공급망 해킹과 보안에서 하드웨어의 역할
지난 몇 년 동안 우리는 기업들이 클라우드와 소프트웨어 배포의 확대되는 범위를 확보하기 위해 서두르는 모습을 보았습니다. 최근 F5 연구소의 조사에 따르면 보고된 침해 사례의 절반 이상이 애플리케이션을 초기 타깃으로 삼은 것으로 나타났습니다. 하지만 기업들이 이 분야의 사업을 강화하기 위해 서두르는 만큼, 인프라와 하드웨어 측면에서도 경계를 늦추지 않고 주의 깊게 지켜봐야 합니다.
최근 블룸버그 기사는 공급망 해킹으로 알려진 사건에 대한 최초의 주장이 아니다. 적어도 지난 5년 동안 공급망의 네트워크 장비를 가로채서 데이터를 변조하거나, 감시하거나, 기타 방법으로 손상시키는 제3자에 대한 보고가 인터넷에 널리 떠돌았습니다.
실제로, 변조 위협은 하드웨어 공급망에만 국한되지 않습니다. 이는 과정에 쉽게 들어갈 수 있는 방법이지만 유일한 진입점은 아닙니다. 명확히 말씀드리자면 오늘날 하드웨어부터 펌웨어, OS와 소프트웨어에 이르기까지 시스템의 어느 부분도 어떤 종류의 위협에도 노출되지 않는 부분이 없습니다. 매일 악성 소프트웨어와 악용된 취약점을 설명하는 기사에서 운영 체제와 소프트웨어에 대한 침해 사례가 발견됩니다. BIOS(펌웨어) 루트킷을 통해 지속적인 위협이 전달 되었습니다 . 지난 10년 동안 타사에서 제조한 하위 시스템 사용이 증가함에 따라 보드 수준 하드웨어에 영향을 미치는 공급망 해킹이 가능하다는 주장이 힘을 얻고 있습니다.
네, 가능합니다. 네, 공급망 공격은 감지하기 어렵습니다. 그리고 물론, 하드웨어가 데이터 센터와 클라우드 환경에서 애플리케이션을 제공하는 데 역할을 하는 한(즉, 예측 가능한 미래에 대해), 조직은 특정 공급업체가 자체 하드웨어에 의존하는지 아니면 다른 사람의 하드웨어에 의존하는지에 대해 생각해야 할 것입니다.
보안 시스템은 하드웨어를 고려해야 합니다.
하드웨어와 펌웨어 기반 공격은 다른 유형의 공격에 비해 고유한 위험을 초래하며, 이는 조직이 이 주제에 대해 깊은 우려를 갖고 있는 이유를 부분적으로 설명해줍니다.
하드웨어 및 펌웨어 기반 공격은 다음과 같은 이유로 악의적인 행위자들에게 매력적입니다.
- 탐지성이 낮음 . 펌웨어는 백그라운드에서 작동하므로 소프트웨어에서 보이지 않는 경우가 많습니다. 최신 시스템에서는 부적절한 변경으로 인해 시스템이 사용 불가능해질 수 있으므로 BIOS 펌웨어에 대한 접근도 권장하지 않습니다.
- 높은 지속성 . 일단 악성코드가 퍼지면 감염된 플랫폼을 제거하는 것은 어렵습니다. 운영 체제는 비교적 쉽게 다시 설치할 수 있지만, 펌웨어를 원래 상태로 복원하는 것은 훨씬 더 어렵습니다.
- 높은 특권 . 하드웨어나 펌웨어에서 실행되는 모든 코드는 하드웨어 수준에서 직접 액세스할 수 있습니다. 이 수준의 권한을 가진 맬웨어는 전체 시스템을 감시하고 심지어 제어할 수도 있습니다.
이 모든 것을 합치면, 자체 하드웨어에 대한 통제권을 유지하는 회사에는 확실한 이점이 있습니다. 예를 들어 F5는 설계부터 프로토타입, 제작, 최종 제조까지 모든 단계를 감독하여 시스템의 무결성을 보장합니다. 이러한 수준의 제어가 없다면 공급업체는 자사 시스템을 지원하는 하드웨어가 보호된다는 비교적 제한적인 확신을 제공할 수 있습니다.
당신이 통제할 수 없는 것을 보호하는 과제
이 시점에서 F5는 Super Micro나 다른 서버 마더보드 OEM과 제조 관계를 유지하고 있지 않다는 점을 말씀드리겠습니다. (자세한 내용은 최근 업계 뉴스와 관련된 AskF5 지식 기반 문서를 참조하세요.) 하지만 지금은 개발, 제조, 조립 중 어느 시점에서든 하드웨어, 펌웨어 및 소프트웨어를 손상시키지 못하도록 엄격한 일련의 프로세스를 채택할 수 있는 기업의 중요성을 강조할 수 있는 좋은 기회가 됩니다. 결국 어느 순간 하드웨어에 의존해야 한다면, 하드웨어 전문 지식을 갖춘 공급업체를 믿는 게 더 합리적이지 않을까요?
