사이버전은 이제 국제 질서의 ‘놈(norm)’이다. 사이버전을 위해 움직이는 자들은 적국의 사회 기반 시설을 표적 삼는 경우가 거의 대부분이다. 그러므로 사이버전 시대를 인정한다면 국가 인프라에 대한 보호가 첫 선에 떠오르는 게 당연하다.
[보안뉴스 문정후 기자] 통신, 유틸리티, 은행, 교통, 의학 분야의 네트워크들은 단순히 IT 기계들을 모아 연결해 둔 그런 물리적 공간이 아니다. 이 네트워크를 통해 현대 사회의 기반이 되는 데이터들이 생성되고 교류되고 사라진다. 그러므로 이 네트워크들은 현대 세계의 지지 기반이라고도 할 수 있다. 이 네트워크가 건강히 버텨주어야 우리의 신체적, 사회적, 정신적, 경제적 안녕이 보장 받는다.
그리고 그렇게 중요한 위치에 있는 네트워크들은 계속해서 공격을 받는 중이다. 미국 국방부는 최근 “중국의 사이버 공격 단체가 국방부의 사이버 보안 전략과 관련된 기술들을 훔쳐가기 때문에 국방 기술 산업 자체가 흔들리고 있다”며 “조만간 이러한 정보를 바탕으로 미국 국토에 파괴적인 사이버 공격을 실시할 수 있을 것으로 보고 있다”고 경고한 바 있다. 미국 정부는 미국과 중국 사이에 무력을 동원한 충돌이 일어날 경우 중국이 각종 사회 인프라를 마비시킬 수 있을 것으로 보고 있다. 통신과 교통, 에너지 공급 등이 중단될 것으로 파악하고 있는 것이다.
인프라 보안의 대원칙
이런 식으로 국가 안보 상황을 평가하고 있는 곳은 비단 미국 만이 아닐 것이다. 정도는 달라도 어느 나라건 이런 식으로 자신들의 사이버 위협을 평가하고 있을 것이다. 그리고 일부 국가들은 실제 사이버 공격을 기획하고, 비상시 필요한 공격을 실시할 기반을 갖추고 있을 것이다. 사이버전이 실제로 존재하는 위협이라는 사실을 인정하지 않는 국가는 지금쯤 단 한 곳도 없다.
가스 파이프라인 관리 시설의 네트워크이든, 제약 회사의 연구실 네트워크이든, 통신사가 제공하는 전 국가적인 통신망이든, 중요하게 보호하고 관리해야 할 인프라는 한두 개가 아니다. 그렇기 때문에 인프라 보안이라는 일은 생각만 해도 그 부담감이 어마어마하다. 하지만 네트워크 하나에도 좀 더 신경 써서 보호해야 할 부분이 있고, 그것보다 비중이 낮은 부분도 있다. 비중에 따라 보호 전략을 세운다면 생각보다 막막하지 않을 것이다.
사회 인프라에 해당하는 네트워크를 관리하는 데 있어 가장 중요한 원칙 두 가지는 ‘가시성’과 ‘준엄성’이다. 특히 네트워크들이 서로 겹치는 부분, 그 중에서도 기밀에 해당하는 네트워크와 일반 네트워크가 서로 닿는 부분들을 이 두 가지 원칙으로 항상 관찰하고 보호하는 게 중요하다. 네트워크가 겹치는 그런 부분들에 무슨 일이 일어나는지 확실하게 보고, 또 이를 엄격하게 보호하는 게 인프라 보안의 기본이라는 것이다.
사회 주요 ‘기업’도 있다
우리가 사회 기반 시설들을 떠올릴 때는, 정말로 시설 그 자체만을 떠올리기도 한다. 그 시설을 감독하고 관리하는 주체가 여느 기업처럼 조직되어 있다는 사실은 잘 기억하지 않는다. 그런 관리 조직이 공기업이든 사기업이든 인력이 있고, HR이 있고, 고객 서비스 및 대응 부서가 있고, 회계부가 있고, 물류를 담당하는 곳이 있다. 이런 조직들도 호스팅 서비스를 이용하여 네트워크를 인터넷에 연결시킨다. 이들 모두 잠재적으로 공격의 통로가 될 수 있다.
