‘진짜 공격’에 앞서 벌어지는 IoT 공격을 차단하세요

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

일반적으로 ‘공격’이라는 용어는 조직의 서비스 제공을 방해하려는 시도를 의미하게 되었습니다. 이는 DDoS 공격의 빈도와 규모가 유명 조직에 심각한 피해를 초래했기 때문일 가능성이 큽니다. 그 결과 관련 보도가 쏟아지면서 대부분의 사람들은 ‘공격’이라는 용어를 조직을 대상으로 한 DDoS 시도라는 한 가지 유형의 공격만을 의미하는 것으로 인식하게 되었습니다.

하지만 DDoS 공격에 앞서 발생하는 다른 공격들도 있습니다. 이러한 공격을 방치한 결과 늘어나는 수많은 ‘사물 봇(thingbot)’이 초래하는 위협에 대응하려면, 바로 이 공격들에 주목해야 합니다.

오늘날 분석가와 전문가들이 내놓는 모든 전망은 네트워크에 연결되는 사물의 수가 거의 기하급수적으로 빠르게 증가할 것으로 예측합니다. 공격자들이 소비자용 기기를 악용한 사건이 자극적으로 보도되면서 이런 공격이 더 빈번한 것처럼 보일 수 있지만, 실제로 기업과 기관들은 막대한 양의 IoT 기기를 도입하고 있습니다. 이에 따라 해당 기기를 노린 공격도 늘고 있습니다. 그중 가장 눈에 띄는 사례인 도로 표지판이 얼마나 자주 ‘해킹’되었는지 생각해 보면, 실제로 ‘사물’이 얼마나 널리 확산되어 있는지 금세 알 수 있습니다.

한 최근 설문조사에 따르면 가정이 아닌 조직 내 평균 기기 수는 향후 2년 안에 두 배로 늘어날 전망입니다. 또한 같은 설문조사에서는 그 모든 기기가 어디에 있는지 파악하고 있는 응답자가 고작 28%에 불과하다고 지적합니다. 다시 말해, 대다수는 조직 내에서 인터넷에 연결되는 기기와 사물 중 일부만 파악하고 있습니다. 금융 업계에 초점을 맞춘 2016년 SANS Institute 설문조사에서도 비슷한 결과가 나타났습니다. IoT를 포함한 기기를 완전히 파악하고 있다고 답한 비율은 40% 미만이었으며, 적어도 부분적으로 파악하고 있다고 답한 비율은 절반가량이었습니다.

With F5 Labs 연구에 따르면 이러한 기기를 노리는 공격이 연간 무려 1373%나 증가하고 있는 만큼, 잠재적으로 방대한 씽봇 군단이 될 수 있는 기기들의 보안에 현재 우리가 어떻게 접근하고 있는지 생각해 봐야 합니다. 기억하시겠지만 Arxan/IBM 설문 조사에서는 다음과 같이 지적했습니다: “무려 44%가 공격을 막기 위해 아무런 조치도 취하고 있지 않다고 인정했습니다. 물론 이들은 해당 앱을 통한 침해를 우려하고 있습니다. 응답자의 58%는 IoT 앱을, 53%는 모바일 앱을 지목했지만, 정작 아무런 조치도 취하지 않고 있습니다.”

제가 이상한 소리를 한다고 생각하실 수도 있겠지만, 초기 ‘모집’ 공격이 성공하지 못하도록 막는 것부터 시작하는 것이 좋을 듯합니다. 일반적으로 이는 SSH와 텔넷을 차단해 관리 영역을 강화한 다음, 존재할 수 있는 모든 웹 인터페이스를 보호하는 것을 의미합니다.

그 이유는 이러한 장치를 침해하는 주요 수법이 여전히 기본 비밀번호를 사용해 명령줄에 접근하거나 취약한 웹 인터페이스를 악용하는 것이기 때문입니다. 결국 텔넷 스캔이 증가하는 이유도 바로 이것입니다. 공격자와 이미 침해된 장치는 다른 장치를 스캔하고 알려진 기본 자격 증명으로 접근을 시도한 다음, 해당 장치까지 감염시켜 봇넷에 편입합니다.

