사이버 전쟁은 서구에만 닥치는 것이 아니다. 벌써 왔네요.
5월 10일에서 미국과 유럽 각국 정부는 공식적으로 러시아의 우크라이나 침공이 국가 주도의 사이버 공격으로 시작되었다고 선언했는데, 이 공격은 우크라이나에서 유럽 전역의 위성 인터넷 네트워크로 확산되었다. 관계자들은 이것이 전 세계적 규모의 혼란이 닥칠 것을 예고하는 신호라며, 공공시설, 식량 생산, 응급 서비스와 같은 핵심 인프라가 위험에 처할 것이라고 경고했다.
사실, 이러한 종류의 공격이 이미 시작되었다는 강력한 증거가 있다.
러시아산 에너지에 대한 의존도를 빠르게 줄여나가는 독일의 전환을 주도하고 있는 여러 풍력 발전 기업들 이 최근 사이버 공격을 받아 일부 시스템이 가동 중단되었다. 비공식적으로, 서방 각국 정부는 우크라이나와 풍력 발전 업체, 그리고 그 밖의 수많은 유럽 기업들이 인터넷 서비스에 이용하고 있는 캘리포니아 소재의 주요 위성 통신 기업인 비아샛(Viasat)의 시스템을 마비시킨 충격적인 해킹 사건에 대해 러시아 군 정보 기관을 책임자로 지목했다.
물론, 국가 차원의 중요 인프라에 대한 공격은 전쟁 이전부터 있어 왔습니다. 북미 전력 신뢰성 공사(NERC)는 전력 회사를 표적으로 한 랜섬웨어 활동이 2019 건에서 2020건으로 170 % 증가했다는 사실을 확인했습니다. 최근 방송된 ‘ ’ 60 Minutes 에피소드에서, 사이버보안
및 인프라 보안국(CISA)의 국장인 젠 이스터리(Jen Easterly)는 러시아가
거의 확실하게 미국 인프라를 직접 공격할 계획을 세우고 있으며,
각 기관은 물론 우리 모두도 피할 수 없는 상황에 대비해야 한다고 말했다.
국가가 후원하는 해커들이 공공 시설을 대거 마비시켜 사람들이 어둠 속에 방치되는, 이른바 ‘사이버 종말’이 코앞에 다가오고 있는 것일까? 당장 패닉에 빠질 단계는 아닐지 몰라도, 전문가들은 이제 즉시 예방 조치를 강화해야 한다는 데 의견을 모으고 있다.
전력망, 핵심 인프라: 사이버 공격에 취약한 상태
최근 한 에너지 업계 고객사가 타늄(Tanium)의 지역 영업 부사장인 타일러 코스텔로에게, 악성 사이버 활동이 전년 대비 40% 증가했다고 전했다. “하지만 그들의 안보 예산은 40% 증가하지는 않았습니다,”라고 코스텔로가 말했다. “게다가 이들은 엄격한 규제를 받고 있기 때문에 민간 기업처럼 자금을 조달할 수 없습니다.” “ 의 유틸리티들이 사이버 공격에 특히 취약하게 만드는 여러 가지 요인들이 존재합니다. ”
“현재 핵심 인프라가 표적이 되고 있습니다. 이 부분에 정말 주의를 기울여야 합니다.”타늄(Tanium)의 지역 영업 부사장 타일러 코스텔로
에너지 그리드의 가장 큰 취약점 중 하나는 공격 표면의 규모가 엄청나게 크다는 점이다. 글로벌 보안 조사, 규정 준수 및 컨설팅 기관인 가이드포스트 솔루션스(Guidepost Solutions)의 국가 안보 부문 수석 전무이사인 케네스 멘델슨은 “운영 기술(OT)에 대한 의존도가 그 어느 때보다 높아졌다”고 말했다. 사물인터넷( , IoT) 센서는 이제 제조업, 공공시설 및 기타 중요 인프라 운영 분야에서 흔히 사용되고 있지만, 이에 대한 보안은 여전히 미흡한 실정이다.
의 취약한 산업용 SCADA (감독 제어 및 데이터 수집) 시스템 역시 발전부터 파이프라인에 이르기까지 모든 것을 관리합니다. 이 시스템들은 당초 독립형으로 설계되었는데—당시에는 인터넷이 없었기 때문이기도 했지만—준비되었든 아니든 간에 디지털 시대에 발을 들여놓게 되었습니다. 이러한 시스템들은 때로는 매우 원시적인 공격에도 여전히 취약하며, 오늘날 인프라 기업들이 직면한 가장 근본적인 취약점 중 일부를 차지하고 있다.
