미국의 사이버 방어가 내부에서 해체되고 있음

 (theregister.com)
2P by GN⁺ | ★ favorite | 댓글 1개
  • CVE 데이터베이스 중단 위기는 미국 연방 사이버 보안 체계가 예산·인력·조직 결정만으로도 흔들릴 수 있음을 보여줌
  • 지난 25년간 보안 취약점의 공통 참조점이었던 CVE가 흔들리면 방어자는 같은 취약점을 말하는지 확인하는 데 시간을 쓰고, 공격자는 그 혼란을 이용할 수 있음
  • CISA는 직원 3분의 1 이상 감축 대상이었고 MITRE의 CVE 계약은 마감 직전 연장됐지만, 2026년 3월 다시 만료됨
  • NSA·US Cyber Command 수장 해임, CSRB 사실상 해체, Salt Typhoon 조사 중단, 주·지방 중심 대비 전환, 연방 보조금 삭감이 연방 방어 역량을 약화시키고 있음
  • DOGE의 민감한 연방 시스템 접근까지 겹치며, 미국의 자초한 보안 약화가 미국 밖의 기술 생태계에도 영향을 줄 수 있음

CVE 중단 위기와 취약점 관리 혼란

  • Common Vulnerabilities and Exposures, 즉 CVE 데이터베이스는 지난 25년간 사실상 모든 보안 취약점을 정리해온 핵심 목록임
  • 전 CISA 국장 Jen Easterly는 CVE를 보안팀, 소프트웨어 벤더, 연구자, 정부가 같은 참조 체계로 취약점을 조직하고 논의하게 하는 글로벌 카탈로그로 설명함
  • CVE가 없으면 조직마다 다른 목록을 쓰거나 목록 없이 대응하게 되고, 같은 문제를 말하는지 확인하는 시간이 늘어나며, 공격자는 그 혼란을 이용할 수 있음
  • CVE를 감독하는 CISA는 직원 3분의 1 이상 감축 대상이었고, 직원들은 월요일 자정까지 계속 근무할지 사직할지 선택하라는 통보를 받음
  • MITRE의 CVE 계약은 마감 직전에 연장됐지만, 2026년 3월 다시 만료될 예정임

CISA와 연방 사이버 조직의 축소

  • CISA의 인력 감축과 계약 불확실성은 CVE 지속성 문제와 직접 연결됨
  • 과거라면 CVE 계약 연장은 당연한 결정에 가까웠지만, 다음 연장 여부는 불확실한 상태로 남아 있음
  • CVE 같은 공통 기반이 흔들리면 기술 보안 전반에서 취약점 대응을 조정하기 어려워짐

고위 사이버 보안 인사와 자문기구 해체

  • NSA와 US Cyber Command 수장인 General Timothy D. Haugh는 4월 초 해임됨
    • 그는 2016년 선거 이후 러시아 간섭 대응을 포함해 국가 사이버 인프라 방어에서 중요한 인물로 평가됨
    • 해임 배경으로는 극우 음모론자이자 Trump 측 인물인 Laura Loomer가 그를 싫어했다는 점이 거론됨
  • Cyber Safety Review Board, 즉 CSRB는 주요 사이버 사고 조사를 위해 Biden 행정부에서 만들어진 조직이었음
    • 모든 구성원이 종료되며 사실상 해체됨
    • 중국의 “Salt Typhoon” 해킹 등 중요한 사이버 공격 조사가 중단됨
  • Salt Typhoon 공격은 Trump와 부통령 JD Vance도 겨냥했지만, 행정부가 이 사안을 중시하지 않는다는 비판을 받음

주·지방 중심 대비와 연방 지원 축소

  • Trump의 Achieving Efficiency Through State and Local Preparedness 행정명령은 대비 역량이 주, 지방, 개인 수준에서 가장 효과적으로 소유·관리되며 연방정부가 이를 지원한다고 밝힘
  • 이 명령은 사이버공격, 산불, 허리케인, 우주기상까지 지역 의사결정과 투자 대상으로 포함함
  • 사이버공격은 특정 주에만 머물지 않기 때문에, 50개 주가 각각 국가 지원 해킹팀에 대응하는 구조는 비현실적이라는 비판이 나옴
  • Trump는 임기 초 사이버 보안 전용 연방 보조금 프로그램의 자금도 삭감함
  • 주 정부가 최고 수준의 보안 전문가를 충분히 고용하기 어려울 수 있음

DOGE의 민감 시스템 접근과 데이터 위험

  • Elon Musk의 Department of Government Efficiency, 즉 DOGE는 민감한 연방 시스템에 접근함
  • 접근 대상에는 Treasury Department의 결제 시스템과 Social Security System이 포함됨
  • 해당 데이터가 어딘가로 복사됐고, 볼 권리나 사용할 권리가 없는 사람들이 접근할 수 있게 된 것으로 보인다는 우려가 나옴
  • 외부 사이버 방어뿐 아니라 개인 시민을 겨냥한 대규모 보안 공격의 기반이 될 수 있는 데이터까지 노출됐다는 비판이 이어짐
  • 한 보험사에서 160만 명의 Social Security 정보가 도난당한 사건도 이 맥락에서는 작은 규모로 비교됨

미국 밖으로 번질 수 있는 영향

  • 미국은 오랫동안 기술 보안에서 주도적 역할을 해왔기 때문에, 연방 사이버 방어 약화는 미국 내부 문제에 그치지 않음
  • 가장 큰 피해는 미국이 입겠지만, 전 세계도 그 여파를 느낄 수 있음

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 이게 대체 어떤 방식으로 미국 국민에게 도움이 되는 건가?

