제로데이 위협이 자동차로 확산되고 있는 것일까?

00:00 차량 사이버 보안 개요

오늘 ‘ The Garage ’에서는 AutoTech Detroit 현장에서 VicOne과 함께 생방송을 진행하고 있습니다. VicOne은 사이버 보안 분야의 선두 기업인 트렌드마이크로의 자동차 부문 자회사입니다. 오늘 진행되는 차량 사이버 보안 마스터 클래스에서는 차량을 겨냥한 사이버 보안 위협의 본질과, SDV(소프트웨어 정의 차량)가 사이버 위협 환경을 어떻게 개선할 수 있는지에 대해 이야기해 보겠습니다. 또한 VicOne과 트렌드마이크로가 기업들이 자사 제품 및 차량에 대한 제로데이 위협을 탐지할 수 있도록 지원하는 매우 독창적인 프로그램들에 대해 논의하고, 심지어 ‘ AI ’가 사이버 보안 분야에서 양날의 검이 될 수 있는 이유에 대해서도 다룹니다.

가자.

00:45 게스트 소개

The Garage 에 오신 것을 환영합니다. 저는 Sonatus 의 최고마케팅책임자(CMO)인 존 하인라인입니다. 현재 디트로이트에서 열리는 AutoTech 행사장에서 생방송을 진행 중이며, 오늘의 게스트는 VicOne의 윌리엄 달튼입니다.

윌리, ‘ the garage ’에 오신 것을 환영합니다. 이곳에 오게 되어 정말 기쁩니다. 여러분을 만나뵙게 되어 무척 기쁘고, 팟캐스트에 출연해 주셔서 감사합니다. 먼저 자기소개를 해 주시겠어요?

자신에 대해 그리고 배경에 대해 이야기해 주세요. 네. 제 이름은 윌리엄 달튼입니다. 이번 주 오토테크에 오게 되어 정말 기쁘고, 여러분과 이야기를 나눌 수 있어 기쁩니다.

제 경력은 꽤 다양합니다. 처음에는 엔지니어이자 소프트웨어 프로그래머로 경력을 시작했습니다. 계약 전자 제조 분야에서 7년 동안 그 일을 했습니다. 그리고 그 기간 동안 저희는 제조 제어 시스템을 구축했습니다.

그리고 2004년에 트렌드마이크로에 데이터베이스 관리자로 입사했습니다. 글쎄요, 이제 거의 20년이 넘었네요. 네. 20년이 넘었죠.

그리고 거의 매년 혹은 2년마다, 저는 어떤 형태로든 역할을 바꿔왔습니다. 처음에는 엔지니어링 분야에서 시작해 기술 관리직으로 넘어갔고, VicOne에서 현재 CEO인 맥스 청(Max Cheng)과 함께 글로벌 프로젝트를 진행하기도 했습니다. 그리고 지난 20년 동안 2년마다 기술직에서 운영직, 비즈니스 직책으로 역할을 바꿔왔습니다. 그리고 2년 반 전, 트렌드마이크로의 자회사인 VicOne에서 맥스와 함께 일할 기회를 얻게 되었는데, 이곳은 자동차 부문의 문제 해결에 주력하는 회사입니다.

정말 좋네요. VicOne에 대해서는 잠시 후에 더 자세히 이야기하겠지만, 먼저 당신에 관한 재미있는 일화를 하나 들려주셔야 해요. 네, 물론이죠. 딱히 재미있는 건 아니지만요.

요즘은 많은 사람들이 그렇게 하는 것 같지만, 저도 직접 맥주를 양조하곤 합니다. 아일랜드 사람이라면 별로 이상한 일은 아니겠죠. 하지만 저는 제 펍을 운영하고 있고, 실제로 업사이클링을 실천하고 있습니다. 그래서 버려야 할 물건이 생길 때마다 그걸 활용할 방법을 찾으려고 노력하죠. 그리고 수년 동안 펍에 어울리는 다양한 소품들을 모아두었습니다.

어떤 건 침대고, 어떤 건 낡은 가구 조각이기도 해요. 그리고 이건… 어떤 면에서는 좀 어울리지 않는 것들의 모음집이죠. 그리고 저는 친구들을 자주 집으로 초대해요.

그래서 결과적으로, 맥주를 더 저렴하게 만들 수 있는 방법을 찾아야 했고, 화젯거리가 될 만한 것도 필요했으며, 그 과정에서 실제로 무언가를 배울 수 있기를 바랐습니다. 네, 저에 대한 재미있는 사실 하나를 알려드렸네요. 방금 그에 대한 사진을 보여주셨는데, ‘업사이클링’에 대해 말씀하실 때 사람들은 잘 실감하지 못하는 것 같아요. 하지만 사진을 공유해 주시면, 청취자분들이 직접 볼 수 있도록 에피소드에 포함시켜 드리겠습니다.

정말 훌륭한 목공 솜씨로 만들어진, 누구나 부러워할 만한 아름다운 공간이에요. 올해 초에 이 재미있는 일화에 대한 이야기를 한 번 공유한 적이 있지만, 다시 한번 꺼내야겠네요. 바로 수년 전 미국 오리건주에서 일할 때 맥주 양조법을 배웠다는 사실이에요. 그래서 꽤 오랫동안 집에서 맥주를 직접 양조해 먹었는데, 과학적인 요소가 조금 들어가서 정말 재미있더라고요. 그렇죠?

실수가 정말 많아요. 네. 실수가 정말 많죠. 양조와 증류(대부분의 지역에서 불법이지만)를 비교했을 때 양조의 좋은 점은, 증류와 달리 목숨을 잃을 위험이 없다는 거예요.

그냥 맛이 별로일 거야. 맛이 별로일 거야. 그래. 증류할 때, 만약 실수하면 목숨을 잃을 수도 있어… 내 친구들은 아직 살아 있어.

맞아요. 하지만 몇 번은 꽤 힘든 연습 시간이 있었죠.

정말 좋아요. 정말 좋아요.

03:49 VicOne의 배경

좋아요. 그럼 VicOne에 대해, 회사의 설립 배경과 주로 어떤 분야에 주력하고 있는지 말씀해 주세요.

