4G 보안 취약성을 해결해야 안전한 5세대(5G) 이동통신 시대가 열릴 것이다. 자동화로 부족한 보안 인력과 스킬을 보완해야 한다. 개인정보보호 경계가 점점 더 희미해지고 있다. 사물인터넷(IoT) 보안과 클라우드 보안은 필수다.
ISC2가 발표한 2018 사이버보안 인력 연구에 따르면, 아태지역에 부족한 보안 인력은 214만명에 달한다. 사이버보안에 대한 수요는 근본적인 사고방식이 바뀌지 않는 한 공급을 계속 앞지를 것으로 보인다. 공공과 민간을 포괄해 보안전문가들이 늘 부족하다는 얘기가 나올 것이란 게 두카 부사장의 지적이다. 그는 “채용 공고를 보면 자격증부터 시작해 보안 인력 요구조건은 매우 까다로운 것에 비해 연봉은 낮은 경우가 많다. 현실에 없는 유니콘을 찾으려 하는 것”이라며 “기존 인력을 향상시킬 수 있는 방향에서 사고의 전환이 필요하다”고 말했다.
그 사고의 전환을 통한 대안은 바로 자동화를 채택해 보안전문가를 대신할 대안적인 공급원을 발굴하는 것이다. 운영자는 모든 업무를 직접 하는 대신에 자동화의 힘을 빌려 스킬셋을 강화하고, 문제 해결, 커뮤니케이션, 협업 등 자동화할 수 없는 고차원적 업무를 담당해야 한다.
팔로알토네트웍스는 자동화는 미래 사이버보안의 핵심요소로, 이를 위해서는 오늘날의 SOC(Security Operating Center) 구조를 재검토하고, 새로운 역할에 부합하는 전문 인력을 재배치해 이러한 격차를 정확히 식별하고 좁혀 나가야 한다고 했다.
두카 부사장은 “과거에는 인간 대 기계의 싸움이었지만 사이버범죄자들이 발전된 기술, 자동화를 활용해 공격을 감행하기 때문에 좀 더 스마트한 방법, 즉 기계 대 기계, 자동화와 오케스트레이션을 이용한 방식으로 막아야 한다”며 “SOC 역시 80%는 자동화하고 인력은 20% 중요한 업무에 주력해야 한다”고 강조했다.
4G 보안 취약성 해결해야 안전한 5G 시대 도래
가트너에 따르면, 5G 무선 네트워크 인프라 매출이 2020년에는 2019년 22억달러 규모에서 89% 성장한 42억달러에 달할 전망이다. 5G의 성공적인 구축은 운송·공급망과 같은 분야부터 제조업에 이르기까지 경제 전반에 큰 영향을 미칠 수 있는 잠재력을 가진다. 하지만 5G 네트워크가 임계 수준에 이르기까지는 아직 많은 시간이 필요하다. GSMA에 따르면 2025년까지 4G가 여전히 전세계 모바일 사용자의 68%를 차지할 것으로 예상된다.
두카 부사장은 “5G 네트워크는 대부분 기존 4G 네트워크에 추가로 기능을 탑재, 통합하는 방식”이라며 “기존 4G 네트워크를 대상으로 하는 악성코드 등의 공격이 계속되고 있다. 여전히 취약점을 노출하고 있다”고 했다. 그는 아태지역의 한 통신사는 6일 동안 500만건의 악성코드 공격을 받은 사례가 있다고 제시하기도 했다.
본격 5G 상용화에 앞서 4G 네트워크상의 수많은 취약점들, 스팸, 도청, 멀웨어, IP스푸핑, 데이터 탈취, 디도스(DDoS) 공격 등의 문제가 해결되지 않으면, 수백만 가입자와 애플리케이션과 서비스가 위험에 노출될 수 있다는 분석이다. 모바일 서비스 사업자가 공격 대상이 될 수 있고, 안전하지 않은 사물인터넷(IoT) 시스템 취약성은 5G 환경에서 기하급수적으로 증폭될 수 있다고 경고했다. 때문에 보안에 대한 선제적인 대응, 높은 수준의 보안 자동화 구축, 상황 인식 기반의 보안 결과 구축, 애플리케이션프로그래밍인터페이스(API) 보안 기능 통합 등의 새로운 접근법이 필요하다는 게 팔로알토네트웍스의 제안이다.