SCADA 시스템에 대한 가장 주목할 만한 공격 중 하나는 2015 년에, 하필이면 우크라이나에서 발생했는데, 당시 한 공격자가 발전 시스템을 마비시켜 한겨울에 225.000 가구의 전력 공급을 끊어버렸다. 우크라이나의 인프라에는 이를 가능하게 한 특별히 독창적인 점이 없었다. 전문가들은 이 방법론이 다른 국가에서도 확실히 적용될 수 있다고 지적했습니다.
[관련 기사: 사이버 범죄자들이 소규모 공공사업체를 노리는 이유]
‘ 2015 우크라이나’ 공격은 전력망이 무력화된 사례 중 최초로 공개적으로 기록된 사건이었지만, 전력 회사가 피해를 입은 것은 이번이 처음이자 마지막은 아니었다. 수도 공급업체 가 해킹 피해를 입었으며, 전미의 연료 공급을 중단시킨 콜로니얼 파이프라인 사태는 해킹 발생 1년이 지난 지금도 여전히 큰 영향을 미치고 있다. 가 실시한 지멘스 설문조사( )에 따르면, 2019개 유틸리티 기업 중 56%가 지난 1년 동안 사이버 공격을 겪었다고 응답했다.
코스텔로는 “현재 핵심 인프라가 표적이 되고 있다”고 말했다. “그들이 체력이 약한 것으로 알려져 있어서 특히 무섭습니다.” 러시아는 뉴욕이나 보스턴, 혹은 그 밖의 다른 곳을 아주 손쉽게 제압할 수 있다. “이 점에 정말 주의를 기울여야 합니다.”
사이버전 전문가들은 “이런 일이 실제로 일어나고 있다”고 경고한다.
다행스러운 점은 특히 미국의 기관들이 인프라 보안에 깊은 관심을 기울이고 있으며, 점점 더 엄격해지는 보안 기준을 준수하지 않는 핵심 인프라 제공업체에 대해 규제를 적용하고 막대한 벌금을 부과하고 있다는 사실입니다. 비정부 ‘자가 규제 기관’인 NERC는 기준을 준수하지 않는 대규모 전력 공급업체에 위반 건당 최대 100만 달러, 일당 벌금을 부과할 수 있다. The current record for a penalty dates to 2019, when a fine of $10 million was levied against an unknown regional utility—purportedly Duke Energy—for 127 separate regulatory violations.
“이는 이러한 위협에 직면한 모든 조직이 활용할 수 있는 최고의 자료 중 하나입니다.”가이드포스트 솔루션즈(Guidepost Solutions) 국가안보 부문 수석 전무이사 케네스 멘델슨
가이드포스트 솔루션즈의 멘델슨은 “또 다른 변화는 이전에는 존재하지 않았던 기관인 CISA가 생겼다는 점입니다”라고 말합니다. “이는 이러한 위협에 직면한 모든 조직이 활용할 수 있는 가장 훌륭한 자원 중 하나입니다.” 이들은 새로운 위협에 대한 요약 정보뿐만 아니라, 대응 방안, 패치 링크 등도 제공합니다. “모든 정보 보안 담당자는 [해당 웹사이트]을 즐겨찾기에 추가해야 합니다. 이 사이트는 놀라울 정도로 유용하고 시의적절하기 때문입니다.”
코스텔로도 이에 동의하며, “CISA의 ‘ ’ ‘Shields Up’ 이니셔티브가 사람들의 경각심을 확실히 일깨워주고 있다”고 말했다. 사람들은 드디어 ‘이런 일이 일어날 것이다’라는 생각에서 ‘
이런 일이 실제로 일어나고 있다’는 생각으로 바뀌고 있다.”
올바른 사이버 위생 수칙 실천하기
핵심 인프라 보호와 관련된 가장 유용한 전술적 조언 중 일부는 기본적인 사이버 위생 관행과 관련이 있습니다. 멘델슨은 “네트워크에 연결된 모든 장비를 파악해야 합니다. 보이지 않는 것은 보호할 수 없기 때문이죠.”라고 말합니다. 그는 또한 SCADA 장치를 기업 네트워크에서 분리할 것을 권장한다. 부실한 설계는 네트워크 분할이나 방화벽의 부적절한 설정으로 이어질 수 있습니다. 그는 이렇게 덧붙입니다. “많은 사람들이 자신이 오프라인 상태라고 생각하지만, 사실은 그렇지 않습니다.”