VicOne은 2022년 5월에 법인으로 설립되었지만, 그 배경에는 트렌드마이크로가 자동차 분야에서 수년간 진행해 온 연구가 있습니다. 그리고 연구 결과 중 하나는, 아시다시피 2017년 이 연구를 시작했을 당시, 특히 SDV의 등장, 전기화, 규제 변화와 관련된 사이버 보안 과제를 고려했을 때, 자동차 분야의 사이버 보안 문제를 해결하는 방식이 기업 분야와는 매우 다르다는 점을 깨달았다는 것입니다. 맞습니다. 이에 트렌드마이크로는 해당 분야에 투자하여, 다른 속도로 운영되고, 고객과의 관여 수준이 다르며, 실제로는 다른 제품군을 제공하는 별도의 회사를 설립하기로 의도적으로 결정했습니다.

그래서 저희는 다양한 고객 프로필을 대상으로 개념 검증(PoC)과 가치 검증(PoV)을 진행하며, 철저한 시장 분석을 바탕으로 자동차 업계에 바로 적용 가능한 일련의 솔루션을 구축했습니다. 그리고 2022년 5월에 이를 출시했습니다. 그 기간 동안 고객 요구에 맞춰 제품을 변경하고 개선해 나감으로써 놀라운 성장을 이룰 수 있었습니다. 왜냐하면 이 과정에는 항상 공동 설계(co-design)의 요소가 포함되어 있기 때문입니다.

물론입니다. 해당 기능이 차량에 내장되어 있든, 차량 외부에 위치해 있든, 또는 공정이나 당사의 운영 관행, 혹은 귀사의 규제 요건이나 요구 사항과 통합되어 있든 상관없이 말입니다. 따라서 일반적으로 매우 맞춤형 접근 방식을 취하고 있습니다. 또한, 이러한 제품들을 시장에 출시하는 과정에서 우리는 수많은 파트너십을 맺어왔습니다.

아시다시피, SDV 분야부터 온보드 및 오프보드 시스템에 이르기까지 모든 분야를 아우를 뿐만 아니라, 고객의 요구에 따라 다양한 기능을 제공하는 솔루션 및 솔루션 제공업체까지 포함합니다. 정말 즐겁고도 빠른 속도로 달려온 여정이었죠. 맞아요. 그리고 지금까지 고객의 문제를 파악하고 해결해 나가는 과정은 매우 흥미로운 여정이었습니다.

정말 좋네요.

05:42 소프트웨어 정의 차량으로의 전환

그래서, 아시다시피 저희는 이 팟캐스트에서 SDV와 차량용 소프트웨어에 대해 자주 이야기하죠. 고객이나 업계 관계자들과 이야기를 나눠보면, 소프트웨어가 늘어나면 공격 대상이 더 많아질 것이라는 우려 때문에 SDV로 전환하는 데 어느 정도 주저하는 모습을 보이기도 합니다. 제 생각에도 그 말이 맞는 것 같습니다.

SDV로의 전환과 사이버 보안에 대해 어떻게 생각하시나요? 어차피 일어날 일입니다. 기업 분야에서도 이미 그런 추세를 목격해 왔습니다. 소프트웨어 정의 네트워킹(SDN), 소프트웨어 정의 WAN(SD-WAN), 소프트웨어 정의 데이터 센터(SDDC), 소프트웨어 정의 스토리지(SD-Storage) 등이 그 예입니다.

모든 것이 소프트웨어 정의 방식으로 바뀌고 있습니다. 소프트웨어가 모든 것을 집어삼키고 있죠. 그 이유는 분명합니다. 소프트웨어 제공 주기, 제공 방식, 업데이트 빈도, 그리고 제품을 안전하게 유지하거나 기능을 추가하고 합리적인 비용 구조를 구축하기 위한 반복 과정 등에서 엄청난 효율성을 가져다주기 때문입니다. 따라서 사용 사례 측면에서 보면 매우 일시적인 성격을 띱니다.

그렇죠? 그러니까 그 당시 필요한 것이 무엇인지에 따라, 그 요구 사항을 유지하거나 충족시키는 데 필요한 자원을 활용하게 되는 겁니다. 따라서 여러모로 훨씬 더 비용 효율적이에요. 그러니 이런 방식은 자연스럽게 자리 잡게 될 겁니다.

그리고 지금 보시는 것처럼, 전기차 분야에서는 변경 사항을 반영하기 위해 정기적인 소프트웨어 업데이트가 필요합니다. 사실 이러한 아키텍처의 변화 덕분에 차량이 생산된 후에도 새로운 변경 사항을 차량에 적용할 수 있게 되었습니다. 이를 위해서는 기존의 소프트웨어 제공 방식, 즉 소프트웨어와 하드웨어가 밀접하게 결합된 방식에서 근본적인 전환이 필요합니다. 이 경우, 실제로 독립적으로 작동하는 많은 소프트웨어를 추상화하고, 하드웨어에 대한 추상화 계층을 갖게 됩니다.

따라서 이는 자동차 제조사뿐만 아니라 소비자들에게도 막대한 이점을 제공하며, 바로 이것이 소비자들이 요구하게 될 것입니다. 따라서 이는 소비자 주도적으로 진행될 것입니다. 업데이트 기능에 대해 언급하신 점은 정말 흥미로운데요, 가장 유명한 차량 해킹 사례들, 예를 들어 지프 체로키 해킹 사건 등을 생각해보면, 많은 분들이 이러한 사례들을 잘 알고 계실 텐데, 이 차량들은 소프트웨어 정의 차량이 아닙니다.

그건 기존 차량들이죠. 그래서 사람들은 “아, 이런. 소프트웨어 정의 차량을 만들면 해킹당할 거야.”라고 말하죠. 글쎄요, 기존 차량도 해킹당할 수는 있지만, 소프트웨어 정의가 아닌 차량의 문제를 해결하는 건 훨씬 더 어렵습니다.

