는 미국 가이드라인에 추가되었습니다. 캐나다 사이버 보안 센터(CCCS)는 에지 디바이스 보안 고려사항(Security Considerations for Edge Devices)을 주도했는데, 이는 기업 IT를 위한 상세한 할 일 목록을 제공할 뿐만 아니라 원격 근무자와 BYOD(개인 기기 사용) 모델을 가진 조직에 대한 구체적인 가이드라인, 에지 디바이스 제조업체를 위한 가이드라인에도 링크합니다.

해결된 문제

열악하게 보안된 네트워크 관리 인터페이스(NMI)를 가진 제품 제조업체에 대한 노골적인 비판에서, "공급업체가 제품을 강화하여 NMI가 인터넷에 노출되어도 안전하게 유지하는 것은 가능합니다. 이것은 해결된 문제이며, 고객은 공급업체에게 NMI를 보호하기 위해 기기를 강화할 것을 요구해야 합니다."라고 지적했습니다.

네트워크 디바이스 및 애플리케이션 제품의 디지털 포렌식 모니터링 사양(Digital Forensics Monitoring Specifications for Products of Network Devices and Applications)은 영국 국립 사이버 보안 센터(NCSC-UK)가 주도했으며, 포렌식 가시성을 위한 최소 요구 사항에 초점을 맞춥니다. 무엇을 로깅해야 하는지, 로그를 어떻게 저장하고 보호해야 하는지, 사고 발생 시 포렌식 데이터 수집 요구 사항을 상세히 설명합니다.

"이 가이드에 요약된 최소 수준의 관찰 가능성과 디지털 포렌식 기준을 따르면, 디바이스 제조업체와 고객은 자사 솔루션에 대한 악의적 활동을 탐지하고 식별하는 데 더 잘 대비할 수 있습니다."라고 문서는 말합니다. "디바이스 제조업체는 또한 네트워크 디바이스와 어플라이언스 아키텍처에 포함할 표준 기능의 기준선을 설정하는 데 사용하여 네트워크 방어자를 위한 포렌식 분석을 용이하게 해야 합니다."

호주는 두 문서를 주도했습니다: 에지 디바이스 완화 전략: 임원 가이드(Mitigation Strategies for Edge Devices: Executive Guidance)와 에지 디바이스 완화 전략: 실무자 가이드(Mitigation Strategies for Edge Devices: Practitioner Guidance). 이 가이드들은 호주 신호국 산하 호주 사이버 보안 센터(ASD's ACSC)가 주도했으며, 에지 디바이스를 효과적으로 보호, 강화, 관리하기 위한 완화 전략과 모범 사례 요약, 운영, 조달, 사이버 보안 직원이 위험을 줄이기 위해 구현할 7가지 완화 전략에 대한 기술적 세부 사항을 제공합니다.

"호주 신호국(ASD) 산하 호주 사이버 보안 센터(ACSC)는 에지 디바이스 침해 사고 수가 우려스럽게 증가하고 있음을 지적했습니다."라고 실무자 가이드에서 밝혔습니다. "에지 디바이스는 인터넷에 노출되어 있고, 일반적으로 모니터링하기 어렵고, 네트워크의 다른 자산에 접근할 수 있어 악의적 행위자에게 매력적인 진입점이자 표적이 됩니다."

마지막 문서는 CISA가 주도한 것으로, 2023년 제조업체를 위한 시큐어 바이 디자인(Secure-by-Design) 원칙 가이드 업데이트와 구현 리소스 링크를 포함합니다.

"시큐어 바이 디자인 원칙으로 설계된 제품은 고객 보안을 단순한 기술 기능이 아닌 핵심 비즈니스 요구사항으로 우선시합니다."라고 소개 웹 페이지에서 밝혔습니다. "제품 개발 수명주기의 설계 단계에서 기업은 시큐어 바이 디자인 원칙을 구현하여 제품을 광범위한 사용이나 소비를 위해 시장에 출시하기 전에 악용 가능한 결함 수를 크게 줄여야 합니다. 기본적으로 제품은 다중 인증(MFA), 로깅, 싱글 사인온(SSO) 같은 추가 보안 기능을 추가 비용 없이 제공해야 합니다."