플로리다주 올즈마에 위치한 정수장 해킹 사건은 더 철저한 사이버 보안 수칙을 지켰더라면 막을 수 있었을 침입 사례 중 하나입니다. 비록 재앙을 막기 위한 시스템이 마련되어 있었지만, 이번 유출 사고로 인해 액체 배수구 세정제의 주성분인 고농도 가성소다로 인해 수천 명이 중독될 위험이 있었다.
[관련 기사: 엔드포인트에서 시작되는 올바른 사이버 위생 관행이 미국 사이버 보안에 왜 중요한가]
“올즈마(Oldsmar) 사건은 정수장 제어실에서 인터넷으로 연결되는 데이터 통신이 부적절하게 격리되었고, 인증 체계가 취약했던 사례였습니다.”라고 OT 보안 전문 기업인 Xona Systems의 CEO이자 설립자인 빌 무어(Bill Moore)는 말했습니다. 올즈마르 시설은 다단계 인증을 도입하지 않았기 때문에 문제가 더욱 악화되었다. 의 분석 기사()에 따르면, CISA는 널리 사용되는 원격 데스크톱 프로토콜(RDP)을 기반으로 하는 Windows용 TeamViewer 소프트웨어가 해커들이 정수 처리 시설에 침투할 수 있게 한 중대한 취약점이라고 밝혔다. 무어는 RDP가 ‘ ’ 랜섬웨어 공격이 에서 오늘날까지도 악용하는 가장 큰 취약점이라고 지적합니다.
더 나은 인프라를 통한 사이버 위험 저감
야심 찬 해결책 중 하나는 전 세계가 인프라에 접근하는 방식을 근본적으로 재고하는 것이다. 릭스 에켈베리는 물 산업에 혁신을 일으키고자 하는 기술 스타트업 오리진클리어(OriginClear)의 CEO이자 설립자입니다. OriginClear의 서비스 포트폴리오에는 선물 시장, 서비스형 플랫폼(as-a-service), 그리고 전용 물 공급을 확보하고자 하는 기업을 위한 소형 조립식 모듈형 수처리 시스템이 포함되어 있습니다. 이 프로젝트의 목표는 “직접 만드는” 물을 공급하고, 소비자들이 노후화되고 취약한 공공 전력망에서 벗어나도록 하는 것이다.
에켈베리는 “수도 업계에는 심각한 문제가 있다”고 말했다. “구식 중앙집중형 모델은 무너져 가고 있으며, 연방 정부로부터 충분한 자금을 지원받지 못하고 있다.” “사이버 취약성은 매우 현실적인 문제입니다.”
에켈베리에게 있어 분산화는 사이버 위험에 대한 해법 중 하나인데, 이는 공격 표면을 잠재적으로 수십만 개에 달하는 훨씬 더 작고 중요도가 낮은 시설들로 분산시키기 때문이다. 노드 하나가 다운되더라도 피해는 제한됩니다. 또한 그는 이러한 시스템들이 구식 SCADA 코드의 조각난 구조를 업그레이드하는 방식에 의존하기보다는, 설계 초기 단계부터 보안을 고려하여 설계되고 있다고 말합니다.
[함께 읽어보세요: CISO들—CEO들이 귀를 기울이도록 사이버 위험에 대해 이야기하라]
에켈베리는 ‘유틸리티 독립’이라는 개념이 새로운 것이 아니라고 말한다. 정전과 물 배급이
점점 더 빈번해지고 있는 세상에서, 옥상 태양광 발전, 배터리 저장 시스템, 심지어 빗물 수집 시스템이 소비자들에게 어떻게 한층 더 높은 수준의 안정감을 제공해 왔는지 생각해 보십시오.
그렇긴 하지만, 어떤 단일 해결책이든 점점 더 임시방편처럼 보입니다. 타늄(Tanium)의 코스텔로에 따르면, 유틸리티 부문의 문제는 레거시 시스템, 분산된 기기, 자원 제약 등을 포함해 “엄청난” 수준이라고 한다. “게다가 러시아군이 그들을 향해 맹렬히 쇄도하고 있다”고 그가 말한다. “그들은 손가락과 발가락으로 둑을 막아왔지만, 이제 손가락과 발가락이 다 떨어지고 있다.”