소프트웨어 정의 차량(SDV)을 활용하면 개선이 가능합니다. 패치를 적용할 수도 있고, 위협에 훨씬 더 신속하게 대응할 수도 있습니다. 따라서 일부 사람들이 SDV의 공격 표면이 잠재적으로 확대될 수는 있지만, 동시에 공격에 더 빠르게 대응할 수 있는 능력도 향상된다는 점을 간과하고 있는 것 같습니다.

그건 귀사에서 하는 일 중 하나입니다.

맞습니다.

08:08 소프트웨어 정의 차량(SDV)의 사이버 보안

네. 제 말은, 저희가 CES에서 한 파트너사와 함께 성공적으로 시연한 적이 있는데, 그 파트너사는 실제로… 플래시를 원격으로 업데이트할 수 있었죠.

그 차량… 그리고 사실, 위험을 사전에 완화할 수도 있죠. 그러니까, 아시다시피 이건, 이건 진짜예요. 그리고 다시 말씀하신 요점으로 돌아가자면, 아시다시피 기존 차량에서 발생하는 공격들은 기업 환경에서 목격되는 공격들과 동일한 유형입니다.

같은 유형의 취약점입니다. 우리가 흔히 접하는 것과 같은 유형의 문제들이죠. 그러니까 여전히 칩 수준에서 발생하는 문제이기도 하고, 소프트웨어 수준에서 발생하는 문제이기도 합니다.

패치가 적용되지 않은 시스템일 뿐만 아니라, 접근 관리도 제대로 이루어지지 않고 있습니다. 따라서 기업 분야에서 볼 수 있는 것과 동일한 유형의 문제가 사실 자동차 분야에서도 나타나고 있습니다. 그리고 이는 소프트웨어 정의 방식이든 기존 방식이든 상관없이 마찬가지입니다. 알겠습니다.

알겠습니다.

08:59 사이버 보안 솔루션 구축

그럼 이제 솔루션을 배포할 때, 클라우드에 배포되나요, 차량에 배포되나요, 아니면 둘 다인가요? 이에 대해 설명해 주세요. 그러니까 전반적으로 다양한 방식으로 배포되는군요.

그래서 저희는 온보드와 오프보드를 모두 처리합니다. 그리고 저희는 이것이 정말로 필요하다고 생각합니다. 왜냐하면 오프로드만 처리한다면, 차량이 클라우드와 연결이 끊어진 시점을 의미하게 되는데, 이는 공격 시 발생할 수 있는 상황입니다. 공격자들이 취할 수 있는 단계 중 하나이기 때문이죠. 그렇게 되면 제어권을 상실하게 됩니다. 반면, 차량에 솔루션을 내장함으로써 실제로 어느 정도의 제어권을 유지하여 이러한 공격을 완화할 수 있습니다. 따라서 저희는 IDS 솔루션을 갖추고 있습니다.

우리는 이것을 ‘xCarbon’이라고 부릅니다. IDS는 침입 탐지 시스템입니다. 침입 탐지. 사실 IDPS죠. 좋네요. 침입 탐지 및 방지 메커니즘입니다.

좋습니다. 저희는 트렌드(Trend)에서 가져온 기술을 보유하고 있습니다. 앞서 언급했듯이, 트렌드에서 분사할 때 가져온 세 가지 핵심 요소는 바로 지적 재산권(IP), 인재, 그리고 전략적 재정적 독립성이었습니다. 그 지적 재산권 중 하나가 바로 IDPS 기술로, 이 기술은 수년 동안 기업 데이터 센터에서 운영되어 왔습니다.

그리고 이것은 실제로 와이어프레임, 인라인 보호, 모든 패킷에 대한 심층 패킷 검사(DPI)로, 업계 최대 규모의 다국적 기업은 물론 자동차 제조사들의 데이터 센터를 위해 모든 패킷을 검사하는 기술입니다. 데이터 센터에서 당사의 IDPS 기술을 사용하는 상위 10대 자동차 제조사 중 8곳을 차지한 것으로 알고 있습니다. 이 기술은 수년 동안 운영되어 왔으며, 그중 일부를 차량에 적용했습니다. 따라서 네트워크 계층이나 CAN 계층에서 조치를 취하거나 호스트 수준을 살펴보고자 할 때, 차량 내에서 발생하는 다양한 유형의 공격을 실제로 파악할 수 있습니다.

따라서 비정상적인 행동을 관찰하거나, 차량 내에서 발생하는 다양한 신호를 분석하여 위협 행위자들이 적용한 다양한 TTP(도구, 기법, 전술)를 식별한다면, 실제로 차량 내에서 이를 완화하고 차단할 수 있습니다. 따라서 때로는 차량 내에서 결정을 내리는 것이 타당할 수도 있지만, 때로는 차량 외부에서 결정을 내리는 것이 타당할 수도 있습니다. 따라서 여러 대의 차량을 대상으로 한 공격과 관련된 거시적인 상황을 파악하고자 한다면, 단일 차량만으로는 이를 수행할 수 없습니다. 맞습니다.

따라서 이 두 가지를 결합해야 합니다. 그리고 앞서 말씀드렸듯이, 차량 내에 침입 탐지 메커니즘이 있어 이러한 사건을 보고하고 외부로 전송합니다. 또한 IDPS를 통해 차량 내에서 직접 해당 결정을 내릴 수도 있습니다. 또한, 별도의 소프트웨어 테스트 및 검증 과정을 거치지 않고도 차량에 규칙 세트나 패치를 적용할 수 있는 기능도 갖추고 있습니다.

사실 문제가 실제로 발생하기 전에 이를 완화할 수 있습니다. 원하신다면 이를 ‘반창고식’ 해결책이라고 부르기도 하죠. 즉, 반창고를 붙여두는 것처럼, 실제 테스트와 검증 과정을 진행할 수 있는 충분한 시간을 확보하는 겁니다. 맞습니다. 임시 완화 방안이죠.

맞습니다. 그리고 차량 외부 측면에서는, 다시 말해 거시적인 수준의 의사결정을 검토해야 할 경우, 일반적으로 차량에서 전송되는 텔레메트리 데이터를 수신하는 당사의 차량용 SOC인 xNexus를 통해 처리됩니다. 이 시스템은 다양한 신호를 모두 수신할 수 있지만, 일반적으로 저희는 필요한 정보만 전송합니다.

