NIST, 국가 주도 해킹 위협 대응 위한 새로운 사이버보안 도구 발표

특별 발행물 800-172, 다양한 전자 시스템 내 민감 정보 보호 목적

전 세계 국가들이 사이버전을 무기고에 추가하며, 고도로 숙련된 팀을 운용해 타국을 공격하고 있습니다. 이러한 적대 세력을 '지능형 지속 위협(Advanced Persistent Threat, APT)'이라 부르는데, 이들은 목표를 장기간에 걸쳐 반복적으로 추적하며 방어자들의 저항 노력에 적응할 도구와 자원을 보유하고 있기 때문입니다.

취약한 데이터에는 정부, 산업계, 학계가 다양한 연방 프로그램을 지원하며 관리하는 민감하지만 비기밀인 정보가 포함됩니다. 이제 국립표준기술연구소(NIST)의 최종 발행물에서 이러한 '통제된 비기밀 정보(Controlled Unclassified Information, CUI)'를 APT로부터 보호하기 위한 지침을 제공합니다. NIST 특별 발행물(SP) 800-172, 통제된 비기밀 정보 보호를 위한 강화된 보안 요구사항: NIST SP 800-171 보충은 국가 주도의 해커들의 노력을 저지하기 위해 설계된 도구 모음을 제공하며, CUI 보호를 목적으로 한 또 다른 NIST 발행물을 보완합니다.

"사이버 공격은 조용한 무기로 수행되며, 경우에 따라 그 무기는 탐지되지 않습니다."라고 NIST 펠로우이자 컴퓨터 과학자인 론 로스(Ron Ross)는 말했습니다. "다음 해킹의 직접적 영향을 '느낄' 수 없기 때문에 언젠가 미래에나 올 거라고 생각할 수 있지만, 실제로는 지금 이 순간에도 일어나고 있습니다."

연방 정부는 정보 시스템을 활용해 다양한 임무를 수행하는 비연방 서비스 제공자들에게 크게 의존합니다. 정보 시스템이란 컴퓨터뿐만 아니라 산업 제어 시스템, 사물인터넷(IoT) 등 다양한 특수 기술을 포함합니다. 주 및 지방 정부, 대학, 독립 연구 기관 등에서 사용되는 비연방 시스템에 존재하는 민감한 연방 정보의 보호는 연방 정부의 임무 수행 능력에 직접적 영향을 미칠 수 있으므로 최우선 과제입니다. 2018년 민감 정보를 유출한 해킹 사건이 NIST 팀의 SP 800-172 작업을 직접적으로 촉발했습니다.

초안 단계에서는 SP 800-171B로 번호가 매겨졌던 SP 800-172는 해당 정보가 평소보다 높은 노출 위험에 처한 상황에서 CUI를 다루기 위한 추가 권고사항을 제공합니다. CUI에는 개인의 이름이나 사회보장번호부터 핵심 국방 정보까지 다양한 정보 유형이 포함됩니다.

"미국 중요 인프라에 대한 대규모 사이버 공격에 대응해 SP 800-171을 개발했으며, 그 동반 문서인 SP 800-172는 APT 같은 첨단 사이버 위협의 공격을 완화하도록 설계되었습니다."라고 로스는 말했습니다. "SP 800-172의 사이버 보호장치를 구현하면 시스템 소유자들이 국가 수준 해커들이 특히 고가치 표적으로 여기는 것들, 즉 사람, 기술, 혁신, 지적 재산에 관한 민감 정보를 보호하는 데 도움이 될 것입니다. 이들의 유출은 우리 경제와 국가 안보를 위태롭게 할 수 있습니다."

강화된 보안 요구사항은 SP 800-171의 요구사항에 추가되어 구현되어야 합니다. SP 800-171은 APT를 다루도록 설계되지 않았기 때문입니다. SP 800-172의 요구사항은 CUI를 처리, 저장, 전송하거나 그러한 구성요소를 보호하는 비연방 시스템의 구성요소에 적용됩니다. 범위를 더 좁히면, 지정된 CUI가 중요한 프로그램이나 고가치 자산(최우선 보호 대상)과 연관된 경우에만 요구사항이 적용됩니다.

주로 프로그램 매니저, CIO, 시스템 감사관 같은 관리자들을 위해 개발된 이 발행물은 침투 저항 아키텍처, 피해 제한 운영, 사이버 복원력과 생존성을 달성하기 위한 설계를 촉진함으로써 시스템 구성요소의 CUI 보호를 다룹니다. 14개 패밀리로 나뉜 도구들은 전부 한꺼번에 구현하는 것이 아니라, 조직의 필요에 따라 선택적으로 적용하도록 의도되었습니다.

"이 가이던스를 구현하는 대부분의 조직은 우리가 여기서 제공하는 모든 강화된 보안 요구사항을 사용하고 싶어하지 않을 것입니다." 로스는 말했습니다. "특정 강화된 보안 요구사항 세트를 선택하는 결정은 당신의 임무와 비즈니스 니즈에 기반할 것이며, 지속적인 위험 평가가 이를 안내하고 정보를 제공할 것입니다."

공개 의견 수렴 기간 동안 접수된 피드백에 대응해, 최종 초안에는 업데이트된 범위 및 적용 가이던스와 조직이 보안 솔루션을 맞춤화할 수 있는 더 유연한 요구사항 선택 접근법이 포함되었습니다.

로스는 새 발행물의 도구들이 APT처럼 위협적인 위협에 의한 해킹에 맞서 방어하려는 모든 이들에게 희망을 줄 것이라고 말했습니다.

"적대자들은 사이버 공격에서 24시간 365일 'A-게임'을 펼칩니다." 그는 말했습니다. "SP 800-172의 사이버 보호장치를 사용하면 피해를 최소화하기 시작할 수 있습니다."

원문 출처: https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers