최근 미국 사이버 보안 스타트업은 클라우드 네이티브 환경을 보호하는 분야에서 사업을 시작하는는 사례가 많다. 디지털 전환이 가속화하면서 클라우드 도입이 늘고 있기 때문이다. 인프라 전환은 사이버 보안 기업에게는 새로운 기회다. 아쿠아 시큐리티(AquaSecurity)는 클라우드 네이티브 공격을 차단하고 이를 보장하는 기업이다. 이 회사는 100만 달러 클라우드 네이티브 보호보증을 제공한다. 2015년 설립된 아쿠아 시큐리티는 클라우드 네이티브 공격 대응에 집중한 기업으로 포지셔닝하고 있다. 클라우드 분야에서 컨테이너와 서버리스 기술이 막 등장하면서 애플리케이션 개발과 아키텍처의 극적인 변화가 시작됐다. 이때 아쿠아 시큐리티는 보안 시장 변화를 인식했다.
개발자들에게 오픈소스 이용은 이제 일상이 됐다. 개발자들은 시장에서 널리 알려진 오픈소스 운영체제, 오픈소스 생산성 소프트웨어 및 다양한 코드 라이브러리를 사용하며 시간과 비용을 절약한다. 수년동안 오픈소스의 인기가 올라가며 모든 산업에서 대부분의 기업들이 사용하고 있다. 특히 많은 IT기업들이 개발 즉시 피드백을 받아 유동적으로 개발하는 방법인 애자일 방법론(Agile Software Development)을 도입하며 오픈소스의 활용은 더욱 중요해지고 있다. 오픈소스는 개발환경에서 필수불가결한 요소이기 때문에 쉽게 주요 사이버 공격 대상이 된다. 지난해 말 발생한 로그4j 보안 취약점(로그4셀) 사태는 오픈 소스 생태계가 어떻게 한순간에 무너질 수 있는지 보여준 사례다. 로그4j는 자바 기반 프로그램을 개발할 때 로그의 기록 기능을 지원 및 관리하는 아파치 재단의 오픈소스 소프트웨어 라이브러리다. 해당 라이브러리는 민간 기업은 물론 금융, 의료 등 주요 정보통신기반시설 등에서 광범위하게 사용되고 있다. 이런 로그4j에서 취약점이 발견되며 전 세계가 비상에 걸렸다. 해커가 로그4j의 취약점을 공격하면 데이터를 탈취할 수 있고, 악성코드를 심으면 시스템을 마비시킬 수 있는 상황이 발생한 것이다. 오픈소스에서 취약점이 발견되면 그 소스를 사용하는 기관과 기업들에 피해가 가는 것은 물론이고, 국가 안보를 위협하는 수준까지도 갈 수 있다고 전문가들은 경고했다. 오픈소스 활용도가 높아지며 이를 둘러싼 보안 위협도 증가할 것으로 보인다. 오픈소스와 보안 모두에 강점을 가진 기업이 스닉(Snyk)이다. 개발자 보안의 선두주자 스닉은 "개발자에 의해, 개발자를 위한 설계를 한다"는 슬로건을 내걸고 오픈소스 코드의 취약성을 자동으로 찾을 수 있게 돕는다. 특히 개발 속도를 그대로 유지하면서 손쉽게 보안 및 컴플라이언스 이슈를 해결할 수 있도록 지원하는 게 목표다. 스닉은 업계 최초로 개발자 중심의 클라우드 보안 솔루션을 공개했다. 클라우드 시대를 위해 설계됐다는 스닉의 플랫폼을 사용하면 개발자와 보안 담당자는 전체 소프트웨어 개발 수명 주기(SDLC)에 걸쳐 클라우드 보안 태세를 모니터링하고 운영할 수 있다. 스닉의 플랫폼은 구글, 아마존, 몽고DB, 세일즈포스 등의 기업을 포함 전 세계 2000곳 이상의 고객사에서 이용되고 있다.