그래서 현재 OEM 업체들이 직면한 과제 중 하나는, 모든 정보를 외부 시스템으로 전송해야 한다는 점입니다. 이는 막대한 비용이 드는 작업인데, 기본적으로 모든 데이터를 전송한 뒤 외부 시스템에서 ‘ AI ’ 모델링을 활용해 노이즈를 파악해야 하기 때문입니다. 반면 저희는 이 과정을 온보드에서 처리합니다. 맞습니다. 그리고 실제로는 관련 정보만 외부 시스템으로 전송합니다.

이를 통해 비용을 절감할 수 있을 뿐만 아니라, 실제로 해당 업무를 처리하는 분석가의 작업 시간도 단축됩니다. 또한, 여기에 당사의 위협 분석 역량을 더하면, 위협 환경에 대한 방대한 노하우를 바탕으로 이를 솔루션에 직접 반영합니다. 따라서 위협 정보를 중첩하여 적용하게 됩니다. 즉, 실제 현장에서 발생하는 상황을 반영하는 것입니다.

일부 위협 행위자들이 악의적인 활동을 벌이고 있습니다. 저희는 이를 차량 데이터 및 취약점 관리 시스템에서 제공하는 정보와 결합하여 분석합니다. 따라서 공급망을 살펴볼 때, 자산은 차량 아키텍처에 해당합니다. 그런 다음 해당 자산에 대한 위협과 차량에서 확인된 정보를 교차 분석함으로써, 전반적으로 어떤 상황이 전개되고 있는지 전체적인 그림을 파악할 수 있습니다.

그러면 우리는 그러한 상황에 대비해 적절한 대응 체계를 마련할 수 있습니다. 그리고 그 정보를 VSOC 분석가에게 전달하면, 분석가가 이를 정리하여 PSIRT 팀에 인계하고, PSIRT 팀은 기본적으로 해당 문제를 완화하고 실질적인 장기적인 해결책을 마련하게 됩니다. 그게 기본적으로 우리가 진행하는 방식입니다. 참고로, VSOC는 차량 보안 운영 센터(Vehicle Security Operation Center)를 말하며, 보통 OEM에서 운영합니다. 네.

위협을 모니터링하는 사람 말이죠. 네. 차량용 SOC라고 할 수도 있고, 제품용 SOC라고 부를 수도 있죠. 음. 그래서 조직 내 어느 부서에 속하느냐에 따라, IT 부서에 더 가깝다면 보통 VSOC라고 부릅니다.

제품 보안 측면이라면, 일종의 제품 보안 운영 센터와 같은 것이었죠. 아니면 교차 탐지 대응 시스템이라고도 할 수 있겠네요. 맞아요. 기본적으로 여러 시스템에서 들어오는 다양한 정보를 수집한 다음, 이를 OEM 내부의 운영 프로세스와 통합하는 방식이죠. 정말 훌륭하네요.

이건 점점 사이버 보안에 관한 마스터 클래스가 되어가고 있군요. 정말 훌륭합니다. 이쯤에서 그만두겠습니다. 또한 EVSE 보호를 위한 솔루션도 마련되어 있습니다.

따라서 차량 충전은 또 다른 공격 경로라는 점을 우리는 알고 있습니다. 무선(OTA)을 통해서든, 차량 충전 시스템을 통해서든, 클라우드 백엔드를 통해서든, API 계층을 통해서든, IVI 시스템을 통해서든, 아니면 차량 자체를 통해서든, 공격 표면은 엄청나게 확대되었습니다. 게다가 수많은 신기술도 도입되고 있죠. 그렇죠?

그러니까 SDV와 그 과정에서 일어나는 추상화에 대해 이야기해 보겠습니다. 저희는 존 컨트롤러의 도메인 컨트롤러에 통합 아키텍처를 적용하고, 이를 통해 워크로드의 추상화와 분리 현상이 나타납니다. 맞습니다. 따라서 하이퍼바이저와 컨테이너 보안이 도입되는데, 이 모든 것이 추가적인 과제도 동반합니다.

그래서 제가 지금 차량 보안과 관련된 전통적인 과제들에 대해 이야기하는 것입니다. 바로 여기서 ‘퍼펙트 스톰’이 발생합니다. 하드웨어, 임베디드 소프트웨어와 같은 전통적인 요소들이 SDV(소프트웨어 정의 차량) 및 이를 구현하는 데 필요한 기술과 결합되는 것이죠. 그리고 이는 누군가가 활용하기에 더할 나위 없이 좋은 기회입니다.

14:55 사이버 보안 솔루션 통합

방금 말씀하신 대로, 때로는 클라우드에서 솔루션을 실행하고, 때로는 차량 내에서 실행하기도 한다고 하셨는데요. 잠시 차량 내 실행에 대해 이야기해 보겠습니다. 어떤 종류의 리소스를… 차량 내에서 정확히 어디에서 실행하시나요? 어떤 종류의 리소스를 사용하시나요? 따라서 OEM이든 1차 공급업체이든 상관없이, 어디에서 실행하는 것이 가장 적합한지에 대해 설계 논의를 진행하게 됩니다.

그러니 사실은 아키텍처에 따라 달라집니다. 아키텍처마다 제각각입니다. 일반적으로는 TCU에서 관련 기능을 볼 수 있고, ADAS 시스템이나 IVI 분야에서도 찾아볼 수 있습니다.

그래서 저희는 공급업체와 협력하여 이를 수행하는 가장 최적의 방법이 무엇인지 모색하게 됩니다. 보통 이 과정에는 꽤 시간이 걸리지만, 저희는 사전 통합을 위해 이미 몇몇 주요 칩 제조사들과 많은 파트너십을 구축해 놓은 상태입니다. 예를 들어, NXP의 경우를 들자면, 저희는 그들의 GoldBox 솔루션과 통합을 완료했습니다.

