고대와 현대의 트로이 목마

고대 지중해에서 도시국가 그리스와 트로이 간에 전쟁이 발발했다. 10년간 이어지던 전쟁은 그리스군의 계책으로 마무리됐다. 성 밖에 목마를 두고 철수하는 척한 것이다. 트로이는 이 목마를 전리품이라고 생각해 성안에 들였으나 그날 밤 목마 안에서 그리스 군대가 나와 트로이군을 전멸시킨다.

현대 사이버공간에서도 비슷한 전쟁이 진행 중이다. 2015년 애플사는 사용하던 서버에서 일어난 이상반응의 원인을 찾다가 스파이칩을 발견한다. 현대판 트로이 목마인 스파이칩은 외부의 적이 사이버공간인 통신망을 통해 내부에 침투할 수 있게 해 준다. 이 서버는 대만계 업체인 슈퍼마이크로사가 납품했고 서버 메인보드는 전량 중국의 하도급 업체에서 조립됐는데, 중국 정부 산하 조직이 메인보드에 스파이칩을 심은 것으로 알려졌다. 이후 애플은 7000여 개의 서버를 모두 교체했다. 중국 화웨이사가 만든 가전제품에서도 무선네트워크(WiFi) 기능이 있는 도청장치가 발견된 사례도 있다. 소프트웨어에도 악성코드를 심을 수 있는데, 이를 ‘트로이 목마’ 바이러스라고 부른다.


무기체계의 사이버보안

최근 우리나라는 무인화·지능화 국방과학기술에 대거 투자해 최첨단 무기체계를 개발하고 있다. 그러나 아무리 좋은 무기체계를 갖춰도 사이버공간을 통한 은밀한 공격을 막지 못한다면 전쟁에서 패배한다. 우크라이나-러시아 전쟁도 사이버전이 함께 진행되는 하이브리드 전쟁임은 잘 알려진 사실이다.

네트워크화된 무기체계는 사이버공격에 취약하다. 내부에서 자체 개발하는 기능엔 사이버보안 기술을 적용해야 하고 외부에서 조달하는 부품에 대해서는 신뢰할 수 있는 방산 공급망을 구축해야 한다. 미국은 사이버공격에 안전한 무기체계를 개발하기 위해 무기체계의 소요기획 단계부터 설계, 구현, 시험 평가, 운용 및 폐기까지 총 수명주기에서 사이버보안 관리 및 평가를 하는 RMF(Risk Management Framework) 제도를 운용하고 있다. 국방 사이버보안의 최근 정책 동향을 소개한다.


우리 군의 CRF 동향

우리 군은 ‘사이버보안 위험관리 제도(CRF·Cybersecurity Risk management Framework)’를 연구하고 단계적으로 도입할 예정이다. CRF는 미국의 RMF를 벤치마킹해 준비하던 ‘K-RMF(한국형 사이버보안 제도)’로 용어 혼동을 막기 위해 최근 명칭을 변경했다.

미군은 1990년대 후반부터 군 정보시스템의 보안성 관리·평가체계를 적용해 왔으며 2014년부터 미국 정부 표준을 기반으로 국방 분야에 RMF를 적용하고 있다. 2019년에는 미군 시스템과 연동하는 동맹국 무기·정보체계에도 RMF를 적용하는 정책을 결정, 한미 연동체계에도 RMF를 적용한 보안성 검증을 요구했다. 현재 우리 군은 한미 연동체계에 적용 가능한 사이버보안 공동지침을 미국과 작성하고 보안성 평가는 자국 제도를 이용해 실시한 뒤 결과를 공유하는 방안을 추진 중이다.

CRF의 전면 시행에 앞서 국방부 및 육·해·공군은 연합지휘통제체계(AKJCCS), 전구통합화력체계(JFOS-K), 해군지휘통제체계(KNCCS), 한국군 연동통제소(KICC) 등에 시범 적용하면서 관련 훈령 개정 등 제도를 정비하고 있다. 지금은 연합체계를 위주로 보안성 평가에 적용하고 있지만 오는 2024년부터는 신규 개발되는 무기체계와 전력지원체계에도 총 수명주기에 적용해 나갈 예정이다. 국방 연구개발 절차에 CRF가 적용되는 만큼 방위사업청과 방산업체도 이에 대한 대비가 필요하다.

