사이버 공간과 물리 공간의 겹치기 현상이 심화되고 있어
사이버 공격이 물리 피해를 일으키고 그 반대도 가능해
기기 보안, 기기 사이의 통신 보안, 지속적인 감시 필요
[보안뉴스 문가용] 해커가 정보를 유출하고 신용카드 정보와 개인정보를 훔쳐갔다면 여러 무형의 손해를 입게 된다. 강도가 창문을 깨고 들어와 제어판을 직접 타격해서 부쉈다면 여러 유형의 손해를 입게 된다. 그런데 일상에서 파괴가 이렇게 따로따로 일어나지 않는다. 컴퓨터와 인터넷은 가상의 공간에 머물러 있지 않고 어느 새 우리의 현실 깊숙이에 들어와 있는 것이다.
그런 ‘융합’이 가능하게 된 건 산업 자동화, 가정 자동화, 스마트그리드, 각종 의료 기기와 가전제품 등 이루 셀 수가 없이 많이 나오고 있는, 과거에 없던 여러 가지 기기와 시스템 덕분이다. 이 기기들 혹은 시스템은 물리적인 측정값을 기반으로 해서 직접 결정을 내리고 행동을 취한다. 그런 기능 혹은 능력은 사이버 공간으로까지 옮겨와 오류를 바로 잡고 피해를 줄인다.
당연히 이에 대한 공격도 복합적으로 일어난다. 해커들은 먼저 조사를 통해 공격 대상이 어떤 종류의 기기를 가지고 있는지를 파악한다. 그리고 그 중에 어떤 게 공략이 가능한지도 알아낸다. 동시에 방어막 전체에 존재하는 약점 같은 것도 찾아낸다. 이때 약점은 디지털적인 것도 되지만 물리적인 것도 되고 심지어 사회적인 것도 포함한다. 그런 다음 그에 맞춰서 뚫어낼 무기를 개발하고 직접 사용한다. 이 무기는 익스플로잇 혹은 멀웨어인 경우가 많고, 공격 대상의 시스템으로 들어가 정보를 빼거나 추가 멀웨어를 설치하는 등의 기능을 수행한다.
한번 멀웨어가 설치되면 그 기기는 보통 해커의 것이나 다름없게 된다. 그러면 그 기회를 활용해 해커들은 피해자의 행동 패턴을 관찰한다. 기기를 어떻게 사용하는지, 어떤 센서가 가장 많이 활용되는지, 어떤 기능을 애용하고 어떤 결과가 주로 나오는지를 전부 기록하는 것이다. 물리적 공간에서 일어나는 실제 행동들을 디지털화시켜서 저장하는 것.
이런 사이버물리 공격의 목적은 정보유출에 국한되지 않는 게 보통이다. 정보유출만을 목적으로 한다면 굳이 물리 영역까지 갈 필요가 없다. 위에 언급한 예처럼 불법적인 관찰, 피해자의 제어권한 제거, 경보 해제, 센서 조작 등 그 스펙트럼이 다양해질 수 있다. 물리와 사이버를 넘나들기 때문이다. 그러므로 더 큰 피해, 더 정교한 공격의 밑작업이 된다.
2014년 독일의 한 철강공장에 해커들이 침입한 사건이 있었다. 피싱 이메일을 통해 시스템에 침입한 해커들은 생산 시스템의 제어권에까지 손을 댈 수 있었다. 당연히 여러 경보 시스템도 해제했고, 안전장치도 비활성화 시켰다. 그래서 한 용광로를 실제로 제어해 작동을 정지시켰고, 이 때문에 그 공장은 어마어마한 물리적 피해를 입어야 했다.
사이버물리 시스템을 방어하려면 적어도 세 가지 단계 혹은 세 단계의 방어막이 필요하다. 기기 자체의 보안, 기기의 통신 시스템의 보안 그리고 행동 관찰이다. 예전 기기들 같으면 그저 기기 자체의 보안만으로도 어느 정도 안전을 꾀할 수 있었는데 사물인터넷 시대로 접어들면서 그 기기들 사이의 통신 시스템 역시 중요한 안전 포인트로 부각되고 있다. 기기가 작동하고 서로 연동하며 호환할 때 발생하는 통신들은 1차적으로는 암호화가 되어야 할 것이며 그 통신 자체는 독립된 가상의 네트워크 안에서 이루어져야 한다.
중요한 건 평소의 행동 및 작동 양식을 관찰하고 그 데이터를 비축하는 건데, 이는 자동화로 해결해야 한다. 또한 이 자동화 자체는 엄격한 ‘정책’ 및 ‘규칙’ 안에서 규정되어야 한다. 그래야 정상의 행동과 비정상의 행동을 최대한 빨리 구분해 대처할 수 있게 된다. 여기에 첩보와 위협정보를 공유하는 건 요즘 대두되는 또 다른 층위의 보안책이다.
사이버물리 공격에 대응하려면 사이버와 물리 모든 방면에서의 보안이 필요하다.
글 : 로리 위글(Lorie Wigle)
@DARKReading
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
문가용기자 기사보기
[2024-05-30] 
.jpg)