그리고 기본적으로, 이를 통해 1차 공급업체와 OEM 업체들이 일부 하드웨어 가속 기능을 도입하고 활용하는 데 걸리는 시간을 단축할 수 있습니다. 경우에 따라 통합 작업량이 실제로 줄어들기도 합니다. 일반적으로 이 과정은 저희에게 매우 신속하게 진행됩니다. 예를 들어, 새로운 아키텍처나 새로운 칩 제조사, 혹은 SoC를 도입해야 하는 상황에서도 2~3주 내에 완료할 수 있습니다.

정말 훌륭한 과정입니다. 그리고 물론, 그들과 협업할 때는 통합 과정에 시간이 조금 더 걸리긴 하지만, 검증 과정은 정말, 정말 빠릅니다. 네, 바로 그렇게 저희는 OEM 및 임베디드 분야와 협업하고 있습니다. 아, 질문 중 일부를 놓쳤네요…

문제는 자원입니다. 아, 맞아요. 알겠습니다. 저희는 환경적 영향을 매우 적게 미칩니다. 이것이 바로 이 분야의 다른 경쟁사들과 비교했을 때 저희만의 차별화된 강점 중 하나입니다.

저희는 해당 워크로드를 실행하는 데 정말로 최소한의 리소스만 사용하며, 이를 통해 해당 애플리케이션에서 워크로드를 실행할 수 있습니다. 하지만 칩의 일부 하드웨어 기능과도 통합될 수 있습니다. 다시 말해, NXP를 예로 들어보겠습니다. NXP에 NPU가 있다고 가정해 봅시다. 실제로 NPU가 있죠.

그리고, 예를 들어 패킷 검사 같은 작업을 와이어 속도로 수행하고 싶다면, 그 내부의 메모리 공간 일부를 활용하여 실제로 빠른 속도로 처리할 수 있는 기능이 있습니다. 일부 분들은 이를 우려할 수도 있겠지만요. 따라서 저희는 특정 요구 사항에 맞춰 하드웨어 기능 중 일부를 활용할 수 있는 능력을 갖추고 있습니다. 하지만 앞서 말씀드렸듯이, 이는 모두 개별 사용 사례와 해당 서비스 보안 팀의 보안 요구 사항에 따라 결정됩니다. 이 점이 중요합니다.

Sonatus 도 마찬가지입니다. 예를 들어, 저희는 NXP와 파트너십을 맺고 있으며, 현재 그들과 함께 양산 단계에 있습니다. 또한 패킷 가속, 패킷 전달 가속과 같은 특정 기능을 활용하고 있는데, 어떤 칩 공급업체나 ECU를 사용하든 그 자원을 활용하는 것은 정말 현명한 방법입니다. 그래서 저희는

어제 이야기할 때, 그리고 너, 너

17:36 Pwn2Own

여러분과 트렌드마이크로 사이에, 기업들이 자사 제품 내 제로데이 위협을 식별할 수 있도록 돕는 이 놀라운 프로그램이 마련되어 있습니다.

이 프로그램에 대해 좀 소개해 주세요. 정말 놀라운 . 네. 이야기예요. ‘Pwn2Own’이라고 하는데, 저희는 지난 2년 동안 자동차 분야 최초의 전용 Pwn2Own 대회를 주최해 왔습니다.

그리고 지난 2년 동안 매년 1월, 일본과 도쿄에서 이 행사를 성공적으로 개최해 왔습니다. 특히 자동차 업계에서는 정말 큰 성공을 거두고 있습니다. 하지만 먼저 ‘Pwn2Own’ 자체에 대해 간략히 소개해 드리겠습니다. 기본적으로 이 행사는 전 세계 최고의 윤리적 해커들에게 인센티브를 제공하는 바운티 프로그램입니다.

화이트햇 해커들. 네. 네. 선한 사람들 말이죠. 네. 그리고 기본적으로 제로데이 취약점을 찾아내기 위해 경쟁하는 거죠.

18:23 제로데이 취약점 이해하기

청취자분들을 위해 ‘제로데이 위협’이 무엇인지 설명해 주시면 어떨까요? 제로데이 취약점이란, ‘제로’가 패치까지 걸리는 시간을 의미하는 취약점을 말합니다. 즉, 이전에 한 번도 발견된 적이 없는 취약점이기 때문에 당장 조치를 취해야 한다는 뜻이죠. 네. 따라서 이는 이전에 확인되지 않았던 새로운 위협이자, 새로운 취약점인 셈입니다.

그리고 이는 공격자든 일반 대중이든 상관없이 발생합니다. 그리고 그 ‘0’부터 시작되는 시간이 존재하는 한, 해당 취약점은 악용될 수 있습니다. 또한, 그 시간을 최대한 단축하고 패치를 적용하여 위험을 최대한 완화하는 것은 모든 사람의 이익에 부합합니다. 이것이 바로 ‘제로데이’라는 용어입니다.

그래서 저희는 Pwn2Own 행사에 참가하는 건 아닙니다. ZDI(Zero Day Initiative) 그룹은 일반적으로 익스플로잇을 매입하는 버그 바운티 프로그램을 운영하고 있습니다. 하지만 Pwn2Own 행사는 제로데이 익스플로잇을 발굴하는 데 초점을 맞추고 있습니다. 저희는 2007년부터 이 프로그램을 성공적으로 운영해 온 것으로 기억합니다. 트렌드마이크로에서는 수년 동안 이 프로그램을 운영해 왔고, 최근에는 VicOne과 함께 ‘Pwn2Own Automotive’를 진행하고 있습니다.

그리고 앞서 말씀드렸듯이, 이건 정말 최고 중의 최고입니다. 예를 들어, 작년에는 단 3일 만에 49건의 제로데이 취약점이 발견되었습니다. 이를 업계 전반과 비교해 보면, 자동차 부문 전체에서 1년 동안 발견된 제로데이 취약점은 38건에 불과했습니다. 동기 부여가 뛰어나고, 숙련도가 높으며, 인센티브도 충분히 제공받은 인재들이 통제된 환경에서 단 3일 만에 그토록 많은 취약점을 실제로 식별해 냈다는 사실에서 몇 가지 점을 유추해 볼 수 있습니다.