생성형AI의 한계는 어디일까요. 지난해 말 실리콘밸리에서 주목을 받기 시작한 생성형AI에 대한 다양한 연구결과들이 나오고 있는데요. 가장 최근에는 오픈AI사의 챗GPT가 미국 최고의 경영대학인 와튼스쿨의 MBA 과정을 통과했다는 연구결과가 나와서 주목받고 있습니다. 지난 23일(현지시간) NBC 뉴스는 미국 펜실베이니아대 경영대학인 와튼스쿨의 크리스찬 터위시 교수의 논문을 인용, "인공지능 기반의 챗봇 GPT-3가 경영학석사(MBA) 최종 시험에 합격했다"라고 전했는데요. 터위시 교수는 '챗 GTP3는 워튼 MBA를 취득할 수 있을까'라는 연구 논문에서 챗봇이 B-와 B 사이의 점수를 받았다고 밝혔습니다.👉 챗GPT 등장에 교육계 우려 터위시 교수는 챗봇의 점수에 대해 "일반적으로 높은 급여를 받는 기술분야, 분석가, 관리자, 컨설턴트 등 MBA 졸업생들이 얻는 직업의 지식노동자들이 할 수 있는 일부 기술을 자동화하는 놀라운 능력을 보여준다"라고 설명했는데요. 그는 "사례연구를 기반한 질문을 포함해 기본 운영관리, 프로세스 분석 등 다양한 질문에 대해 훌륭한 답변을 내놨다"며 "힌트를 주면 답변을 수정하는데도 능숙했다"라고 덧붙였습니다. 터위시 교수의 이 같은 연구는 교육계에서 AI챗봇이 부정행위를 부추길 수 있다는 우려가 나오면서 시행됐는데요. 실제 뉴욕의 교육당국은 학교기기와 네트워크 상에서 챗GPT를 금지한다고 발표하기도 했습니다. 인공지능을 개발하는 입장에서도, 또 교육계에서도 챗봇이 미래 교육에 있어서 해가 될 수 있다고 인정하고 있는데요. 오픈AI 측은 이런 논란에 대해 논평을 거부했다고 NBC는 전했습니다. 인간을 뛰어넘는 AI가 등장하면서 세상은 또 어떻게 달라질까요.
손재권 더밀크 대표는 “CTA(미국소비자기술협회)가 집계한 ‘글로벌 혁신 스코어카드(2023 Global Innovation Scorecard)'에서 한국이 26위를 기록했다”며 이같이 말했다. 글로벌 혁신 스코어카드는 CTA가 집계해 발표하는 국가별 혁신 순위다. 올해는 조세 제도(tax friendliness), 환경(environmental quality), 무역 정책(trade policy), 인터넷·통신(broadband access) 등 17개 범주에 걸쳐 총 40개의 지표를 측정, 점수가 산정됐다. 미국, 캐나다, 스위스, 영국, 네덜란드, 노르웨이, 독일, 프랑스, 싱가포르, 일본 등 25개국이 포함된 ‘혁신 챔피언(Innovation Champion)’ 그룹에 한국이 들어가지 못한 것이다. 세계지식재산기구(WIPO)가 발표한 ‘2022 글로벌 혁신지수(6위), 2021년 발표된 ‘블룸버그 혁신 지수(1위)’ 등 다른 평가 기관의 결과와 비교하면 상이한 결과다. 특히 이번 결과는 CES2023에서 한국 기업들이 맹활약을 펼치며 '혁신 국가'로서의 위상을 한층 끌어올렸다는 평가도 제기된 시점에서 나온 리포트여서 충격을 주고 있다. CES를 주최한 CTA에서 선정한 것이다. 왜 이런 결과가 나온 걸까? 혁신을 위해 지금 대한민국에 가장 필요한 것은 무엇일까?
젠 이스터리(Jen Easterly) 미국 사이버 보안 및 인프라청(CISA) 청장과 클라우드 기반 보안솔루션 기업 크라우드스트라이크(CrowdStrike)의 조지 커츠(George Kurtz) CEO가 5일(현지시각) 미국소비자기술협회(CTA)가 주최하는 세계 최대 가전IT박람회인 국제전자제품박람회(CES)2023에서 "새로운 사이버 시큐리티 시대를 건설하는 법"(GREAT MINDS: HOW TO BUILD A NEW CYBERSECURITY ERA)에 대해 토론했다.사이버 보안에 대한 위협이 계속 증가하고 있는 가운데, 예상치 못한 다음 문제는 어디에서 나올까? 이에 대비하기 위해 우리는 무엇을 해야할까?
