OT 보안 위협을 완화하기 위한 핵심은 AI 및 공급망 가시성입니다.

May 30, 2024

ipopba-stock.adobe.com

유틸리티, 운송, 제조 등 중요 정보 인프라(CII)에 대한 끊임없는 사이버 공격은 줄어들 기미를 보이지 않습니다. 위협 행위자와 적들은 이러한 중요한 리소스를 뒷받침하는 운영 기술(OT)이 사이버 위협에 취약하다는 사실을 발견했습니다.

그들은 또한 성공적인 공격이 해당 국가의 시민에게 큰 타격을 주고 정치적, 경제적 불확실성을 야기할 수 있다는 사실도 발견했습니다. 2021년 Colonial Pipeline에 대한 랜섬웨어 공격으로 인해 항공편이 취소되고 수백만 명의 미국인이 자동차 연료를 구매할 수 없게 되었습니다. 2016년 우크라이나 전력망에 대한 공격으로 인해 한겨울에 70만 명이 전력 공급을 중단했습니다.

싱가포르는 이러한 위협으로부터 면역되지 않습니다. 물, 에너지, 운송, 석유화학 및 제조 역량을 유지하기 위해 고도로 연결된 기술에 의존하는 국가이자 진화하는 국경을 넘는 사이버 위협 환경과 결합된 싱가포르는 잠재적인 표적으로 간주됩니다. 공격자의 동기는 우크라이나 전력망 공격처럼 정치적일 수도 있고, 콜로니얼 파이프라인 공격처럼 순전히 금전적일 수도 있지만, 싱가포르가 준비되지 않은 경우 그 영향은 심각할 수 있습니다.

싱가포르 정부가 운영 기술 사이버보안 전문가 패널(OTCEP)을 구성한 것은 중요한 진전입니다. 싱가포르는 전 세계 업계 전문가의 경험을 결합하여 세계적 수준의 정책과 절차를 개발했으며 해당 전문 지식을 중요 시스템을 담당하는 이해관계자와 공유했습니다.

2020년 SolarWinds에 대한 공격은 위협 행위자가 악용할 수 있는 소프트웨어 공급망의 취약성을 강조했습니다. 이는 위협 행위자가 의도한 목표(이 경우에는 여러 미군 및 정부 기관)에 접근하기 위해 신뢰할 수 있는 공급업체를 공격하는 것이 얼마나 매력적인지 보여주었습니다.

전체적으로 공격자들은 주요 통신 회사, 전력 회사 및 미국 포춘지 선정 500대 기업 대부분의 18,000개 이상의 기업 및 정부 시스템에 액세스할 수 있었습니다. 다행스럽게도 공격자들은 이러한 교두보 중 극히 일부만 악용하기로 선택했습니다. 미국 사이버보안 및 인프라 보안국(CISA)의 추정에 따르면 100개 미만이라고 밝혔지만, 단일 소프트웨어 회사를 침해한 후에도 여전히 깔끔한 하루 작업이었습니다.

Sonatype에 따르면 이 세간의 이목을 끄는 사건 이후 소프트웨어 공급망 공격이 742%라는 놀라운 비율로 증가했습니다. 미국과 유럽 정부는 이러한 위협의 긴급성을 인식하고 신속하게 새로운 법안과 지침을 발표했습니다. 다른 지역도 따라올 것으로 예상됩니다. 소프트웨어 공급망은 국경을 초월하므로 협력이 중요하기 때문에 어떤 국가도 면역되지 않습니다.

랜섬웨어나 공급망 공격 중 무엇이 더 걱정되는지에 대한 질문을 받았습니다. 나는 보통 "콤보"라고 대답합니다. 왜냐하면 그것들은 상호 배타적이지 않기 때문입니다. 랜섬웨어는 페이로드입니다. 공급망은 공격 벡터입니다. 2021년 Kaseya 공격에서 볼 수 있듯이 공격자들은 전략을 '혼합'하기 시작했습니다.

많은 관리 보안 서비스 제공업체에서 사용하는 소프트웨어를 만드는 Kaseya는 800개가 넘는 중소기업(SMB)에 랜섬웨어를 배포하는 의도치 않은 수단이었습니다. 다행스럽게도 대부분의 SMB는 OT 시스템을 운영하지 않지만 하이브리드 공격의 효과는 싱가포르의 위협 행위자와 적에게 확실히 손실되지 않았습니다.

소프트웨어 공급망 보안을 보장하는 것은 이제 전반적인 비즈니스 전략의 중요한 측면이며, 특히 CII 부문 기업의 경우 더욱 그렇습니다. 소프트웨어 공급망 전반의 투명성과 모든 타사 내장 소프트웨어에 대한 인식은 생명을 구하고 사회가 의존하는 중요한 프로세스와 장비를 보호하는 데 도움이 될 수 있습니다.

파괴적인 기술의 출현으로 인해 OT 시스템 운영자와 공급업체가 혁신할 준비를 갖추는 것이 중요해졌습니다.

사이버 보안에서 인공지능(AI)의 역할을 생각해 보세요. 영웅이 될까요 아니면 악당이 될까요? 연구원들은 위협 행위자가 어떻게 ChatGPT와 같은 생성 AI 시스템을 활용하여 소프트웨어 공급망을 오염시킬 수 있는지 보여주었습니다. 개발자는 AI를 통해 공통 저장소의 소프트웨어 패키지를 추천할 수 있지만, 그들이 받은 제안에는 실제로 존재하지 않는 현실적인 사운드 패키지인 "환각"이 포함되는 경우가 많습니다. 공격자가 해야 할 일은 악성 패키지를 만들고 환각의 이름을 따서 이름을 지정한 다음 의심하지 않는 개발자가 자신이 만드는 소프트웨어에 이를 포함할 때까지 기다리는 것뿐입니다.