첫째, 이 분야에는 쉽게 해결할 수 있는 문제들이 많이 있습니다. 실제로 결과에서도 확인할 수 있듯이, 우리가 파악한 위험 요소와 그동안 활용되어 온 공격 기법들은 매우 전통적인 유형에 속합니다.

20:14 Pwn2Own 대회 참가 전략

두 번째는, 이것이 일종의 경종과도 같은데, 결국 두 가지 일이 동시에 발생하게 될 것이며, 이는 업계에 극적인 변화를 가져올 것입니다. 첫째, 악의적인 행위자들이 이를 악용하기 위한 기술적 진입 장벽이 낮아질 것입니다. 그리고 우리는 이미 어떤 면에서는 그런 현상을 목격하고 있습니다.

하지만 아마도 더 주목할 만한 점은, 일단 수익화 기회를 찾아내면 그때야말로 판도를 완전히 뒤바꿀 것이라는 점입니다. 알겠죠? 자, 다시 Pwn2Own 이야기로 잠시 돌아가 보겠습니다. Pwn2Own의 목적은 첫째, 우리가 해당 벤더와 파트너십을 맺는 것입니다.

그래서 어떤 업체가, 예를 들어 테슬라가 지난 5년 동안 ‘Pwn2Own Automotive’ 행사의 메인 스폰서였죠. 해커들이 실제로 공격해 볼 수 있도록 차량 한 대를 통째로 제공하거든요. 참고로, 공격에 성공하면 그 차를 가져갈 수 있답니다.

네. 그 이야기에 대해 좀 더 들려주세요. 정말 흥미롭네요. 네. 왜냐하면, 음, 우선 해킹당한 차의 중고 가치가 그리 높지 않으니까요.

그렇죠? 그러니 그들에게 차량을 제공하는 게 아마도 타당하겠지만, 그렇게 하도록 유도하는 좋은 인센티브가 될 겁니다. 하지만 아시다시피, EVSE 공급업체들도 테스트를 위해 자사 부품을 보내주곤 합니다. 다만 대부분의 솔루션은 공개 도메인에서 구할 수 있습니다.

그러면 해킹을 시도하죠. 그리고 보면, 이들 중 상당수가 서로 경쟁하고 있다는 걸 알게 됩니다. 그렇죠? 그래서 어떤 이들은 마지막 순간까지 취약점을 찾아내려고 애쓰기도 하고, 공급업체가 행사 일주일 전에 패치를 적용하지 않기를 바라며, 나머지 작업을 진행할 때를 대비해 행사장에 직접 나타나기도 합니다.

그들은 누가 먼저 공격할지 결정하기 위해 추첨 방식을 채택합니다. 그리고 공격이 어떻게 진행되는지 보여주기 위해 스크립트를 실행합니다. 이 과정은 우리와 공급업체 측에서 검증합니다. 그리고 공격에 성공하면 상금을 받게 됩니다.

그리고 참가자들은 점수를 얻습니다. 우승자는 ‘Pwn2Own의 마스터’라는 칭호를 얻게 되죠. 그래서 경쟁이 정말, 정말 치열합니다. 상황에 따라 80만에서 150만 이상까지 상금을 수여합니다. 이건 진짜 제대로 된 상금입니다!

네. 정말로요. 제 말은, 이분들은 그야말로 최고 중의 최고입니다. 다른 누구도 찾아낼 수 없는 취약점을 찾아내는 분들이죠. 정말, 정말 뛰어난 실력을 갖춘 분들이에요.

그리고 때로는 팀으로, 때로는 개인으로 참가하기도 합니다. 그래서 이 대회에 참가하는 아주 유명한 팀들이 많이 있습니다. 일종의 대회 순회 일정과 비슷하지만, ‘Pwn2Own’은 그 순회 일정 중에서도 최고의 대회라고 할 수 있습니다. 이제 우리가 하는 일은 취약점을 파악한 후, 왜 이 일을 하는지에 대한 이유를 밝히는 것입니다.

그렇죠? 그러니까 현상금은 실제로 공급업체와 저희가 공동으로 지급하게 됩니다. 그래서 그 금액을 나눠 갖는 거죠. 그리고 그 후, 저희가 해당 지적재산권에 대한 소유권을 갖게 됩니다.

따라서 우리는 사용된 TTP(전술, 기술, 절차)와 익스플로잇의 작동 방식을 파악하고, 이를 우리 제품에 반영하여 고객을 보호할 수 있는 다양한 요소를 도출합니다. 그런 다음 해당 벤더와 협력하여 공개 절차를 진행합니다. 이는 책임 있는 공개(responsible disclosure)를 위한 것입니다. 우리는 기업 분야에서 수년 동안 이를 성공적으로 수행해 왔으며, 이는 누구나 채택하고 있는 잘 알려진 관행입니다.

네.

23:10 자동차 보안 취약점 공개

그리고 일반적으로 90일 전에 통지해야 합니다. 자동차 업계의 경우, 정보 공개와 관련해 매우 다른 안전적 측면이 있다는 점이 문제입니다. 또한 정보 공개 절차도 매우 복잡합니다.

자, 안전 측면에 대해서는 우리 모두 잘 이해하고 있다고 생각합니다. 아시다시피, 악의적인 행위자가 안전과 생명에 직결되는 차량의 취약점을 악용할 수 있다는 점이 문제인데, 복잡성 측면에서는 OEM의 공급 체인에 정말 다양한 단계가 존재합니다. 궁극적으로는 OEM이 책임을 지지만, 티어 1 공급업체, 티어 2 공급업체 등이 존재하죠. 제품 수명 주기도 매우 길고요.

이 차량들 중 일부는 경우에 따라 최대 20년, 25년 정도까지 도로에서 운행되고 있습니다. 그런데 이 하드웨어와 소프트웨어 구성 요소를 개발한 엔지니어링 팀은 여전히 활동 중일까요? 여전히 소스 코드를 바탕으로 협업하고 있을까요? 패치를 출시할 역량이 남아 있을까요? 운영 측면에서, 특히 비용 측면에서 이는 어떤 의미를 가질까요?