경기침체가 오면 해킹이 기승을 부린다? 미국의 경제학자들이 오는 2023년, 경기침체를 예측하고 있는 가운데 경제 불확실성이 사이버 범죄의 기승을 가져올 것이란 분석이다. 사이버 공격의 주요 동기는 '금전적 이득'이기 때문이다. 경기가 좋을 때보다 불황일 때 사이버 범죄가 늘어나는 추세를 나타냈다. 해킹을 통해서라도 수익을 유지해야 겠다는 집단이 나타난다. 불황이 오면 비용 절감을 위해 '디지털'과 '자동화'에 의존하게 되는 현상도 사이버 범죄 증가의 원인이 된다. 기업과 조직, 공공 등은 디지털 전환에 가속을 내고 있는데 디지털로 전환된 업무와 서비스 등에서 초기 설계 당시 예측하지 못한 보안 취약점이 다수 발견되고 있다. 해커는 진화하는 디지털 인프라 속에서 보안 취약점을 찾아 내부로 진입하는데 집중한다. 조직 내부로 침투한 후 각종 데이터를 빼돌리고 암호화한 후 몸값도 요구하는 '랜섬웨어'는 2022년의 핵심 사이버 범죄 트렌드였다. 아예 서비스를 사용하지 못하게 파괴하는 공격도 지속되고 있는 상황이다. 2023년 어떤 사이버 보안 위협이 증가하게 될 것인가? 더밀크는 글로벌 사이버 보안 기업이 내놓은 전망 중 5가지 주요 위협을 정리했다.
FTX 사건으로 인해 암호화폐 거래자들의 보안에 대한 관심이 뜨겁다. FTX 붕괴로부터 자신의 디지털 자산을 보호하기 위해 암호화폐 ‘콜드 월렛(오프라인 상의 암호화폐 지갑으로 보안성이 뛰어나다)’ 저장 장치의 판매가 급증했다. 이는 많은 투자자들이 기존의 디지털 자산 보관 방식, ‘핫 월렛’에 대해 큰 신뢰를 잃었음을 보여준다.이번 사건을 계기로 가상자산에 대한 규제는 더욱 강화될 것으로 보인다. 미국 백안관에서도 앞으로 가상화폐에 신중한 규제가 필요할 것이라고 언급했다. 미국 증권거래위원회 위원장 역시 기존의 많은 암호화폐 업체들이 규제를 준수하지 않았다고 꼬집었다. 앞으로는 암호화폐 투자자들을 보호하기 위해 더 많은 규제들이 도입되고, 암호화폐 거래소와 플랫폼의 규정 준수에 대한 압력 또한 커질 것이다. 불법적인 암호화폐 활동을 파악하고 대응하는 보안기업들에 대한 관심이 어느 때보다 뜨겁다. 오늘 소개할 회사는 체이널리시스(Chainalysis). NYC에 기반을 둔 블록체인 데이터 플랫폼이다. 2014년 당시 세계 최대 암호화폐 거래소 마운트곡스(Mt.Gox) 해킹에 대한 공식 조사기관으로 설립되었다. 불법 암호화폐 활동을 차단하기 위한 암호화폐 조사 및 규정 준수 솔루션을 제공한다. 이 회사의 미션은 블록체인에 대한 신뢰를 구축해 고객이 더 적은 위험으로 더 많은 재정적 자유를 얻게 하는 것이다.체이널리시스는 현재 70개국 이상에 있는 정부기관, 거래소, 금융기관, 보험 및 사이버보안 회사에 서비스를 제공 중이다. 스퀘어(Square)와 같은 핀테크, 바클레이스(Barclays)와 같은 금융 기관, 비트페이(BitPay)와 같은 암호화폐 기업까지 다양한 분야의 기업들이 서비스를 이용하고 있다. 현재 체이널리시스에는 700명 이상이 일하고 있다.
