⛓️‍💥 최신 보안 토픽

기술의 발전과 함께 보안은 계속해서 변화하고 있다. 
 
이번 포스팅에서는 사물인터넷(IoT)과 관련된 보안 문제, 사이버 보안 투자 결정을 위한 금융적 측정 시도, 전자 투표의 보안 연구 문제, 그리고 사이버 전쟁의 실제 사례와 정책적 영향을 다룬다.
 
 

사물 인터넷의 문제점

사물인터넷 IoT는 일상적인 기기들을 인터넷에 연결하여 스마트기기 생태계를 만드는 기술이다.
 
스마트 가전(냉장고, 식기 세척기), 스마트 홈(온도조절기, 경보 시스템), 스마트 헬스케어(피트니스 모니터, 인슐린 펌프) 등등 ...
 
이러한 사물 인터넷이 잠재하고 있는 단점으로는 이전 포스팅에서 다루었던 프라이버시의 침해, 데이터의 통제권 상실, 악용 가능성, 잘못된 식별, 무단 접근 등이 있다 .
 
사물 인터넷은 센서를 사용하며, IoT의 주인 혹은 주변인에 대한 데이터를 생성하는데 이렇게 생성된 데이터는 수집하기 쉽다. 이는 프라이버시 문제로 직결된다.
로봇청소기나 홈캠을 해킹하는 경우가 있다.
 
스마트폰은 IoT의 핵심 허브로, 다양한 기기와 연결되어 IoT환경을 관리하는 만큼 스마트폰 또한 보안 위협에 노출되어 있다. 
 

경제적 투자

사이버 보안에 대한 투자는 보호와 비용 효율 사이의 균형을 맞추는 과정이다.
효과적인 투자를 위한 구조화된 접근 방식은 다음과 같다. 
 
문제를 식별 -> 가능한 해결책 탐색 -> 위험,비용,효과 분석하여 현실적 제약을 체크
 
등 보안에 대한 투자를 위해서는 결정을 내릴 근거가 필요하다.
 
사이버 보안 지출에 영향을 미치는 요인을 분석해보면,
법적으로 규제를 준수하도록 하는 것이 30.1%로 가장 큰 비중을 차지하고, 네트워크 경험 및 전문성이 있는 사람의 제안이 18.9%로 그 다음의 비중을 차지한다. 그 외에는 고객의 요구사항 등으로 인한 12.4% 이후로는 10%에 미치지 못한다.
다음 지표로 넘어갈 수록 수동적인 요인으로 인해 결정하게 되는 것을 확인할 수 있다.
 
결국 지표를 통해 알 수 있는 부분은, 대부분의 회사는 보안에 투자하지 않으려고 하는 성향이 있다. 
 
이는 아래 사항이 원인이 될 수 있겠다.
 
먼저. 보안적으로 득은 판단하기 쉽지만 실에 대한 판단은 어렵다.
데이터의 가치 판단, 해커가 공격할 확률 등등은 계산하기 어려운 지표이다. 
 
또 보안에 대한 공격은 어떤 취약점을 노렸는지, 누구의 공격인지 100% 밝혀지지 않는다. 
 
이러한 요인으로 인해 정량적 지표를 만들기 어렵기 때문에 나타나는 현상으로 볼 수 있다. 
 

전자 투표

전자 투표는 기존 아날로그 방식과 다른 새로운 도전과 기회를 제공하지만, 
보안적 관점에서는 보안의 3요소인 CIA에 대한 이슈가 존재한다. 
 

• 기밀성(Confidentiality): 투표자는 자신의 선택이 익명으로 보호되도록 보장되어야 한다. 
• 무결성(Integrity): 투표는 투표자의 실제 의사를 정확히 반영해야 하고, 조작되면 안된다.
• 가용성(Availability) : 투표 기간에는 누구나 투표를 할 수 있어야 하고, 끝나면 더이상 접근할 수 없어야 한다. 그리고 투표에 대한 결과는 모든 사람에게 공개될 수 있어야 한다.

이러한 이슈에도 불구하고 전자 투표를 하는 이유는 더 안전하다는 점 그리고 비용이 적게 들며 친환경적이라는 특징 때문이다.

사이버전쟁(Cyber warfare)

 
사이버 전쟁은 국가, 조직, 혹은 개인 간의 갈등에서 사이버 인프라를 공격하거나 방어하는 행위를 의미한다.
이 사이버 전쟁에 대하서 주요 논점은 다음과 같다. 
 

• 사이버 인프라의 공격은 언제 전쟁 행위로 간주될 수 있는지
• 사이버 공간은 육해공과 같이 전통적 전쟁 도메인으로서 취급해야 하는지
• 공격과 방어의 구분을 어떻게 해야할 것인가
• 전략적 사이버 전쟁과 전술적 사이버 전쟁의 이점과 위협은?

 
아래 사례를 통해 사이버 전쟁을 정의하는 것이 어려운 이유에 대해 알아보자
 
 

• 에스토니아 (Estonia)
  • 2007년 4월, 에스토니아 정부 웹사이트들이 러시아와의 정치적 갈등 직후 대규모 DDoS 공격을 받음.
  • 사이버 공격의 익명성으로 인해, 누가 공격을 했는지 명확한 증거를 잡기 어렵다.
• 이란 (Iran)
  • Stuxnet 웜이 이란의 산업 처리 시스템에 감염되어 특정 모델의 컴퓨터를 공격.
  • 전통적인 전쟁과 달리 직접적이지 않은 간접적 피해를 초래한다. 
• 이스라엘과 시리아 (Israel and Syria)
  • 2007년 이스라엘이 시리아 레이더 시스템을 교란하여 미사일 발사를 감지하지 못하게 함.
  • 공격 수단이 이중성을 띈다. 전쟁 무기로 간주할 수 있는가 없는가, 교란 시킨 시스템이 전쟁용이 아닐 수 있지만 전쟁 무기에 효과를 낼 수 있다.
• 캐나다 (Canada)
  • 2011년, 캐나다 정부 부처들이 중국 서버에서 유래한 사이버 공격 피해를 입음.
  • 사이버 공격은 국가 간 긴장을 유발하지만 전쟁으로 간주할 수 있는지 기준이 모호하고, 정당한 대응에 대한 국제적 합의가 부족
• 러시아 (Russia)
  • 러시아 해커들이 여러 정부와 NATO, 우크라이나의 컴퓨터 시스템에 침투.
  • 공격의 초점과 목표가 불분명하다. 국가 뿐 아니라 개인, 기업, 인프라 등 다양한 대상을 타겟으로 할 수 있다