예를 들어 인사부 직원의 회사 계정을 침해한 후, 이를 바탕으로 네트워크 내에서 횡적으로 움직인다면 결국 우리가 흔히 ‘사회 기반 시설’이라고 부르는 데이터와 망의 민감한 부분들에 도달할 수 있게 된다. 그러므로 보안을 생각할 때도 시설 그 자체만이 아니라, 그 시설을 감싸고 있는 ‘기업의 요소들’까지도 고려해야 한다. 실제로 미국 정보 기관들이 조사한 바에 의하면 중국의 해커들은 이런 통로로 사회 기반 시설에 침투한 후 최대한 오랜 기간 머물면서 각종 정보를 빼돌린다고 한다. 미국과 동맹인 국가들은 중국의 이러한 위협에 전부 노출되어 있다고 보고 있다.
이런 조직에 근무하고 있는 사람들 역시 ‘사회 기반 시설 보호’의 범주 안에 들어가야 한다. 외부의 감독이나 규정에 의해 이들을 엄격하게 관리하는 것도 중요하지만, 무엇보다 스스로가 자신이 근무하는 곳의 특성을 이해하여 자가 관리 혹은 자가 감독이 가능한 수준에 이르러야 한다. 이들이 가지고 있는 엔드포인트, 이들이 회사에서 사용하는 각종 시스템들에 알맞은 비밀 등급을 부여하여, 그에 맞는 관리 규정을 엄격하게 적용해야 한다. 이는 기술적인 접근보다 문화적인 접근이 필요한 부분으로, 결국 사회 기반 시설과 관련된 모든 인력들이 ‘보안 문화’에 젖어들게 하는 것이 중요하다.
지금도 늦지 않았으니 ‘설계에 의한 보안’을 원칙으로 삼아야
미국의 사이버 보안 전담 기관인 CISA의 국장 젠 이스털리(Jen Easterly)는 언젠가 이렇게 말한 적이 있다. “우리를 둘러싼 장비와 애플리케이션 대부분이 설계에서부터 위험하도록 만들어진 것 같다”고 말이다. 그러면서 그는 “그 결과 우리는 수많은 보안 관리 및 보호 솔루션들을 구매하고 설치하고 운영해야 하는 운명에 처해졌다”고 덧붙였다. “이런 상황 자체가 우리를 위험하게 만든다는 것을 우리는 익히 알고 있습니다.”
실제 민간 부문의 보안 업계는 이미 꽤나 오래 전부터 네트워크 상에 거미줄처럼 얽혀 있는 각종 보안 솔루션들이, 그 자체로 위험하다고 주장해 왔다. 통합되지 않은 채 그 때 그 때 필요에 따라 구매하고 설치한 솔루션들이 어느 정도 수준에 이르면, 서로 충돌하고 예기치 않은 현상을 야기해 네트워크 전체가 취약해지는 경우가 생긴다는 것이다. 게다가 너무 많은 장비와 솔루션들이 있기에 관심 밖으로 내몰려 업데이트가 되지 않은 채 존재하는 바람에 아무도 모르게 공격의 통로 역할을 할 때가 있다. 그렇기에 처음부터 이런 상황을 다 고려한 통합 솔루션 혹은 통합 플랫폼이 각광 받는 것이다.
그러므로 처음부터 보안을 고려한 설계가 필요하다. 솔루션이든, 플랫폼이든, 네트워크이든 마찬가지이다. 단순하게는 산업 혹은 국가 보안 규정을 고려하여 설계를 하는 것에서부터, 많게는 다음 질문들을 통해 보다 능동적으로 보안을 강화하는 것이 필요하다.
1) 지금의 인프라/네트워크/솔루션은 여러 층위로 보호되어 있는가? 그래서 공격자가 한 겹을 뚫더라도 다음 겹을 다시 뚫어야 하는가?
2) 소프트웨어를 구성하고 있는 하위 요소들을 파악하고 있는가?
3) 하드웨어 아키텍처 보호를 위한 장치들이 제대로 마련되어 있는가?
4) 솔루션 구축 때부터 보안 원칙이 지켜지고 있는가?
