|
[데이터넷] 공급망 공격 방어를 위해 클라우드 보안 연합(CSA)의 IoT 워킹 그룹은 ▲중요 인프라에 사용하는 시스템에서는 구성 요소와 라이브러리를 제품에 통합할 수 있도록 승인 제품 목록(APL)을 이용할 것 ▲각 구성 요소 또는 라이브러리의 보안 평가를 시행할 것 ▲IoT 제품에 사용된 모든 오픈 소스 라이브러리는 사용자 지정 개발 코드에 대한 상응하는 보안 검사를 완료할 것 ▲오픈소스 코드 패치 업데이트는 가능한 한 빨리 실시할 것을 조언했다.
가장 중요한 것은 변조된 소프트웨어가 배포되지 않도록 하는 것이다. 개발 완료된 소프트웨어의 코드사인 인증서는 가장 높은 보안 수준으로 제공되는 EV 인증서를 사용하는 것이 좋다. EV 인증서는 HSM 보안토큰에 발급되기 때문에 해킹이나 유출 위험이 없다.
업데이트 패치는 개발부터 배포, 적용까지 안전하게 보호되어야 한다. 특히 개발환경을 보호해 개발 과정에 공격자가 침투하지 못하도록 해야 하며, 개발된 패치는 취약점 점검을 반드시 실시해 취약점이 남아있지 않도록 한다. 업데이트 서버를 보호해 공격자가 침투하지 않도록 해야 한다.
이 같은 보안 단계를 적용했다 해도 공격으로부터 안전하지 못하다. 설비에 패치 업데이트를 할 때, 보통은 USB를 이용하는데, 시만텍 조사에 따르면 50%의 USB가 악성코드에 감염돼 있는 상태인 것으로 나타난다. 또한 지원이 종료된 OS를 사용하는 설비나 검증되지 않은 소프트웨어를 이용하는 설비도 많아 시그니처나 화이트리스트/블랙리스트 방식의 보호 만으로는 부족하다.
한국인터넷진흥원이 권고하는 공급망 공격 예방 및 대응 방법은 다음과 같다.
■ 인증서 및 개발 시스템(SVN, 빌드서버 등) 관리
- 시스템 망 분리: 개발 시스템은 망 분리가 이뤄져야 하며, 불필요한 포트를 모두 차단
- 시스템 접근통제: 작업을 수행하는 시스템은 지정된 관리자 외 접근 차단
- 인터넷 접속 차단: 관리 시스템은 외부 인터넷 접속을 차단하고, 관리에 필요한 포트만 화이트리스트로 관리
- 자동 로그인 금지: 시스템 계정은 자동 로그인 설정 금지
- 인증서 관리 시스템: 코드 서명 작업을 수행하는 시스템 및 인증서 관리 시스템은 일반 업무 PC와 혼용 금지
- 인증서 사용 로그 기록 및 승인: 코드 서명을 위해 인증서 사용 시 작업 일지 기록. 관리자의 승인 필요
- 백신 프로그램의 최신 업데이트: 백신 프로그램은 최신 업데이트를 주기적으로 수행해 최신버전으로 유지
■ 업데이트 체계 관리
- 업데이트 무결성 검증: 실행파일, 비실행파일, 업데이트 정책 파일 등 업데이트 관련 파일 무결성 검증
- 안전한 무결성 검증 기술 사용: 무결성 검증 시 CRC 등 우회가 가능한 방법 사용 금지
- 업데이트 서버 IP, URL 변조 확인: 공격자가 업데이트 설정 파일 등의 서버 주소 변조 대비해 변조 여부 확인
- 업데이트 클라이언트, 서버 간 상호 인증: 위장 업데이트 서버를 구축 할 경우 정상 업데이트 서버로 오인해 업데이트를 수행할 수 있기 때문에 상호 인증 필수
- 클라이언트 원격 업데이트 포트 상시 오픈 제한: 클라이언트의 업데이트 포트가 상시 오픈 금지
- 안전한 업데이트 업로드 소프트웨어 계정 사용: 업데이트 파일 업로드 및 파일 동기화 소프트웨어 불필요한 계정 제거. 안전한 패스워드 사용
- 업데이트 파일 업로드 시 사용자 인증: 보안 업데이트 파일 업로드 시 신뢰된 사용자만 업로드 할 수 있도록 인증 방식 구현
- 업데이트 파일 코드 서명: 실행, 비실행파일 등 업데이트 관련 파일의 코드서명을 수행하며, 코드 서명에 사용한 인증서 유효기간 만료 여부 등 확인
■ 침해사고 사고대응체계
- 인증서 폐기 절차 마련: 사고 발생 시 즉각적인 폐기를 위해 폐기 절차에 대한 지침 마련
- 비상연락망 구축: 사고 발생 시 신속한 대응을 위한 대응 연락망을 구축
- 로그 관리: 개발 시스템 및 인증서 관리 시스템 로그는 6개월 이상 보관하도록 설정
- 침해사고 신고 및 기술지원 요청: 사고 발생 시 한국인터넷진흥원(보호나라 또는 118 상담센터)에 신고하며, 사고원인 분석 및 조치를 위한 기술지원이 필요할 경우 한국인 터넷진흥원에 기술 지원 요청 (자료: 한국인터넷진흥원 보호나라 http://www.boho.or.kr)
AI 이용 공급망 공격 차단
시만텍은 AI를 이용해 USB에서 악성코드를 탐지해 IoT·OT 타깃 공격을 막는 ‘ICSP 뉴럴’과 IoT 엔드포인트에 설치할 수 있는 초경량 보안 솔루션 ‘크리티컬 시스템 프로텍션(CSP)’로 이러한 문제를 해결한다.