제조업체가 준수하면 큰 문제…

제조업체 가이드라인은 특히 IDC의 보안 및 신뢰 그룹 부사장 프랭크 딕슨(Frank Dickson)을 흥분시켰습니다. "이것은 초대형 문제입니다."라고 그는 말했습니다. "정말 엄청납니다, 특히 기기 제조업체가 항복하고 이 요구사항을 준수한다면."

"이 기기들은 미션 크리티컬합니다."라고 그는 덧붙였습니다. "그리고 이 기기들 중 일부는 [통과하는] 데이터 양 측면에서 터무니없는 양의 취약점을 가지고 있습니다." 그럼에도 불구하고 그는 많은 기기가 내부에서 무슨 일이 일어나는지 가시성을 제공하지 않아 고객이 제조업체가 펌웨어 업데이트와 사전 예방 조치를 잘하고 있는지 평가할 수 없다고 지적했습니다.

가트너(Gartner)의 저명 VP 애널리스트 카텔 티엘레만(Katell Thielemann)도 가이드라인을 긍정적으로 평가했지만, 이는 단지 시작일 뿐이라고 지적했습니다.

"권고안은 파이브 아이즈 커뮤니티가 협력하여 모범 사례를 제시하고 있다는 점에서 긍정적입니다."라고 그녀는 말했습니다. 그리고 "인터넷에 연결된 것은 기본적으로 노출되어 있고 잠재적 표적이라는 점을 커뮤니티에 계속 상기시킵니다."

OT는 IT가 아닙니다

그러나 그녀는 인터넷에 연결된 방화벽, 라우터, IoT 기기, OT 시스템을 권고안에 함께 묶는 것이 커뮤니티에 도움이 되지 않는다고 느끼며, "이것들을 '에지 디바이스'라고 부르는 것도 마찬가지입니다. 왜냐하면 기업 IT가 우주의 중심이고 '에지'는 저 밖에 있다는 가정을 하기 때문입니다."

"방화벽, 라우터, VPN 게이트웨이에는 해당될 수 있지만, OT 시스템에는 해당되지 않습니다."라고 그녀는 계속했습니다. "이 OT 시스템은 가치 창출 생산과 미션 크리티컬 환경을 지원하는 사이버-물리 시스템(CPS)입니다. 이들은 에지가 아닙니다; 이들은 운영의 핵심입니다."

많은 시스템이 원격 운영과 유지보수를 지원하기 위해 인터넷에 연결되어 있다고 그녀는 지적했습니다. "따라서 목표는 그 시스템들에 어떻게 안전하게 원격 접속할지에 대한 조언을 주는 것이어야 하며, 권고안의 톤은 IT 보안 도구와 프로세스가 항상 좋은 생각은 아닌 생산 현실을 겨냥해야 합니다."

딕슨도 가이드라인이 좋은 첫걸음이라고 생각하지만, "디지털 포렌식을 위한 로깅과 가시성을 허용한다면, 문제가 생겼을 때 실제로 그 기기에서 복구(remediation)나 일종의 인터딕션(interdiction)을 할 수 있다면 좋을 것"이라고 덧붙였습니다.

"이것은 오랫동안 큰 문제였습니다."라고 그는 말했습니다. "여러 파이브 아이즈 국가에서 대규모의 조율된 행동이 취해졌다는 사실은 매우 중요합니다. 강력하고, 명확하고, 적절하며, 모두 좋은 것들입니다. 솔직히 이 발표를 보고 '드디어 이 문제를 다루는구나'라고 감탄했습니다."

"우리가 해야 할 일은 정말 큰 조직 두어 곳이 미래에 이 가이드라인을 일부 에지 디바이스 구매 요구사항으로 시행하는 것뿐이고, 그러면 [문제는] 해결될 것입니다."

뉴스레터 구독

편집자로부터 받은 편지함으로

아래에 이메일 주소를 입력하여 시작하세요.