이해를 돕기 위해 간단히 소개하면 CRF는 소요기획 단계부터 운용 및 폐기의 수명주기에 걸쳐 6단계로 수행된다. ①시스템 분류 ②보안통제항목 선정 ③보안통제항목 구현 ④보안통제항목 평가 ⑤시스템 인가 ⑥모니터링이 그것이며, 국방획득체계에 이를 나타내면 도표와 같다.

1단계인 시스템 분류는 소요기획/선행연구 단계에서 수행되며 대상 시스템의 정보 유형을 정의하고 보안목표와 수준을 설정한다. 소요기관이 분류하고 합동참모본부·국방부가 결정하게 된다. 확정된 내용은 제안요청서에 요구사항으로 반영한다. 방위사업청 등의 사업기관이 수행하는 2~3단계에서는 보안계획서를 작성한다. 2단계인 보안통제항목 선정은 1단계에서 설정한 보안목표와 수준에 부합한 보안통제항목을 선정한다. 보안통제항목은 접근통제, 감사와 책임성, 형상 관리, 식별 및 인증, 보안사고 대응, 매체 보호, 인원 보안, 시스템 및 통신 보호, 사업 관리 등의 18개 분야에 총 761개가 있으며 기술적 항목과 운용 관리적 항목으로 나눌 수 있다. 이 중에서 대상 시스템의 보안목표와 수준에 맞는 항목을 선정한다. 3단계인 보안통제항목 구현은 선정된 기술적 항목을 대상 시스템에 구현하고 운용 관리적 항목을 조직에서 수행하는 단계다.

4단계인 보안통제항목 평가는 대상 시스템에 구현된 내용의 적절성을 평가하며 운용 관리 분야도 수행의 적절성을 평가한다. 평가팀은 획득체계에 따라 구성된다. 5단계인 시스템 인가는 보안통제항목 평가 결과를 바탕으로 위험 평가를 시행하고 운영 인가를 발급한다. 시험 평가 단계에서 합참에서 임시로 인가를 결정하고 최초 배치 시 소요군에서 최종 인가를 결정한다. 6단계인 모니터링 단계에서는 운용 유지 중에 시스템 보안 수준이 유지되는지를 모니터링한다. 정기·수시 보안측정, 기관 평가 등을 활용한다.


안티탬퍼(anti-tamper) 동향

안티탬퍼는 무기체계에 구현된 핵심 기술을 탈취하기 위한 역공학에 대응하는 보안기술이다. 주로 정보기술(IT) 하드웨어와 소프트웨어 역공학과 관련된 사이버보안의 한 분야다. 최근 우리의 국방과학기술 수준이 세계 9위로 평가되는 등 일부 기술은 선진권에 이르면서 무기체계 수출 시 수입국이 역공학을 통해 우리 핵심 기술을 탈취하지 못하도록 하는 안티탬퍼 기술 적용이 필요해졌다.

미국은 RMF와 마찬가지로 무기체계의 소요기획 단계부터 안티탬퍼 적용을 검토하고 연구개발 단계에서 적절한 안티탬퍼 기술을 선정·구현하고 있다. 연구개발 단계에서는 무기체계의 임무 분석부터 시스템 설계, 구성품 설계 과정을 통해 핵심 기술과 구성품을 식별하고 비용·일정·성능 등을 종합적으로 검토하면서 안티탬퍼 기술을 구현하고 있다.

우리나라도 최근 일부 무기체계에 안티탬퍼 적용을 시작하고 있으나 CRF와 같은 표준 절차 및 관련 법령이 부재하다. 또한 산발적인 안티탬퍼 기술 개발이 시작되고 있으나 무기체계에 공통적으로 적용할 안티탬퍼 기술의 표준화가 필요하다.

이상으로 국방 사이버보안 분야의 최근 중요 정책과 동향을 살펴봤다. 아직은 방산업체를 위한 정부 지원정책이 미흡한데 CRF·안티탬퍼와 관련해 업체가 사용할 지침과 무기체계에 공통 적용할 기술 표준화 연구가 필요하다. 방산업체에는 사이버보안 전문인력이 매우 부족하므로 대학 등에 전문교육 과정 개설을 지원하는 것도 필요해 보인다.