기존 업무 일정을 고려했을 때, 그들이 그 일을 얼마나 빨리 처리하거나 우선순위를 정할 수 있을까요? 그에 따른 영향과 배상 책임은 무엇일까요? 아시겠죠? 그러니까 그들이 고려해야 할 운영상의 과제, 위험, 법적 위험, 보험 관련 위험 등이 모두 있는 셈입니다.

따라서 이 문제는 해결하기가 결코 쉬운 일이 아니므로, OEM 업체 및 공급업체들과 매우 긴밀히 협력하여 그들이 해당 위험을 실제로 완화할 수 있는 방안을 마련한 뒤, 이를 공개적으로 발표해야 합니다.

24:46 다른 산업 분야의 사이버 보안 위협

트렌드마이크로에서 근무하시던 시절… 최근 VicOne으로 이직하기 전까지 오랫동안 트렌드마이크로에서 일하셨으니, 다른 업계의 사례들을 저희와 공유해 주셨었죠. 사이버 보안 위협이 다른 업종의 기업에 어떤 영향을 미칠 수 있는지에 대한, 정말 소름 끼치는 이야기들도 있었는데요. 그 중 몇 가지를 소개해 주시겠어요?

네. 자, 그럼 구체적인 사례들을 다루기 전에, 자동차 업계에서 특히 고려해야 할 점 중 하나는 ‘결정론적 정보 공개’라고 생각합니다. 제가 코디네이터나 정보 공개와 관련된 과제에 대해 이야기할 때, 이는 어떤 면에서 결정론적입니다. 왜냐하면, 아시다시피 OEM과 1차 공급업체들은 펜테스팅을 수행해야 하고, 자체 버그 바운티 프로그램도 운영하고 있기 때문이죠.

그들 나름대로 아키텍처나 소프트웨어, 그리고 구성 요소 자체에서 위험 요소를 파악하는 방식과 방법이 있을 수 있겠죠. 하지만 공개 시기에 관해서는 그들만의 일정에 따르는 거잖아요. 그렇죠? 제가 두 가지 전환점에 대해 이야기했었죠.

기술적 진입 장벽이 낮아지고 수익 창출이 용이해지는 시점은 언제일까요? 일단 그런 상황이 발생하면—분명 언젠가는 일어날 일입니다—더 이상 결과가 예측 가능하지 않게 될 것이라고 생각합니다. 그때는 오늘날의 세상에서도 이미 어려운, 매우 복잡한 상황에서 극히 신속하게 대응하고 결정을 내려야 합니다. 게다가 시간적 압박과 대중의 감시까지 짊어지고서 말이죠.

그렇죠? 그래서 상황이 완전히 달라졌죠. 다시 질문으로 돌아가서, 저는 직접 많은 사람들을 접해봤습니다. 아일랜드처럼 작은 나라에서도 말이죠. CISO인 친구들이 꽤 많은데, 우리가 아는 다양한 상황에서 사람들과 기업들이 끊임없이 해킹을 당하고 있습니다. 음.

대부분은 공개되지 않습니다. CISO인 제 친구가 저에게 전화를 걸어 “큰일 났어”라고 말했던 세 가지 구체적인 대화가 기억납니다. 그중 한 사례는, 아시다시피, 그 사람이 입사한 지 불과 몇 주밖에 되지 않았는데 전 세계적으로 모든 운영이 마비된 상황이었습니다. 또 다른 사례는 의료 기관들이 피해를 입은 경우였습니다.

그러니까, 그런 상황이 닥쳤을 때, 그것이 CISO로서의 당신의 성패를 좌우하게 될 겁니다. 물론이죠. 절대 잊을 수 없는 경험이 될 겁니다. 극심한 압박 속에서 아주 짧은 시간 안에 수많은 중대한 결정을 내려야 하니까요.

그리고 많은 경우, 아무리 많은 일을 하고, 아무리 많은 가정 훈련을 실시하고, 아무리 많은 모의 훈련을 준비하더라도, 이런 종류의 사태에는 실제로 대비할 수 없는 법입니다. 게다가, 이런 상황을 처리해야 하는 과정에서 그들이 겪는 개인적인 스트레스도 상당하죠. 알다시피, 공공 기관이라면 공적인 의무도 짊어져야 하니까요.

여러분은, 외부에서 들어오는 제3자들과 상대해야 하는데, 그들이 뭐랄까, 어쩌면 이사회에서 누군가를 추천해서 상황을 파악하고, 무슨 일이 있었는지 알아내려고 할 수도 있겠죠. 모두가 정기적으로 진행 상황을 알려달라고 조르고, 이 문제를 해결하려고 애쓰는 팀원들은 스트레스에 시달리고 지쳐갈 테고요. 정말 악몽 같은 상황이에요.

저도 그걸 직접 경험해 본 적이 있어요. 그러니 이런 일은 자주 겪고 싶은 게 아니죠. 모든 CISO라면 일생에 한 번쯤은 겪게 될 거라고 확신하지만, 정말 기분 좋은 상황은 아니에요. 네.

그래서 사람들은 좀 주저하게 되죠. ‘아, 이런. 차량에 소프트웨어를 탑재해서는 안 되고, 이런 건 해서는 안 된다’는 식으로 말이죠. 하지만 현실은 우리가 해결할 수 있는 기술이 있다는 겁니다. 기업 IT 분야에는 이러한 문제를 해결하기 위한 모범 사례가 이미 마련되어 있습니다.

기술은 점점 발전하고 있습니다. 트렌드마이크로는 계속해서 그 흐름을 앞서가고 있습니다. 그러니, 자동차 분야를 생각해 볼 때, 업계가 이러한 관행을 자동차 분야에 어떻게 도입해야 할지에 대해 어떤 조언을 해주시겠습니까? 네.

그러니 요구 사항들은 어쨌든 이 일이 진행될 것이라는 쪽으로 흘러가고 있습니다. 제 말은, 핵심은 ‘보안 관점에서 볼 때 이 일을 해야 할지’에 대한 문제라는 겁니다. 해야 합니다. 왜냐하면 경제적 이점, 상업적 이점, 시장 출시 기간 단축 효과, 운영상의 이점 등이 위험보다 훨씬 크기 때문입니다. 문제는 그 위험을 어떻게 관리하느냐는 것입니다.