외부로 나가는 아웃바운드 트래픽에 주의를 기울이는 것이 중요합니다. 손상된 기기가 기존 사물봇 군단에 합류해 네트워크 외부(또는 내부)의 다른 기기를 악용하려 할 때 이를 탐지할 수 있기 때문입니다. 과도한 트래픽이나 연결 시도와 같은 비정상적인 동작을 보이는 ‘새로운’ 기기를 모니터링하면 네트워크에 이미 침투해 있어 조치가 필요한 악성 행위자를 찾아낼 수 있습니다.

According to 최근 연구에 따르면 94%가 IoT 위협에 대응하기 위해 기존 네트워크 방화벽에 의존하고 있습니다. 하지만 많은 위협은 이미 감염된 기기나 네트워크 방화벽만으로는 완벽하게 보호되지 않는 웹 인터페이스를 통해 자체 네트워크 내부에서 발생할 수 있습니다. 게다가 애초에 이러한 기기가 어디에 있는지 모르는 사람들의 비율을 고려하면, 방화벽이 대상 IP를 기준으로 접근을 차단하고 있을 가능성은 낮습니다. 또한 공격자가 공격 방식을 쉽게 바꾸고 여러 곳에서 공격을 감행할 수 있다는 점을 고려하면, 출발지 IP를 기준으로 차단하는 방식도 그다지 효과적이지 않습니다.

따라서 WAF를 활용해 관리 인터페이스와 사용자용 앱을 보호하고, 공격자가 손쉽게 침해할 수 있는 경로가 될 수 있는 인터페이스에서 흔히 발견되는 웹 기반 취약점을 악용하려는 시도를 차단해야 합니다. 멀웨어를 심을 수 있게 하는 취약점이든 단순히 명령줄에 접근할 수 있게 하는 수단이든, 관리 인터페이스를 겨냥한 웹 기반 공격은 기기를 점점 커지는 씽봇(thingbot) 군단에 편입시키는 가장 빠른 경로가 될 수 있습니다.

또한 페이로드 검사가 필요할 수 있는 MQTT나 CoAP 같은 IoT 프로토콜을 악용한 봇넷 편입 시도는 탐지하기 어려울 가능성이 큽니다. 오늘날 대부분의 공격은 전통적으로 기기 관리에 사용되는 프로토콜(예: 텔넷 및 SSH)을 악용하지만, MQTT를 통해 기기를 직접 공격할 수 있다는 위협도 이미 인식되고 있습니다. 실제로 OWASP는 이미 프로젝트를 시작하여 웹 보안을 증진하는 것과 유사한 방식으로 IoT 보안 강화를 지원하고 있습니다. 기기의 침해로 이어질 수 있는 네이티브 프로토콜 악용으로부터 기기를 보호하려면 IoT 게이트웨이 도입을 고려해 볼 수 있습니다.

요약하면, IoT 기기를 보호하기 위해 다음 사항을 고려하세요:

• 기본 비밀번호 변경(예방)
• 텔넷/SSH 액세스 제한(예방)
• 웹 인터페이스 보안 강화(WAF 사용)(예방)
• IoT 게이트웨이에 투자(예방)
• 비정상적인 내부 네트워크 트래픽 모니터링(탐지)
• 아웃바운드 트래픽을 새로 시작하는 주체를 모니터링합니다(탐지)

이제 IoT 기기에 대한 공격은 피할 수 없어 보입니다. 이미 수많은 IoT 기기가 네트워크에 연결되어 있고 인터넷을 통해 접근할 수 있는 데다, 보안에 소홀한 것으로 널리 알려져 있어 공격자들이 그냥 지나치기에는 너무나 매력적인 표적입니다. 네트워크 내의 기기들이 문제의 일부가 되지 않도록 하는 것이 중요하며, 이를 위해서는 ‘대규모 공격’에 앞서 발생하는 공격을 탐지하고 차단해야 합니다.

언젠가 여러분의 기기들이 여러분을 상대로 DDoS 공격을 벌인다면 상당히 난감할 테니까요.

SANS에는 또한 IoT를 겨냥한 공격을 탐지하는 방법을 다룬 훌륭한 자료도 있으니 꼭 읽어볼 만합니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물