보안의 하드웨어 요소를 "다른 사람의 문제"로 만들려는 공급업체가 분명히 있을 것이지만, 이러한 접근 방식은 종종 불완전합니다. 인프라를 지원하는 하드웨어에 대한 확신이 필요한 경우 궁극적으로 자산을 보호할 책임을 지고 핫 포테이토 게임을 하지 않는 공급업체를 원할 것입니다. 따라서 이 기사의 나머지 부분에서는 F5가 고객의 이러한 위험을 완화하기 위해 수행하는 작업을 설명한 다음, 공급업체가 노출을 책임감 있게 제한하고 있는지 확인하기 위해 물어볼 수 있는 몇 가지 질문을 식별합니다. 하지만 요약은 다음과 같습니다. 인프라 하드웨어가 어떻게 또는 어디에서 설계, 제조, 테스트 및 조립되는지 모른다면 걱정할 이유가 있을 수 있습니다. 반면 F5의 경우 프로세스가 F5의 감독을 벗어나지 않습니다.
F5가 제공하는 것: 복잡한 비트
F5는 시애틀에 본사를 두고 있으며, 하드웨어 설계 및 개발은 시애틀 동쪽에 있는 스포캔의 회사 시설에서 진행됩니다. 이 팀은 F5 하드웨어 개발의 모든 측면을 감독합니다. 당사의 ADC 플랫폼인 BIG-IP를 구동하기 위한 하드웨어를 특별히 개발하고자 하는 열망에서 탄생한 이 기술은 하드웨어 보안에 대한 열렬한 관심을 (좋은 의미로!) 통합할 수 있게 해주었습니다.
여기서 하드웨어가 어떻게 설계되고 개발되는지 (매우) 간략하게 살펴보는 것이 도움이 될 것입니다. 예비 설계는 CAD 소프트웨어로 이루어지고, 이를 통해 보드의 벡터 이미지가 생성됩니다. 이를 Gerber 파일 이라고 하며, 이러한 이미지에 대한 사실상의 산업 표준 형식을 기반으로 합니다. 해당 파일을 사용하여 인쇄 회로 기판(PCB)이 제작됩니다. PCB는 단지 기본 보드, 즉 회로 트레이스와 핀아웃일 뿐입니다. 다음 단계는 실제 구성 요소(CPU, 메모리, IC, 트랜지스터 등)를 PCB에 추가하는 인쇄 회로 조립(PCA)을 제작하는 것입니다.
F5 프로세스에는 제3자 공급업체의 공급망 해킹으로부터 보호하기 위한 제조 후 테스트도 포함됩니다. 우리는 AOI(자동 광학 검사)와 5DX 또는 AXI(엑스선) 검사를 조합하여 사용합니다. 각각은 제품 설계에 포함되지 않은 요소를 식별하는 것을 포함하여 품질과 시스템 무결성에 영향을 미치는 다양한 문제를 찾도록 설계되었습니다.
AOI와 X선 검사는 모두 Gerber 파일로 시작되는 자동화된 프로세스로, 보드가 제조될 때 어떤 모양이어야 하는지를 아주 자세하게 설명합니다. F5 제조 엔지니어는 첫 번째 PCA(인쇄 회로 조립)부터 이러한 테스트 하위 시스템의 설정과 구현을 감독하며, 이는 지속적으로 개선됩니다. 이를 통해 최종 제품을 비교하고 검증하여 기대했던 대로인지 확인할 수 있습니다.
이러한 보호 장치 외에도 허가받지 않은 펌웨어 및 소프트웨어 조작 위협으로부터 더 잘 보호하기 위해 하드웨어에 두 가지 주요 기능인 변조 감지 및 변조 방지를 내장했습니다. 첫 번째는 TPM(신뢰할 수 있는 플랫폼 모듈)을 포함함으로써 가능해졌습니다. TPM(ISO/IEC 11889)은 암호화를 사용하여 시스템 무결성을 검증할 수 있는 전용 마이크로컨트롤러입니다. 두 번째 기능은 F5 소프트웨어 업데이트와 마찬가지로 후속 펌웨어 업데이트에 암호화된 서명을 하고 설치 전에 이를 검증하는 것입니다.
또한 F5의 IT 조직이 테스트 하위 시스템의 모든 하드웨어와 네트워킹에 대한 액세스를 소유하고 제어한다는 사실을 언급하고 싶습니다.
공급업체에 대한 질문
네트워크와 보안의 중요한 구성 요소와 관련해서는 신뢰와 개방적인 의사소통이 항상 방정식에 포함되어야 합니다. 물론 슈퍼 마이크로 보고서의 사실에 대한 논란이 계속되고 있지만, 보고서가 지적하는 위협의 유형은 매우 현실적이고 믿을 만합니다. 공급망이든 아니든 모든 출처에서 하드웨어 및 펌웨어 공격의 가능성과 관련하여 공급업체에 물어볼 수 있는 몇 가지 좋은 질문은 다음과 같습니다.
- 귀사의 시스템 설계에 타사에서 개발한 마더보드를 사용하시나요?
- 하드웨어 설계 및 개발 프로세스 중에서 어떤 부분을 당신이 통제하시나요?
- 하드웨어에 대해 어느 수준의 보안 테스트를 실시하시나요? 그리고 언제 실시하시나요?
- 펌웨어 및 소프트웨어 업데이트의 보안을 위해 어떤 보안 장치를 사용하시나요?
- 마지막으로, 공급망 전체에서 어떤 출처에서든 변조를 방지하고 감지하기 위해 어떤 보호 조치를 취하고 있습니까?
____
F5가 귀사의 애플리케이션 보안을 어떻게 강화할 수 있는지에 대한 추가 정보는 https://www.f5.com/solutions/application-security 에서 확인하세요.