낸시 펠로시 미 하원의장이 대만을 방문하면서 미•중 긴장이 고조됐다. 대만을 둘러싼 물리적 긴장감이 높아진 가운데 사이버 긴장감도 최고조에 달했다. 중국은 러시아를 능가하는 사이버 해킹 조직을 갖췄다. 러시아가 우크라이나를 침략하며 사이버전을 먼저 수행하고 미국 대선을 앞두고 첩보 활동을 벌이며 관심이 집중됐다. 러시아 해킹 조직과 견줄 수 있는 곳이 바로 중국이다. 사이버 보안 기업 크라우드스트라이트(CrowdStrike)에 따르면 2020년 중반부터 2021년 중반 사이 발생한 국가 지원 공격 중 중국이 배후로 추정되는 게 67%에 달한다. 러시아 지원 공격은 1%에 불과 하다. 주요 대만 웹사이트는 8월 3일 펠로시 하원 의장이 도착하기 직전에 사이버 공격을 받기도 했다. 대만 차이잉원 총통, 국방부, 외교부, 타이완 타오위안 국제공항 등 최소 4개 웹사이트에 분산서비스거부(DDoS) 공격이 발생했다. 대만 세븐일레븐 편의점 일부 지점 모니터에서 "전쟁광 펠로시, 대만에서 나가!"라는 문구가 표시되는 사이버 공격이 발생했다. 대만 정부는 중국을 직접 비난하지 않았지만 사이트 운영을 마비시킨 공격이 중국과 러시아 IP에서 시작됐다고 밝혔다.
사이버 공격자는 새로운 보안 취약점 CVE 공개 후 15분 이내 해킹을 시도하는 것으로 드러났다. 보안 담당자가 취약점 업데이트를 할 시간도 없이 바로 해킹 위험에 노출된다. 공개된 보안 취약점을 업데이트할 시간은 수분 이내로 매우 짧다. 팔로알토네트웍스(티커: PANW)의 위협인텔리전스팀 유닛42가 내놓은 '침해사고대응리포트'에 따르면 해커는 취약점이 공개됨과 동시에 사이버 공격을 시작한다. 해커는 기업에 침투하기 위해 새로운 취약점 발표를 지속적으로 모니터링 한다. CVE(Common Vunlerabiliteis and Exposure)는 정보 보안 취약점 표준 코드다. 보안업계는 공개적으로 취약점을 공지하고 패치를 올린다. 보안담당자들이 취약점을 빨리 인식하고 업데이트하게 할 목적으로 만들었다. CVE는 보안 담당자는 물론 해커에게도 많은 정보를 준다. 해커는 힘들여 보안 취약점을 찾을 필요 없이 CVE를 통해 패치가 없는 제로데이 정보를 얻는다. 해커는 기업이나 기관 담당자가 패치를 하기 전에 CVE를 악용해 침투를 감행한다.
미국 바이든 행정부가 사이버 보안 인재 부족을 '국가 안보 과제'로 보고 있다. 러시아는 우크라이나를 침략하며 사이버전을 먼저 시작했다. 러시아는 우크라이나를 지원하는 서방 세계에 물리적 타격이 아닌 사이버 공격을 감행했다. 미국 주요 기반 시설에 사이버 공격을 시도했다. 이미 미국은 여러번 러시아발 해킹 공격을 받았다. 2015년과 2016년 민주당 전국위원회 네트워크 침투 사고가 있었다. 미 상원정보위원회는 2019년 러시아가 당시 대통령 후보였던 도널드 트럼프를 지지하기 위해 2016년 50개 주 선거 시스템을 표적으로 삼았다고 밝혔다. 바이든 정부 취임 직전에는 미 연방 기관을 표적한 러시아발 공격이 감지됐다. 미국 네트워크 솔루션 기업 솔라윈즈 취약점을 이용한 공급망 공격이었다. 올 2월 러시아가 우크라이나를 침공한 이후, 연방 기관은 미국 기업에 대한 잠재적 사이버 공격 경고를 내렸다. 연방수사국(FBI)는 3월 러시아 해커가 5개 미국 에너지 기업의 네트워크를 스캔했다고 밝혔다. 바이든 정부는 사이버 보안을 핵심 국정과제로 삼고 이에 대한 대비책 마련에 집중하고 있다.
