핵심 인프라 사이버 공격 방어 위한 새로운 기술 및 사고방식

• 매일 수억 건의 사이버 공격이 미국을 상대로 일어나고 있으며, 핵심 인프라는 가치 및 취약성이 높다는 특징을 갖고 있다.
• 모듈러 시스템 아키텍처와 “제로 트러스트” 접근 방식은 인프라의 사이버 보안에 대한 혁신을 보여주는 두 가지 예다.
• 핵심 인프라에 대한 사이버 공격을 막아내려면 소유자와 운영자는 기존 문제를 재구성하면서 레거시 시스템을 재고해야 하다.
• 업계와 파트너십을 맺고 있는 미국 CISA(사이버보안 및 인프라 보안국)은 사이버 보안 혁신에 있어 촉매 역할을 자임하고 있다.

만약 인프라에 집중 치료 병동이라는 게 있다면, 거기에는 사이버 공격의 희생자로 넘쳐날 것이다. 2021년에 콜로니얼 파이프라인(Colonial Pipeline)의 송유관 시스템, JBS 육류 가공 회사, 뉴욕의 MTA(Metropolitan Transportation Authority)가 모두 랜섬웨어의 공격 대상이 되었으며 사이버 범죄자들은 은밀히 소프트웨어를 설치하고 컴퓨터 시스템을 인질로 잡아 막대한 비용을 요구했다.

그러나 랜섬웨어는 핵심 인프라를 대상으로 잠재적으로 증대되는 사이버 공격의 한 예시일 뿐이며, 악의적인 해커는 물리적 자산이 네트워크로 연결된 시스템을 공격한다. 무언가 이익을 보려는 공격보다 더 우려스러운 공격은, 바로 해를 입히려는 공격이다.

예를 들어, 2021년 2월에는 해커들이 미국 플로리다주 올즈마에 있는 수처리 플랜트 시스템에 침입하여 지역 상수도를 오염시키려고 했다. 특히, 그들은 화학 물질을 제어하는 소프트웨어에 침입하여 액체 배수 세정제의 주성분인 가성소다의 양을 정상 수준의 100배까지 늘리고자 했다. 물 공급이 오염되기 전에 공격이 감지되어 대처할 수 있었지만 큰 재앙을 초래할 수 있었다.

앵거스 킹(Angus King) 미 상원의원은 7월 미국 상원 청문회에서 인프라를 노리는 사이버 보안 취약성에 대해 “진주만, 9·11테러 다음으로 (미국에 가해지는 대규모 공격이) 사이버 공격이 될 것이라고 본다”라고 증언했다.

사이버 보안 침해는 감지되지 않고 보고되지 않는 경우가 많기 때문에 실제 피해 규모를 파악하기가 어렵다. 그래도 상황이 좋진 않다. 사이버 보안 회사인 딥 인스팅트(Deep Instinct)는 매일 “수억” 건의 사이버 공격이 있다고 말한다. 최근 조사에서 딥 인스팅트는 2020년도 한 해에만 맬웨어가 358%, 랜섬웨어가 435% 증가했다고 밝혔다.

딥 인스팅트의 CEO 가이 캐스피(Guy Caspi)는 “문제는 공격 규모에만 국한되지 않는다. 우리의 조사에 따르면 공격이 고급 회피 전술로 정교해져 탐지가 훨씬 난해해졌다”라고 했다.

사진 기반의 인프라 점검 기술 제공업체 헤드라이트(HeadLight)의 공동 설립자이자 사장인 시 카타라(Si Katara)에 따르면, 핵심 인프라에 대한 사이버 공격의 경우, 해당 공격이 정교해질수록 이에 대응하는 가장 좋은 방법은 혁신을 증대하는 것이다.

카타라는 “오늘날 세계에서 발생하는 사이버 위협이 기하급수적으로 증가하고 있다”라며 “해결책을 찾으려면 위협이 진화하는 속도에 따라, 또는 이상적으로는 이를 능가하는 방식으로 상황을 전개해야 한다. 보안에 대한 혁신을 가속화하지 않으면 위험에 처할 수 있다”라고 강조했다.

사이버 보안은 디지털 문제이기 때문에 디지털 솔루션이 필요하다. 그러나 기술만으로는 인프라 시설을 표적으로 삼는 사이버 범죄자를 제압할 수 없다. 전문가들에 따르면, 보다 중요한 것은 새로운 도구를 사람, 프로세스, 관점과 결합하는 혁신에 대한 총체적인 접근 방식이라고 주장한다.

모놀리식에서 모듈러 인프라 시스템으로

자산을 보호하기 위해 핵심 인프라의 소유자와 운영자는 자산을 가장 취약하게 만드는 요소가 무엇인지 파악해야 한다.

