CSO와 CIO가 겪을 수 있는 우주 기반 사이버 위협을 미리 살펴보는 연구 결과가 공개됐다. 나쁜 영향을 미칠 수 있는 공격 시나리오는 4백만 개에 달하는 것으로 나타났다.
사이버 범죄자들이 우주선과 우주선을 개발, 발사, 지원하는 인프라를 공격해 기업 및 사회 전반에 영향을 미칠 방법이 4백만 가지가 넘는다는 연구 결과는, CSO의 우려만큼 보안이 충분치 않은 현 상황과도 일맥상통한다.
최근 캘리포니아 폴리테크닉 주립대학교의 윤리+신흥 과학 그룹이 발표한 ‘우주 사이버 공격: 예상치 못한 상황을 피하기 위한 새로운 시나리오 생성’ 연구는 로켓 과학자뿐만 아니라 지구상의 CSO에게도 적용되는 인사이트를 담았다.
우주 기반 시스템에 대한 공격이 지상에 어떤 문제를 일으킬지 궁금하다면, GPS 시스템이 중단될 때 운송이나 네트워크 타이밍용 정밀 시계에 미칠 영향과 같은 몇 가지 명백한 시나리오를 생각해 볼 수 있다. 통신은 일기 예보에서 재해 복구에 이르기까지 다양한 방식으로 위성에 크게 의존하고 있으며, 해커들은 이미 이런 자산을 공격하고 있다.
수석 연구원인 패트릭 린은 “보안 계획에서 재앙이 될 수 있는 ‘상상력의 실패’를 방지하는 것이 중요하다. 해커들은 이미 매우 창의적으로 사고하고 있다. 이번 프로젝트는 이런 사이버 위협을 예측하는 ‘다크 아트’에 구조를 적용했다. 이를 통해 방어자는 터널 비전을 피하고 공격자에 앞서기 위해 다양한 시나리오를 생성할 수 있다”라고 설명했다.
이번 연구는 기술 및 정책적 측면에서 우주 사이버 보안을 조사하기 위해 2년 프로젝트에 30만 달러를 투자한 미국 국립과학재단의 지원을 받아 진행됐다. 그 결과로 작성된 95페이지 분량의 보고서에는 공격 유형뿐만 아니라 가해자가 누구인지, 그들의 동기가 무엇인지 담았다.
위험 예측을 위한 매트릭스
연구 결과는 ‘ICARUS(Imagining Cyberattacks to Anticipate Risks Unique to Space) 매트릭스’라는 이름으로 요약됐다. 이는 누가, 무엇을, 언제, 어디서, 왜 공격하는지 등의 구성 요소를 담은 것으로, 보안 담당자가 방어 방법을 파악할 시나리오를 구축할 수 있도록 돕는다. 현재 ICARUS 매트릭스는 우주와 관련된 공격에 초점을 맞추고 있지만 더 많은 지상 위협에 쉽게 적용할 수 있으며, CSO는 어디서든 테이블탑 시나리오에 활용할 수 있다.
구체적으로 살펴보면, 매트릭스는 위협 행위자, 동기, 사이버 공격 방법, 피해자/이해관계자, 영향을 받는 우주 기능 등 5가지 열로 구성된다. 사용자는 2개 이상 열에 있는 항목을 조합해 400만 개 이상의 가능한 공격 시나리오를 만들 수 있다. 연구에서는 그 중 42가지 시나리오를 중점적으로 다뤘다.
예를 들어 내부자는 어떤 식으로든 디지털 자산을 손상시키거나, 국제우주정거장(ISS)의 생명 유지 시스템을 방해하거나 기밀 정보를 적대 단체에 넘겨주는 것에 대한 금전적 이익이나 분노 등에서 동기를 얻을 수 있다. 또는 조직 범죄 집단이 중요 시스템에 파괴적인 멀웨어를 심고 시스템을 마비시키지 않는 대가로 금전을 요구할 수도 있다.
기업에서도 사용되는 도구
연구에서 종합한 많은 잠재적 위협은 기업에도 적용될 수 있다. 예를 들어 데이터 스푸핑은 로켓 센서에 입력된 위조 데이터든 CEO의 불법적 온라인 활동의 증거든 관계없이 위험할 가능성이 높다. 또한 해킹된 3D 프린터는 우주 정거장뿐만 아니라 자동차에도 미묘한 결함이 있는 부품을 심을 수 있다. 허위 정보와 가스 라이팅은 가해자가 자신의 행동에 따른 결과를 피하고 대중과 미디어를 혼란스럽게 하는 경우가 많다. 그리고 환경 테러리스트들은 자신들의 목적에 부합하는 지구 및 우주상의 모든 것을 공격하기 때문에, 때로는 재앙적인 결과를 초래하기도 한다.
이번 연구는 기업이 매트릭스를 구축할 때 집단 사고와 인지적 편견을 피하기 위해 다양한 분야 종사자의 관점을 고려할 것을 권장했다. 보고서는 “과학 및 기술 연구(STS) 분야의 사회 과학자들은 인종, 성별, 장애, 원주민 및 기술 시스템과 관련된 기타 문제를 발견하고 조사하는 데 유용한 도구를 제공할 수 있다. 심리학자 및 기타 행동 과학자의 경우 시나리오의 사회 공학적 측면에 대한 통찰력을 줄 수 있다. 철학자는 심도 있는 분석 및 개념적 기술을 통해 관련 이슈의 틀을 짜고, 확장하고, 구체화하고, 정리하고, 비판적으로 압박하는 데 도움을 줄 수 있다. 공상 과학 작가와 미래학자는 더 창의적으로 미지의 세계를 상상하는 데 필수적이다. 물론 엔지니어와 기술자는 사이버 공격의 표적이 되는 시스템의 설계자이므로 공격의 메커니즘을 평가하고 해결책을 모색하는 데 매우 중요하다”라고 밝혔다.
린은 ICARUS 매트릭스가 다른 방법론보다 사이버 공격에 영향을 미치는 더 많은 요소를 포착한다고 언급했다. 그는 “다른 사이버 취약점 분류 체계와 달리 ICARUS 매트릭스는 위협 행위자의 다양성, 동기, 피해자, 영향을 받는 우주 기능도 포착한다. 이는 전체 시나리오의 핵심 요소인 ‘누가, 무엇을, 어디서, 언제, 왜, 어떻게’라는 질문에 답하는 데 도움이 된다”라고 말하며 시나리오가 위협 연구자들의 ‘상상력을 자극’한다고 설명했다. 또한 그는 “문제를 해결하기 위해서는 문제를 이해하는 것이 중요하기 때문에 이 연구는 우주 사이버 공격의 동인에 대해서도 탐구한다”라고 덧붙였다.
그중 많은 부분에서 CSO는 우주 사이버 공격에 기업 및 산업 시스템 공격자들의 동기와 유사한 요소가 있다는 것을 금방 알아차릴 수 있다. dl-ciokorea@foundryco.com
