사이버보안 개선을 위한 수많은 예산과 자원 투입에도 불구하고 작년 한 해 동안 미국 연방기관이 당한 사고 수는 한자릿수가 증가한 것으로 밝혀졌다.
美 예산관리국(OMB)이 의회에 제출한 연방정보보안법(FISMA) 보고서(3.18 발행)에 의하면 2015회계연도(2014.10 ~ 2015.9) 동안 연방기관은 총 77,183건의 사이버 사고를 당했으며 이는 2014년도에 비해 10% 증가한 숫자다. 연방기관이 직면한 보안 위협은 보안 침해에서 공격 시도, 포트 스캔에 이르기까지 다양했다고 보고서는 전했다.
작년 미국 연방인사관리처(OPM) 전산망에 대한 해킹 공격으로 미국 연방정부 공무원과 시민 2,150만명의 개인정보가 도난당한 사고가 발생하자 미국 연방최고정보책임자 토니 스캇은 연방기관들에게 보안을 점검하고, 30일 이내에 진행사항과 문제점을 보고할 것을 지시했다. “30일 사이버보안 스프린트”라 불리는 이 작전은 다음 4단계로 진행되었다.
- 치명적인 취약점 즉각 패치
- 사용자 권한 최소화
- 다단계 인증 사용
- 시스템 스캔, 로그 확인해 사이버보안지표 적용
보고서는 치명적인 취약점은 2015.12월 기준 363개의 보안 취약점 중 99%가 해결되었다고 전했다.
다단계 인증이란 스마트카드 사용을 말한다. 미국 정부는 연방 네트워크에 접속할 때 로그인과 스마트카드 병행 사용을 권장하고 있다. 보고서는 연방기관들의 스마트카드 이용 비율이 사이버 스프린트 기간 동안 42%에서 72%로 증가했으며,2015.11.16일 기준 81%가 스마트 카드를 사용하고 있다고 전했다.
보고서는 또한 EINSTEIN과 CDM 현황도 전했다. EINSTEIN과 CDM은 연방기관 사이버보안 강화를 위한 보안 툴로, EINSTEIN은 공격자가 네트워크에 침입하는 것을 막기 위한 전면 방어(Perimeter Defence)를, CDM은 설사 공격자가 전면 방어를 뚫고 침입하더라도 익스플로잇할 수 있는 취약점이 없도록 시스템 내부를 상시 모니터링하는 기능을 제공한다.
EINSTEIN은 현재 3단계로 개발되고 있다. EINSTEIN 1과 2는 비정상적인 네트워크 트래픽 패턴을 식별하고 악성 트래픽을 탐지하는 기능을 제공하고, EINSTEIN 3 Accelerated(E3A)는 알려진 악성 트래픽을 차단하는 기능을 제공하며, 현재 연방 정부 웹호스팅 ISP 시스템에 설치되어 사용되고 있다. 미국 회계감사원(GAO)은 지난 번 감사를 통해 EINSTEIN에 지금까지 60억 달러나 투입되었음에도 불구하고 웹 트래픽을 탐지하는 기능이 없다고 지적한 바 있다. 보고서는 현재 연방기관의 49%에 EINSTEIN 3을 보급해 110만명이 사용하고 있다고 전했다.
CDM은 DHS가 직접 개발하는 대신 민간업체로부터 개별적인 툴들을 일괄구매해 연방기관에 공급하는 방식으로 진행하고 있으며 기능별로 3단계로 추진 중이다. 1단계는 기관 컴퓨터에서 취약점 식별, 2단계는 허가받지 않은 사용자 탐지, 3단계는 기관 내부 네트워크에서 의심스러운 활동 식별이다. 현재 1단계는 개발이 완성되었고, 2단계는 2016 회계연도 동안 기관들에 적용할 계획이다.
보고서는 이밖에도 US-CERT에 신고된 연방 기관 사고 분석, FedRAMP, 기관들의 사이버보안 성과, 주요 정책 및 가이드라인, 감사 결과, 사이버보안 국가행동계획(CNAP)에 관한 내용을 담고 있다.
CNAP는 연방정부의 내부 정보보안 개선을 위하여 백악관이 2월 발표한 사이버보안 액션 플랜으로 다음 5가지 목표를 잡고 있다.
- 가치가 높은 자산/정보 식별 및 보호
- 사이버 사고에 대한 신속 탐지 대응
- 사고 발생 시 신속한 복구, 사이버보안 스프린트 평가를 통해 배운 교훈 활용
- 재능있는 사이버보안 인력 확보
- 신기술 적용
오바마 대통령은 의회에 제출한 4조1000억달러 규모의 2017회계연도 세출예산안 중 사이버보안 예산을 전년도보다 35% 증액된 190억달러를 요구했다.
OMB 보고서는 연방정부 기관은 여전히 보안 개선이 필요하다고 지적했고, 정부의 노력에도 불구하고 공격자들은 여전히 연방 시스템에 불법 접속, 침입하고 있고, 사고와 피해가 증가한 만큼 사이버보안이 전략적 우선 순위가 되어야 한다고 강조했다.
출처: FISMA 보고서(PDF)