이는 목표로서의 내재적 가치에서 시작된다. 도로, 교량, 발전소 그리고 수도 시설에 이르기까지, 인프라는 필수적이며 인터넷과의 연결이 끊길 경우 심각한 문제가 발생한다. 범죄자들은 경제와 생명이 위기에 처해 절박한 상황에서 이들이 중요 자산을 보호하기 위해 거액을 지불할 것이라고 가정하는 것이다. 때로는 종종 그렇기도 하다.

이런 이유로, 대개는 사이버 보안을 대비해 설계되지 않은 레거시 시스템을 계속 쓰게 된다. 카타라는 “이 오래된 모놀리식 레거시 시스템의 문제는 현대화하기 어렵다는 것이다”라며, “일부를 업데이트 하려면 전체를 재배포해야 한다. 따라서 이러한 모놀리식 시스템은 접착식 테이프와 반창고로 업데이트하는 것과 차이가 없다. 그러나 시간이 갈수록 기존 시스템과 접착식 테이프의 비율이 바뀌면서 결국 기존 시스템보다 접착 테이프를 더 많이 붙인 상태가 되어 시스템에 빈틈이 발생하게 되는 것이다. 이로 인해 빈틈을 정확히 공격하는 현대적인 사이버 공격이 발생하면서, 전체 모놀리식 시스템이 무너지게 된다”라고 말했다.

카타라에 따르면 솔루션은 기술에 대해 모놀리식 접근 방식이 아닌 모듈러 방식이며, 헤드라이트의 시각 기반 점검 기술은 클라우드 기반의 개방형 아키텍처라 레거시 시스템에 의존하지 않고 통신할 수 있다. 그는 “이렇게 하면 구성 요소를 분리하고 업데이트해서 작업을 원활하게 유지하는 것이 훨씬 수월해진다”라며, “새로운 혁신이 있을 경우 모놀리스를 모두 분리할 필요가 없다. 일부에 새 구성 요소를 연결하기만 하면 된다”라고 덧붙였다.

이는 보안 관점에서 특히 중요하다. 헤드라이트의 한 고객사는 과거 사이버 공격을 받았을 때 이들의 레거시 시스템은 4주에서 6주 동안 오프라인 상태에 있었다. 한편, 헤드라이트를 이용한 프로젝트는 손상 없이 계속 진행할 수 있었다.

카타라는 “시스템이 독립적으로 작동했기 때문에 사이버 공격이 발생해도 영향을 받지 않을 수 있었다”라며, “이후 IT 팀이 레거시 시스템을 복원할 수 있게 되자 헤드라이트가 수집하고 저장한 모든 데이터와 정보를 해당 시스템에 안전하게 백업할 수 있었다”라고 설명했다.

“제로 트러스트” 사고 방식 개발

모듈러 아키텍처는 인프라 보안 혁신의 한 예다. 미국 버지니아 공과대학교(Virginia Tech)의 토목 및 환경 공학 교수인 사이버 보안 연구원 케빈 히슬립(Kevin Heaslip)에 따르면, 또 다른 인프라 보안 혁신으로 침입 탐지를 들 수 있다.

히슬립은 침입 탐지가 사고의 혁신이라고 말한다. 새로운 관점에서 일반적인 문제에 접근할 수 있기 때문이다. 즉, 사이버 공격을 차단하는 접근 방식에서 관리하는 방식으로의 변경을 의미하는 것이다.

히슬립은 “우리는 사이버 시스템이 완전히 안전할 수 있다는 생각을 버려야 한다”라며, “이때 사용할 수 있는 용어가 ‘제로 트러스트’다. 우리는 언제든 우리 시스템이 침입을 당할 수 있다고 가정해야 한다. 그런 경우에 우리는 해커를 단순히 막기보다 해커가 언제 들어왔는지 이를 탐지하는 방법과 해커가 시스템에 침입해서 어떤 변경을 가하는지에 대해 더 많이 생각해야 하는 것이다”라고 말했다.

이를 위해 히슬립의 현재 연구는 3D 모델링을 사용하여 가상-물리 시스템과 머신 러닝의 디지털 트윈을 만들고 변경 감지에 있어 해당 시스템을 매핑하는 데 중점을 둔다.

히슬립은 또 “해커가 시스템에 대해 더 잘 알고 있다면, 제대로 방어할 수 없다”라며, “머신 러닝을 사용하여 공격이 없는 경우 시스템이 어떻게 작동하는지 기준선을 설정하면 공격 발생 시점에 변경 사항을 감지할 수 있게 된다”라고 설명했다. 