또한 ‘소프트웨어 정의(Software-Defined)’ 방식이 기업 환경에 도입되면서 이러한 문제들이 성공적으로 관리되는 모습을 이미 목격해 왔습니다. 이러한 문제를 완화하고 한 발 앞서 대처할 수 있는 방법들이 있습니다. 따라서 선제적 보안에 더 많은 노력을 기울일수록, 발생할 수 있는 시나리오 유형을 파악하고, 설계 단계부터 보안을 내재화하며, 사건을 처리할 수 있는 매우 강력한 운영 체계를 구축하는 데 더 많은 투자를 하게 됩니다. 또한, 공격의 전체 수명 주기 동안 어떤 완화 조치를 취할 것인지, 그리고 모든 영역에서 완벽하게 대비하고 있는지 확인해야 합니다.

소프트웨어 정의 차량(SDV)도 마찬가지입니다. 이는 여러분을 안전하게 보호하기 위한 또 다른 방법에 불과합니다. 따라서 제 조언은, SDV 도입과 관련된 전략을 변경하지 말고, 단지 이를 올바르게 보호하기만 하면 된다는 것입니다.

네.

29:45 차량 사이버 보안에서 ‘ AI ’의 역할

하지만 아시다시피, 요즘 가장 중요한 화두 중 하나는 바로 인공지능입니다. 인공지능은 물론 전 세계 여러 분야에서 널리 보급되고 있을 뿐만 아니라, 자동차 분야에서도 마찬가지입니다. 사이버 보안 측면에서 볼 때, 차량에 적용된 딥 러닝( AI)의 장단점에 대해 설명해 주시겠습니까?

그래서 이 이야기를 ‘Pwn2Own’ 대회와 연결해 보려고 합니다. 그렇죠? 최근에 올해 Pwn2Own의 챔피언인 시나(Sina)가 등장했죠. 그는 개인 참가자로서, Synacktiv와 같은 팀이나 다수의 구성원으로 이루어진 여러 그룹과 경쟁하고 있습니다. 아시다시피, 이 팀들은 정말 뛰어난 실력과 높은 역량을 갖춘 인재들로 구성되어 있으며, 취약점을 찾아내려고 노력하고 있죠.

그리고 저는 그에게, 아시다시피 AI 에 관한 질문을 던졌습니다. 그는 AI 전문가라고는 하지 않았지만, 이렇게 대답했습니다. “저는 AI 모델을 개발해서, 반복적인 작업이나 시간이 없어 처리할 수 없지만, 이러한 모든 공격 상황을 실제로 파악하기 위해 반드시 완료해야 하는 작업을 오프로드하는 데 활용합니다.” 그리고 그는 화이트햇 해커(White hat hacker)라고 말하며, 화이트햇 해킹 작업의 생산성을 높이기 위해 AI 을 사용한다고 했습니다. 바로 그렇습니다.

그리고 바로 그 덕분에 그는 다른 그룹들과 경쟁할 수 있는 것입니다. 그래서 제가 거기서 얻은 시사점은, 이 사람은 윤리적 해킹을 하고 있는 사람이라는 점이었습니다. 만약, 만약 그가 악의적인 행위자라면 어떨까요? 그럴 경우, 그들은 ‘ AI ’을 악용하여 자신들의 시도를 더욱 성공적으로 수행할 수도 있을 것입니다.

이것이 한 측면입니다. 그렇죠? 하지만 한편으로는 AI 을 활용해 보호 기능을 구현할 수 있다는 점도 볼 수 있습니다. 즉, 다양한 모델을 사용하여 행동 패턴을 식별하고, 이상 탐지 모델을 적용하는 것이죠. 차량에서 발생하는 다양한 이벤트에 대한 필터링 측면에서도 이를 확인할 수 있습니다.

상관관계나 우리가 관찰하는 다양한 행동 패턴과 관련하여 이를 확인할 수 있습니다. 아시다시피, 온보드(onboard)와 오프보드(off-board)에 대해 이야기했지만, 서로 다른 시스템에서 발생하는 사례도 있습니다. 이러한 요소들을 단순히 고립된 집합체로만 보지 말고, 전체적인 맥락에서 살펴보고 싶을 수 있습니다. 따라서 이러한 다양한 작업을 수행할 때, 사람이 도저히 감당할 수 없는 부분을 ‘ AI ’를 활용해 속도를 높일 수 있습니다.

알다시피, 차량 자체에서 기록된 주행 기록을 확인하는 거죠. 알다시피, 기존의 단순한 규칙 체계에서 벗어나기 위해서는 다양한 방법이 필요할 거예요.

알다시피, 그래서 여러분은 AI 를 활용해야 합니다. 사람들이 AI 를 이용해 공격할 것이 분명하지만, 여러분도 AI 를 통해 방어할 수 있습니다. 문제는 누가 이 경쟁에서 승리할지, 그리고 누가 가장 빠르게 적응할 수 있을지입니다.

32:13 결론 및 향후 전망

사이버 보안 측면에서 ‘ AI ’가 가진 양날의 검에 대한 정말 흥미로운 관점이네요.

윌리, 정말 멋진 대화가었습니다. 정말 다양한 주제를 다뤘네요. 정말 많은 것을 배웠습니다. 시간을 내어 찾아와 주셔서 감사합니다.

그리고, 여러분과 함께 일하게 되어 정말 기쁩니다. Sonatus 을 통해 앞으로도 더 많이 함께 일할 수 있기를 기대하며, 오늘 방송에 출연해 주셔서 감사합니다. 정말 감사합니다. 오늘 방송이 마음에 드셨다면, ‘좋아요’를 누르고 채널을 구독해 주시면 이와 같은 에피소드를 더 많이 만나보실 수 있습니다.

또한 유튜브, ‘ Sonatus ’ 웹사이트, 애플 팟캐스트, 스포티파이에서도 저희를 만나보실 수 있습니다. 조만간 ‘ The Garage ’의 다음 에피소드에서 다시 뵙기를 기대하겠습니다.