글 : 아담 마루야마(Adam Maruyama), CISO, Garrison Technology
[국제부 문정후 기자(globoan@boannews.com)]
[보안뉴스 문정후 기자] 통신, 유틸리티, 은행, 교통, 의학 분야의 네트워크들은 단순히 IT 기계들을 모아 연결해 둔 그런 물리적 공간이 아니다. 이 네트워크를 통해 현대 사회의 기반이 되는 데이터들이 생성되고 교류되고 사라진다. 그러므로 이 네트워크들은 현대 세계의 지지 기반이라고도 할 수 있다. 이 네트워크가 건강히 버텨주어야 우리의 신체적, 사회적, 정신적, 경제적 안녕이 보장 받는다.
[이미지 = gettyimagesbank]
그리고 그렇게 중요한 위치에 있는 네트워크들은 계속해서 공격을 받는 중이다. 미국 국방부는 최근 “중국의 사이버 공격 단체가 국방부의 사이버 보안 전략과 관련된 기술들을 훔쳐가기 때문에 국방 기술 산업 자체가 흔들리고 있다”며 “조만간 이러한 정보를 바탕으로 미국 국토에 파괴적인 사이버 공격을 실시할 수 있을 것으로 보고 있다”고 경고한 바 있다. 미국 정부는 미국과 중국 사이에 무력을 동원한 충돌이 일어날 경우 중국이 각종 사회 인프라를 마비시킬 수 있을 것으로 보고 있다. 통신과 교통, 에너지 공급 등이 중단될 것으로 파악하고 있는 것이다.
인프라 보안의 대원칙
이런 식으로 국가 안보 상황을 평가하고 있는 곳은 비단 미국 만이 아닐 것이다. 정도는 달라도 어느 나라건 이런 식으로 자신들의 사이버 위협을 평가하고 있을 것이다. 그리고 일부 국가들은 실제 사이버 공격을 기획하고, 비상시 필요한 공격을 실시할 기반을 갖추고 있을 것이다. 사이버전이 실제로 존재하는 위협이라는 사실을 인정하지 않는 국가는 지금쯤 단 한 곳도 없다.
가스 파이프라인 관리 시설의 네트워크이든, 제약 회사의 연구실 네트워크이든, 통신사가 제공하는 전 국가적인 통신망이든, 중요하게 보호하고 관리해야 할 인프라는 한두 개가 아니다. 그렇기 때문에 인프라 보안이라는 일은 생각만 해도 그 부담감이 어마어마하다. 하지만 네트워크 하나에도 좀 더 신경 써서 보호해야 할 부분이 있고, 그것보다 비중이 낮은 부분도 있다. 비중에 따라 보호 전략을 세운다면 생각보다 막막하지 않을 것이다.
사회 인프라에 해당하는 네트워크를 관리하는 데 있어 가장 중요한 원칙 두 가지는 ‘가시성’과 ‘준엄성’이다. 특히 네트워크들이 서로 겹치는 부분, 그 중에서도 기밀에 해당하는 네트워크와 일반 네트워크가 서로 닿는 부분들을 이 두 가지 원칙으로 항상 관찰하고 보호하는 게 중요하다. 네트워크가 겹치는 그런 부분들에 무슨 일이 일어나는지 확실하게 보고, 또 이를 엄격하게 보호하는 게 인프라 보안의 기본이라는 것이다.
사회 주요 ‘기업’도 있다
우리가 사회 기반 시설들을 떠올릴 때는, 정말로 시설 그 자체만을 떠올리기도 한다. 그 시설을 감독하고 관리하는 주체가 여느 기업처럼 조직되어 있다는 사실은 잘 기억하지 않는다. 그런 관리 조직이 공기업이든 사기업이든 인력이 있고, HR이 있고, 고객 서비스 및 대응 부서가 있고, 회계부가 있고, 물류를 담당하는 곳이 있다. 이런 조직들도 호스팅 서비스를 이용하여 네트워크를 인터넷에 연결시킨다. 이들 모두 잠재적으로 공격의 통로가 될 수 있다.
