SolarWinds 해킹이 IoT 및 공급망 보안에 대해 알려주는 내용

산업에 관계없이 사이버 보안 침해는 규모와 규모 면에서 확대되고 있는 것 같습니다.

텍사스에 기반을 둔 소프트웨어 제조업체인 SolarWinds Corp.의 최대 18,000명의 고객에게 영향을 미친 러시아가 3개월 전에 시작한 광범위한 해킹 캠페인은 잠재적인 공급망 공격의 범위가 광범위하다는 지독한 예입니다.

"공급망 위험"이라는 용어는 많은 보안 위협과 취약성을 포괄하는 큰 우산입니다. SolarWinds의 경우 외국 정부를 대신하는 것으로 여겨지는 위협 행위자가 인기 있는 도구인 SolarWinds Orion에 대한 소프트웨어 업데이트를 트로이 목마로 만들었습니다. 이 공격은 수백 개의 회사와 9개의 연방 기관에 잠재적인 백도어 액세스 포인트를 남겼습니다. 그리고 그것이 우리가 아는 것뿐입니다. 우리는 앞으로 몇 년 동안 이 침해의 영향을 밝혀낼 것입니다.

다른 공급망 위험은 전자 장치에 적용된 보안 결함으로 나타날 수 있습니다. 스마트폰, 프린터, 라우터, 사물 인터넷 장치 및 주요 인프라 시스템 제조업체는 타사에서 구성 요소를 구입합니다. 이러한 구성 요소는 기존 보안 결함이 있을 수 있는 임베디드 펌웨어와 함께 제공됩니다. 게다가 해당 펌웨어 중 일부는 제조업체가 작성하지 않았지만 I.T. 커뮤니티.

광범위한 공급망 업계가 사이버 공격에 대해 알아야 할 사항은 다음과 같습니다.

숨겨진 소프트웨어

장치 내 소프트웨어의 포괄적인 목록을 요구하는 구매자의 움직임이 증가하고 있지만 현재로서는 제조업체가 이를 제공하는 경우는 드뭅니다. SBOM(소프트웨어 BOM)으로 알려진 이 목록은 공급망 보안의 핵심이지만 만병통치약이 아니라는 점에 유의해야 합니다. 예를 들어, SBOM은 SolarWinds 백도어를 포착하지 못했을 것입니다. 필요한 것은 보안 팀 구성원이 최종 소프트웨어 파일을 고객에게 출시하기 전에 스스로 분석하는 것이었습니다.

뒷좌석

소프트웨어 개발자와 장치 제조업체는 빠른 개발 프로세스로 전환했습니다. 소프트웨어 측면에서 이 애자일 개발 프레임워크는 수많은 빠른 업데이트를 푸시하며 때로는 새로운 기능을 추가하고 때로는 보안 결함을 수정합니다. 방정식의 장치 측면에서도 유사한 추진력이 있으며 이는 대량으로 상품으로 판매되는 IoT 장치의 경우 특히 그렇습니다.

어느 경우든 보안은 종종 뒷자리를 차지하게 됩니다. 보안을 우선시하지 않는 위험을 인식하는 것은 조직의 리더십에 달려 있으며, 이러한 위험이 악용되기 전에 이러한 위험을 사전에 완화하는 것은 개발 팀의 책임입니다. 현실은 공격자가 업계보다 훨씬 앞서 있다는 것입니다. 이로 인해 조직은 대응 태세를 갖추게 되었고 수많은 규정과 표준이 생겨났습니다. 기업, 제조업체 및 구매자 모두가 사전 예방적 접근 방식을 취하는 것이 그 어느 때보다 중요합니다.

액세스 가능성

글로벌 공급망은 대체로 연결되어 있고 보안이 취약한 시스템으로 인해 특히 매력적인 대상이 되었습니다. 둘 이상의 장치에 소프트웨어를 복제하는 것이 일반적입니다. 즉, 해커가 초인종 카메라에서 취약점을 발견하면 다른 브랜드의 초인종, 스마트 TV, 연결된 냉장고 또는 가정용 온도 조절 장치를 악용할 수도 있습니다.

해커의 경우 단일 장치에 영향을 미치는 취약성은 이러한 유형의 해킹으로 수익을 창출하기 어렵기 때문에 중요하지 않지만 만연한 공급망 취약성은 훨씬 더 가치가 있을 수 있습니다. 공급망 경영진의 경우 다른 시스템으로의 전환을 가능하게 할 수 있는 비즈니스의 모든 장치를 생각하는 것이 중요합니다.

SolarWinds 침해는 사이버 보안 커뮤니티 내부와 외부의 많은 사람들에게 경종을 울렸습니다. 다른 사람들에게 그것은 우리가 이미 알고 있는 것과 방지하기 위해 열심히 노력한 것에 대한 확인이었습니다.

이 공격에서 가장 중요한 점은 공급업체, 소프트웨어 및 장치에 대한 신뢰를 재평가해야 한다는 것입니다. 공급망의 어느 위치에 있든, 소프트웨어의 엔터프라이즈 사용자부터 OEM, 소프트웨어 공급업체에 이르기까지 공급업체와 해당 제품에 대해 엄청난 신뢰를 갖고 있을 것입니다. 우리는 이러한 신뢰 관계를 평가하는 방법을 재고해야 하며 가장 중요한 것은 전체 수명 주기 동안 이 소프트웨어, 펌웨어 및 하드웨어의 보안을 확인할 수 있는 방법을 이해해야 한다는 것입니다.

Matt Wyckhouse는 Finite State의 설립자이자 CEO입니다.