IoT 항해의 시대, 곳곳이 지뢰밭
IoT 제품이 속속 등장하면서 잠재적인 IoT 사이버위협이 더욱 커질 것으로 전망된다. 아이디와 비밀번호를 바꾸진 않아 생기는 문제는 물론 일부 소프트웨어 업데이트와 보안 패치 수신이 불가능한 상태로 출하되고 있어 위협에 노출되기 싶다.
대규모 IoT 기기를 감염시켜 공격에 이용했던 미라이(Mirai) 봇넷처럼 안전하지 않은 연결 장치를 통해 공격을 만들어내는 것은 물론 전세계 주요 플랫폼을 무너뜨렸다. 최근에는 미라이 악성코드 변종 공격이 무선 프리젠테이션 시스템에서부터 셋톱박스, 소프트웨어정의광대역네트워크(SD-WAN), 심지어 스마트 홈 컨트롤러에 이르기까지 다양한 기기를 목표로 해 기업과 가정 모두에 위협이 되고 있다.
2020년, IoT 보안은 소비자 영역과 산업 영역에서 각각 2가지 방향으로 진화할 것이다. 스마트홈 도어락에서 무선 스피커 시스템에 이르기까지, 안전하지 않은 앱이나 취약한 로그인 정보를 사용하는 공격이 증가할 것으로 예상됐다. 이러한 위협은 음성 또는 생체 인식으로 제어되는 연결 장치에 위협이 될 수 있는 딥페이크(deepfake, AI 영상 합성 조작 기술)의 출현으로 더욱 복잡해졌다.
점점 더 희미해지는 개인정보보호 영역의 경계
인터넷 소사이어티(Internet Society)가 2018년 아태지역 정책 이슈를 조사한 결과 응답자의 70% 이상이 개인정보 수집과 사용에 대해 더 많은 권한을 부여 받기를 원하는 것으로 나타났다. 그러나 대부분의 사람들은 트렌드 앱, 모바일 게임 또는 온라인 콘테스트와 같이 단발성 개인정보 사용에 대해 신중하게 생각하지 않는다. 개인정보보호를 위해선 어떤 데이터가 수집되고 있는지에 대한 인식은 물론 데이터가 어떻게 사용되고 있는지에 대한 가시성을 모두 확보해야 한다.
팔로알토네트웍스는 2020년에는 각 국가에서 개인정보보호에 대한 추가 법률이 개정될 것으로 전망했다. 데이터가 국경을 이동하는 것을 엄격히 규제하거나 제한하는 규제가 많아지고 있다. 자국민의 데이터는 현지에 보관하도록 권고하는 사례가 더 많아질 것이란 관측이다. 그러나 현지 데이터센터 구축이 곧 데이터의 안전을 보장하는 것은 아니라는 게 팔로알토네트웍스의 얘기다.
전체 클라우드 여정을 아우르는 보안이 필수
팔로알토네트웍스가 오범(Ovum)과 함께 실시한 클라우드 보안 조사에 따르면 기업의 80%는 보안 및 개인정보보호를 클라우드 채택의 주요 과제로 두고 있는 것으로 나타났다. 또한 아태지역 기업의 70% 이상이 클라우드 공급업체에 의한 보안만으로도 충분하다고 생각하는 등 클라우드 보안에 대한 잘못된 신뢰감을 갖고 있다. 또 많은 보안 툴을 사용함에 따라 클라우드 내 보안 관리가 더욱 복잡해지고, 멀티클라우드 환경인 경우에는 더욱 심각하다고 분석했다. 클라우드 환경에서 잘못된 구성으로 인한 위험성이 발생할 수 있다. 또 타깃 정찰에 취약해진다.
따라서 클라우드 보안 감사와 교육에 전념할 수 있는 시간과 리소스가 충분하지 않은 경우 자동화가 필수적이란 설명이다. 아울러 신제품 개발 라이프사이클에 보안 프로세스와 툴을 통합해 데브섹옵스(DevSecOps) 접근방식을 채택하는 기업이 늘어날 것이다.
글. 바이라인네트워크
<이유지 기자>yjlee@byline.network