솔라윈즈 해킹이 드러낸 IoT 및 공급망 보안 취약점

업계를 막론하고 사이버 보안 침해 사고는 규모와 범위 면에서 갈수록 심화되고 있습니다.

3개월 전 러시아가 감행한 광범위한 해킹 캠페인(텍사스 소재 소프트웨어 기업 솔라윈즈(SolarWinds Corp.)의 최대 18,000개 고객사에 영향)은 잠재적 공급망 공격의 광범위한 파급력을 보여주는 극명한 사례입니다.

'공급망 위험'은 다양한 보안 위협과 취약점을 포괄하는 큰 우산입니다. 솔라윈즈 사례에서, 외국 정부를 위해 일한다고 추정되는 위협 행위자들은 솔라윈즈 오리온(Orion)이라는 인기 도구의 소프트웨어 업데이트를 트로이목마화했습니다. 이 공격으로 수백 개 기업과 9개 연방 기관에 잠재적 백도어 접근 지점이 생겼습니다. 그리고 이는 알려진 것에 불과합니다. 우리는 이 침해의 영향을 향후 수년간 지속적으로 발견하게 될 것입니다.

기타 공급망 위험은 전자 기기에 내장된 보안 결함으로 나타날 수 있습니다. 스마트폰, 프린터, 라우터, 사물인터넷(IoT) 기기, 핵심 인프라 시스템 제조업체들은 서드파티로부터 부품을 조달합니다. 이 부기들에는 기존 보안 결함이 있을 수 있는 임베디드 펌웨어가 탑재되어 출하됩니다. 더구나 그 펌웨어 중 일부는 제조업체가 작성한 것이 아니라, IT 커뮤니티의 자원봉사자들이 유지보수하는 오픈소스 코드에서 온 것입니다.

공급망 업계가 사이버 공격에 대해 알아야 할 것들

베일에 싸인 소프트웨어

기기 내 소프트웨어의 포괄적인 목록을 요구하는 구매자들이 늘고 있지만, 현재로선 제조업체가 이를 제공하는 경우는 드뭅니다. 이 목록은 소프트웨어 자재 명세서(SBOM)로 알려져 있으며 공급망 보안의 핵심이지만, 만능 해결책은 아닙니다. 예를 들어 SBOM만으로는 솔라윈즈 백도어를 잡아낼 수 없었습니다. 보안 팀원이 고객에게 배포하기 전 최종 소프트웨어 파일을 직접 분석했어야 했습니다.

후순위로 밀린 보안

소프트웨어 개발자와 기기 제조업체들은 신속한 개발 프로세스로 전환했습니다. 소프트웨어 측면에서는 이 애자일 개발 프레임워크가 수많은 빠른 업데이트를 밀어붙입니다. 때로는 새 기능을 추가하기 위해, 때로는 보안 결함을 수정하기 위해 말입니다. 기기 측면에서도 비슷한 푸시가 일어나고 있습니다. 특히 대량으로 판매되는 IoT 상품 기기의 경우 더욱 그렇습니다.

어느 쪽이든 보안은 종종 뒷전으로 밀립니다. 조직의 리더십이 보안을 우선순위에 두지 않을 때의 위험을 인식하고, 개발 팀이 악용되기 전에 그런 위험을 사전에 완화하는 데 적극 나서야 합니다. 현실은 공격자들이 업계보다 훨씬 앞서 있다는 것입니다. 이로 인해 조직들은 수동적 태세에 놓이게 되었고, 수많은 규제와 표준이 생겨났습니다. 이제 기업들(제조업체와 구매자 모두)이 주도적 접근을 취하는 것이 그 어느 때보다 중요해졌습니다.

접근 가능성의 잠재력

글로벌 공급망은 대체로 연결되어 있고 종종 보안이 취약한 시스템 때문에 특히 매력적인 표적이 되었습니다. 소프트웨어를 둘 이상의 기기에 복제하는 것은 흔한 관행입니다. 즉, 해커가 도어벨 카메라의 취약점을 발견하면, 다른 브랜드의 도어벨, 스마트 TV, 커넥티드 냉장고, 가정용 온도조절기 등도 악용할 수 있다는 뜻입니다.

해커에게 단일 기기에 영향을 주는 취약점은 수익화하기 어렵기 때문에 중요하지 않지만, 광범위한 공급망 취약점은 훨씬 더 가치가 있을 수 있습니다. 공급망 임원들에게는 자사의 비즈니스에서 다른 시스템으로 피벗(pivot)을 가능하게 할 수 있는 모든 기기를 고려하는 것이 중요합니다.

솔라윈즈 침해 사고는 사이버 보안 커뮤니티 내부는 물론 외부 많은 이들에게 경종을 울렸습니다. 또 다른 이들에게는 이미 알고 있었고 그토록 열심히 막으려 했던 사실이 확인된 계기였습니다.

이 공격에서 얻을 가장 중요한 교훈은 우리가 벤더, 소프트웨어, 기기에 두는 신뢰를 재평가해야 한다는 것입니다. 공급망의 어디에 있든(소프트웨어의 기업 사용자부터 OEM, 소프트웨어 공급업체까지), 여러분은 아마도 벤더와 그들의 제품에 엄청난 신뢰를 두고 있을 것입니다. 우리는 그런 신뢰 관계를 어떻게 평가할지 다시 생각해야 하며, 가장 중요하게는 소프트웨어, 펌웨어, 하드웨어의 보안을 전체 수명주기에 걸쳐 어떻게 검증할 수 있는지 이해해야 합니다.

맷 윅하우스는 피니트 스테이트(Finite State)의 창립자이자 CEO입니다.