제로 트러스트: IoT 기기 보안을 위한 궁극의 방어

사이버보안 전문가들은 전 세계 수백만 사물인터넷(IoT) 기기의 취약점을 노리는 해커들보다 한 발 앞서가려 분투합니다. 하지만 어쩌면 그들은 잘못된 문제에 집중하고 있는지도 모릅니다.

IoT 기기는 오늘날 비즈니스의 거의 모든 측면에 스며들어 있으며, 소비자 부문으로도 급속히 진출하고 있습니다. 인터넷에 연결되는 각 센서는 사용자에게 또 다른 잠재적 취약점을 만듭니다. 따라서 현재 IoT 보안 상태가 "아마 그리 좋지 않을 것"이라는 게리 킹혼(Gary Kinghorn) 템퍼드 네트웍스(Tempered Networks) 매니징 디렉터의 설명은 놀랍지 않습니다.

카지노의 하이롤러 데이터베이스가 '스마트' 어항 온도계를 통해 해킹당했을 때, 급성장하는 IoT 세계에 심각한 문제가 있음이 분명해졌습니다. 기술의 취약성 상태는 "거의 터무니없는 지경"이라고 킹혼은 말합니다.

자사 정보 시스템을 강화하려는 기업들은 기기 자체, 특히 강력한 비밀번호가 사이버 도둑으로부터 기기를 보호해야 한다는 필요성에 초점을 맞춰왔습니다. 정부도 사이버보안 개선법(Cybersecurity Improvement Act) 같은 조치를 통해 IoT 기기 강화를 모색해왔습니다. 하지만 킹혼은 그게 전체 답도, 올바른 질문도 아니라고 믿습니다.

모든 IoT 연결 기기에는 해커에게 매력적인 표적이 되는 IP 주소가 있습니다. 하지만 송신기들은 그 트렌디한 형용사가 암시하는 것만큼 '스마트'하지 않습니다. "이들은 매우 단순한 기기들입니다." 킹혼의 말입니다. "정당한 네트워크 연결이나 데이터 요청을 분석할 만큼 정교해질 일은 결코 없습니다."

대신 사용자들은 킹혼이 '보안의 진짜 구멍(the real hole)'이라 부르는 것, 즉 네트워크 자체에 초점을 맞춰야 합니다. 핵심은 공격 벡터가 해커에게 제공되지 않도록 하는 것입니다. 그러려면 시스템이 진입 승인에 '제로 트러스트(zero-trust)' 모델을 채택해야 합니다.

이 용어는 "자신의 내부 사용자들의 앱이나 기기라도 특별히 승인되지 않은 한, 네트워크에 붙으려는 그 어떤 것도 신뢰하지 않는다"는 뜻이라고 킹혼은 설명합니다. 스팸, 텔레마케터, 로보콜로부터 전화선을 보호하기 위해 미리 지정된 번호 외 모두를 차단하는 '화이트리스트'를 생각하면 됩니다.

제로 트러스트 환경은 "모든 트래픽이 네트워크를 통해 암호화되어 이동하므로 가로채기나 중간자 공격(man-in-the-middle attacks)이 없다"는 것을 보장한다고 킹혼은 말합니다. 조직의 보안 정책은 IoT 센서의 신뢰성에 의존하는 대신, 기기와 사용자의 사전 식별을 중심으로 관리됩니다.

이런 시스템은 가장 신뢰받는 기기조차 네트워크 접근을 제한합니다. 해킹당한 카지노 사례에서 킹혼은 묻습니다. 왜 어항 온도계가 애초에 고객 데이터베이스와 연결돼 있었을까? "그것은 오직 한 시스템, 즉 탱크 온도에 대해 말하는 시스템에만 접근이 허용되어야 합니다."

제로 트러스트는 개별 센서를 더 큰 네트워크에서 격리시키는 것을 가능하게 합니다. 그럼 왜 보안 침해가 계속 쌓이는데 더 많은 민간 및 공공 사용자들이 이 개념을 받아들이지 않았을까요?

킹혼은 사이버보안 인사이더스(Cybersecurity Insiders)의 제로 트러스트 도입 보고서에서 몇 가지 답을 찾습니다. 설문 대상 IT 보안 팀의 78%가 향후 제로 트러스트 네트워크 접근 구현에 관심을 표명하며 높은 열의를 보였습니다. 기업들이 퍼블릭 클라우드로 전환하고 모바일 인력을 안전하게 관리하려 하면서 시스템 보안 강화 필요성에 반응한 것입니다.

동시에 샘플의 47%는 현재 보안 기술의 제로 트러스트 구현 능력에 확신이 없다고 했습니다. 불과 15%만 그런 시스템을 이미 갖추고 있고, 약 20%는 이 기술에 대해 거의 생각하지 않았습니다.

비용은 제한 요소라고 킹혼은 말합니다. 제로 트러스트는 일부 IT 시스템을 '갈아엎고 교체(rip and replace)'해야 해 비쌀 수 있으며, 현재 형태로는 데이터센터 밖 애플리케이션으로 항상 확장되지 않습니다.

"그게 우리의 초점입니다." 킹혼의 말입니다. "일반적인 소프트웨어 에이전트와 하드와이어드 게이트웨이 기기 조합으로 모든 네트워크나 기기에 제로 트러스트를 적용할 수 있게 하는 것."

기술 업그레이드에 있어 변화는 결코 쉽지 않습니다. IT 보안 팀은 전통적 방화벽과 가상사설망(VPN)에 편안함을 느낄 수도 있고, 다중 인증 요구의 번거로움을 걱정할 수도 있습니다. 하지만 제로 트러스트는 싱글 사인온(SSO)으로 설정 가능하고, 에이전트는 몇 분 만에 설치할 수 있다고 킹혼은 주장합니다. "과도하게 비용이 들진 않습니다. 다만 일부 조직이 그렇게 만들 수 있습니다."

그는 코로나19 팬데믹과 IT 부서에 추가된 보안 이슈들에 대응해 제로 트러스트에 대한 관심이 급증하는 것을 봅니다. 기술의 완전한 수용에는 시간이 걸릴 수 있지만, 앞으로 나아가지 못하면 기업들은 창의적 해커들의 점점 더 파괴적인 공격에 노출될 것입니다.

"어제의 레거시 시스템은 현대의 사이버 위협을 다루기에 역부족입니다." 킹혼의 말입니다. "IP 프로토콜 스택은 50년 됐습니다. IT 조직이 오늘 수행하도록 요청받는 일을 하도록 설계된 적이 없습니다. 그래서 완전히 새로운 모델이 필요합니다."