예를 들어 인사부 직원의 회사 계정을 침해한 후, 이를 바탕으로 네트워크 내에서 횡적으로 움직인다면 결국 우리가 흔히 ‘사회 기반 시설’이라고 부르는 데이터와 망의 민감한 부분들에 도달할 수 있게 된다. 그러므로 보안을 생각할 때도 시설 그 자체만이 아니라, 그 시설을 감싸고 있는 ‘기업의 요소들’까지도 고려해야 한다. 실제로 미국 정보 기관들이 조사한 바에 의하면 중국의 해커들은 이런 통로로 사회 기반 시설에 침투한 후 최대한 오랜 기간 머물면서 각종 정보를 빼돌린다고 한다. 미국과 동맹인 국가들은 중국의 이러한 위협에 전부 노출되어 있다고 보고 있다.
이런 조직에 근무하고 있는 사람들 역시 ‘사회 기반 시설 보호’의 범주 안에 들어가야 한다. 외부의 감독이나 규정에 의해 이들을 엄격하게 관리하는 것도 중요하지만, 무엇보다 스스로가 자신이 근무하는 곳의 특성을 이해하여 자가 관리 혹은 자가 감독이 가능한 수준에 이르러야 한다. 이들이 가지고 있는 엔드포인트, 이들이 회사에서 사용하는 각종 시스템들에 알맞은 비밀 등급을 부여하여, 그에 맞는 관리 규정을 엄격하게 적용해야 한다. 이는 기술적인 접근보다 문화적인 접근이 필요한 부분으로, 결국 사회 기반 시설과 관련된 모든 인력들이 ‘보안 문화’에 젖어들게 하는 것이 중요하다.
지금도 늦지 않았으니 ‘설계에 의한 보안’을 원칙으로 삼아야
미국의 사이버 보안 전담 기관인 CISA의 국장 젠 이스털리(Jen Easterly)는 언젠가 이렇게 말한 적이 있다. “우리를 둘러싼 장비와 애플리케이션 대부분이 설계에서부터 위험하도록 만들어진 것 같다”고 말이다. 그러면서 그는 “그 결과 우리는 수많은 보안 관리 및 보호 솔루션들을 구매하고 설치하고 운영해야 하는 운명에 처해졌다”고 덧붙였다. “이런 상황 자체가 우리를 위험하게 만든다는 것을 우리는 익히 알고 있습니다.”
실제 민간 부문의 보안 업계는 이미 꽤나 오래 전부터 네트워크 상에 거미줄처럼 얽혀 있는 각종 보안 솔루션들이, 그 자체로 위험하다고 주장해 왔다. 통합되지 않은 채 그 때 그 때 필요에 따라 구매하고 설치한 솔루션들이 어느 정도 수준에 이르면, 서로 충돌하고 예기치 않은 현상을 야기해 네트워크 전체가 취약해지는 경우가 생긴다는 것이다. 게다가 너무 많은 장비와 솔루션들이 있기에 관심 밖으로 내몰려 업데이트가 되지 않은 채 존재하는 바람에 아무도 모르게 공격의 통로 역할을 할 때가 있다. 그렇기에 처음부터 이런 상황을 다 고려한 통합 솔루션 혹은 통합 플랫폼이 각광 받는 것이다.
그러므로 처음부터 보안을 고려한 설계가 필요하다. 솔루션이든, 플랫폼이든, 네트워크이든 마찬가지이다. 단순하게는 산업 혹은 국가 보안 규정을 고려하여 설계를 하는 것에서부터, 많게는 다음 질문들을 통해 보다 능동적으로 보안을 강화하는 것이 필요하다.
1) 지금의 인프라/네트워크/솔루션은 여러 층위로 보호되어 있는가? 그래서 공격자가 한 겹을 뚫더라도 다음 겹을 다시 뚫어야 하는가?
2) 소프트웨어를 구성하고 있는 하위 요소들을 파악하고 있는가?
3) 하드웨어 아키텍처 보호를 위한 장치들이 제대로 마련되어 있는가?
4) 솔루션 구축 때부터 보안 원칙이 지켜지고 있는가?
글 : 아담 마루야마(Adam Maruyama), CISO, Garrison Technology
[국제부 문정후 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-24] 
.jpg)