ICSP 뉴럴은 신경망 통합 USB 스캐닝 스테이션으로, USB를 통한 악성코드 감염을 검사·탐지하고 USB 기기를 깨끗한 상태로 유지시킨다. ICSP 뉴럴은 모든 범위의 OT와 IoT 기기와 시스템을 지원한다. 시행(enforcement) 프로세스 옵션은 5MB 미만의 설치 공간으로 검사되지 않은 USB 사용을 방지하고 윈도우 XP부터 윈도우 10에 이르는 OS에서 이용할 수 있다.
CSP는 하드닝을 통해 정의된 애플리케이션만을 실행하도록 허용하는 강력한 통제 정책을 제공한다. 디바이스 성능을 저해하지 않으면서 임베디스 시스템에 강력한 호스트 기반 보호를 제공한다.
강기호 시만텍코리아 이사는 “최근 대형 설비 제조사들이 CSP 기능을 빌트인 해 개발하는 추세를 보이고 있다. 대형 설비는 한 번 구축되면 20년 이상 사용하고 변경이 거의 없기 때문에 하드닝을 통해 위변조를 원천적으로 방지하는 것”이라며 “자동차 제조사도 CSP를 공장 전체에 배포할 것을 검토하는 등 여러 제조기업들이 긍정적으로 보고 있다”고 말했다.
| |
 |
|
|
▲USB 이용한 공급망 공격 방어 프로세스(자료: 시만텍)
|
국내 기업들도 공급망 보안을 위한 다양한 기술과 솔루션을 제안한다. 소프트캠프의 ‘엑스스캔(EX-Scan)’은 프로그램의 행위와 기능, 변경사항을 분석하고 위험도를 파악한다. 만일 업데이트 파일을 배포한다면, 이전에 배포된 업데이트 파일과 비교해 달라진 점이 무엇인지 비교하고 비정상적으로 많은 변화가 있거나 지나치게 높은 권한을 요구하는 기능이 있는지 확인한다. 정상적이지 않은 변화가 파악되면 개발사에게 확인해서 정상 기능이 맞는지, 취약점이 있는 것은 아닌지 점검한다.
소프트캠프는 국가주요기반시설 등의 패치 업데이트를 안전하게 지원하는 ‘게이트엑스캐너(GateXcanner)’도 제안하면서 공급망 공격 방어 기술을 업그레이드하고 있다. 업데이트 파일 등 외부에서 유입되는 파일에 악성코드가 있는지, 펌웨어가 침해당하지 않았는지 확인하고 안전하다는 사실이 확인되면 무결성이 인정된 저장매체에 저장해 업데이트 한다.
주요 정보통신 기반시설 보호 지침과 정보보호 시스템 관리운용망 보안 대책에서 업데이트 파일은 광디스크에 저장하도록 되어있어 안전한 외부 유입 파일은 광디스크를 통해 업데이트 할 수 있게 했다. 이 제품은 국가보안기술연구소에서 개발한 신뢰체인 기반의 구름 OS를 탑재해 보안성을 높였으며, 국내 주요 발전회사와 은행 등에 공급돼 안정성을 입증 받았다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