특히 히슬립은 미국 에너지부와 협력해 전기차 충전 시스템을 구축하고 있다. 그는 “공격 벡터가 어디 있을지 파악하기 위해 차량, 충전기, 그리드 그리고 이 세 가지 시스템 간의 상호 작용을 모델링하고 있다”라며, “우리는 차량이나 충전기에서 시작된 공격이 그리드를 통해 확산되어 지역 전체 전력을 중단시키지 않을지 하는 부분이 가장 우려스럽다”라고 전했다.

결국 목표는 침입을 감지한 다음 자동 완화 및 수리를 실행할 수 있는 자가 치유 시스템을 만드는 것이다. 히스립은 “우리 네트워크에는 매일 수십억 건의 프로브(probe)와 공격이 발생하고 있는데, 이에 대응할 수 있는 숙련된 인력을 충분히 확보하고 있지 못한 상태다”라며, “따라서 장기적으로 이러한 공격에 맞서기 위해 자동화된 기능을 사용해야 한다”라고 말했다.

협업을 통한 혁신

러디즘(Luddism)에 대한 풍문과 레거시 시스템에 대한 충성에도 불구하고, CISA(미국 사이버보안 및 인프라 보안국)의 기반 시설 보안 수석 부국장인 데이비드 머싱턴(David Mussington) 박사에 따르면, 공공 부문은 사이버 보안 혁신에 중대한 기여를 하고 있다. 대부분의 사이버 보안 혁신은 민간 부문에서 시작되지만, 그는 정부가 협업을 통해 사이버 보안을 촉진할 수 있다고 제안한다.

머싱턴 박사는 “핵심 인프라 관점에서 솔루션을 적용하고 공동 발견하는 공공 민간 파트너십이 있다”라고 말했다. 그는 이어 “우리는 업계가 가지고 있는 위험 문제에 대해 직접적으로 의견을 전하고 모범 사례를 따르는 솔루션을 쌍방으로 개발하고 지지한다. 이러한 모범 사례는 해당 분야의 선두 기업인 업계뿐만 아니라 NIST(미국국립표준기술연구소)와 같은 공공기관에서도 제공되는데, 우리는 이들 기관과 함께 사이버 보안 표준이 업계에서 사용 및 혁신할 수 있는 형식과 서비스로 변환되도록 협력한다”라고 밝혔다.

에너지 인프라는 물 인프라와 다르며, 이는 교통 인프라와도 다르다. CISA(미국 사이버보안 및 인프라 보안국)와 해당 이해 관계 참여 기관을 통해, 연방 정부는 여러 부문에 지식을 배포하는 중립 채널로서 모범 사례를 체계화하고 새로운 아이디어를 촉진할 수 있다.

머싱턴 박사는 “비즈니스 도메인 전문 지식은 사이버 위험에 대한 비즈니스 도메인 전문 지식과는 다르다”라고 설명했다. 또 “CISA는 사이버 위험 인식(공격자가 핵심 인프라 침입에 어떤 전술, 기술 및 절차를 사용하는지에 대한 인식)의 전문성을 갖고 있으며, 우리는 그와 같은 전문성을 활용하여 정부 관점에서 전반적인 운영 위험에 대한 우려 요소와 함께 비즈니스 위험에 대한 경각심을 강화할 수 있다. 부문 간(cross-sector) 관점에서 그렇게 할 수 있다”라고 말했다.

부문 간 관점은 유비쿼터스 컴퓨팅 환경에서 특히 중요하다. 머싱턴 박사는 “CISA는 사이버-물리(시스템) 간의 융합에 대해 많은 시간을 투자한다”라며, “하나는 자동차, 다리 또는 터널과 같은 중요한 시스템을 구축하는 것이고 다른 하나는 물리적 시스템 내부에 통신 인프라를 배치하는 것이다. 여러 위험 이슈와 우선 순위 지정 간 조화가 필요하므로 상황은 훨씬 더 복잡해졌다. 이와 같은 사이버-물리 간 연결은 사물인터넷(IoT)에서 그 정점을 이룬다. 이를 통해, 일반적으로 이전에 네트워크로 연결되지 않았던 수많은 시스템에 컴퓨팅 기술이 연결되기 때문이다”라고 밝혔다.

사이버-물리 간 융합을 인식하지 못하면 중요한 인프라에 치명적인 타격을 입을 수 있지만, 이를 혁신의 기반으로 사용하면 엄청난 결실을 맺을 수 있다.

카타라는 “우리는 실제 더욱 안전하면서도 효율적일 수 있다”라며, “현상 유지를 하려는 태도를 내려놓아야 한다”라고 강조했다.