    • Mitre와 CVE를 중단하는 건 공공·민간 양쪽 모두에서 미국의 이익에 반함
      비용 관점에서는 논쟁이 가능함. 예를 들어 CVE 데이터베이스가 연 5천만 달러의 가치가 있었는지, 특히 밀린 작업을 고려하면 그랬는지 따질 수 있음
      또 민간 또는 준민간 대체 서비스가 생기고, 여러 개가 경쟁하면서 개선될 것이라는 가정도 가능함. 자유지상주의자들처럼 강제력 독점이 아닌 서비스는 모두 민간이 맡아야 한다고 주장할 수도 있음
      하지만 좋은 논거는 아님. 5천만 달러는 커 보이고 줄일 여지가 있을 수는 있음. 그래도 그냥 프로그램을 끝내기보다 실제 운영 분석을 보고 싶음
      두 번째 논거는 더 나쁨. NIST와 NOAA는 비용 대비 편익이 큰 기관의 예이고, 영리 NIST나 영리 NOAA는 별로 말이 안 되는 것처럼 보임. 그래도 공공 재원 서비스와 민간 버전의 장단점을 일반적으로 따져볼 가치는 있음. 나쁜 논거라도 없는 것보다는 나은데, 현 행정부는 그런 논거조차 제시하지 않음
    • 도움이 안 됨. 포퓰리스트 우파의 인적 자본 부족이 낳은 부작용임
      이것이 권리를 억압하는 데 쓰일 거라는 음모론이 많고, 결국 그렇게 될 수도 있음. 하지만 그건 서투른 행동의 결과에 대한 사후 반응에 가까울 것임
      지금 Trump 행정부의 통념은 이런 사이버보안 프로그램이 돈 낭비이고, 민간 부문이 마법처럼 나타나 우리를 구해줄 것이라는 생각임
      이제 모두가 낮은 인적 자본의 높은 비용을 겪게 될 것임
    • 현 경영진이 실제로 미국 국민을 돕는 일에 관심이 있다고 가정하는 건 아닐까?
    • 러시아에 더 이상 직접적인 위협이 아니라는 신호를 노골적으로 보내려는 시도였다고 봄. 다가오는 세계전에서 양면 전쟁을 피하려는 헛된 시도라는 것
      불행히도 Putin은 독일의 Fulda Gap까지 계속 침공할 가능성이 큼. 우리가 여전히 NATO에 속해 있다면 전쟁을 선포할 수밖에 없을 것임
    • 정부 예산을 아낀다고 생각하는 듯함. 뭔가 음험한 일이 벌어진다기보다는, 정부 스프레드시트의 숫자만 보고 판단하는 것에 가까움
      Trump 행정부는 내부 가치와 무관하게 미국 밖 사람들에게도 이익이 되는 프로젝트에 돈이 쓰이는 걸 보고, 미국 돈이 다른 나라에 쓰인다고 가정해버림
      충분히 똑똑하지도, 충분히 잘 알지도 못하고, 배우거나 더 똑똑한 사람들의 말을 들을 생각도 별로 없음. 이해하지 못하는 예산 항목이 보이면 없애도 된다고 여김
      정말 중요하다면 누군가 사업으로 만들 것이라는 가정이 깔려 있는 듯함

  • Signal 채팅은 정부를 데이터 유출과 외국 영향력에 열어젖히는 일에 비하면 곁가지에 불과함
    https://www.newsweek.com/doge-whistleblower-stalked-threaten...

    • 보수 성향 가족들은 Fox News, OAN, 그리고 Fox News가 더 멍청해지려고 한 것 같은 보수 밈 사이트 Twitchy만 봄
      그들은 이런 일을 보지 못함. 제대로 된 보도가 없음. 어머니는 관세의 범위도 몰랐고, DJT 암호화폐 사기도 몰랐음. Signal도 여러 번 설명했지만 복잡한 건 정말 이해하지 못함
      어머니는 “Trump가 무례한 사람인 건 안다”면서도, 인용하자면 “미국인을 위한 미국”을 원하고, 중국을 제자리에 놓고, 국경을 지키길 바람
      아버지에게 “미국이 왜 그렇게 강력하고 영향력이 있다고 생각하느냐? 세계에 투자하고 학생들을 미국으로 받아들이기 때문임. 우리가 아무 이유 없이 세계의 중심인 게 아니다”라고 말했더니, 그냥 “우리는 세계의 중심이다”라고 답함
      우리나라는 추상적 사고를 못 하고 거짓말에 중독된 사람들로 가득 차 있음

  • 예산은 본질이 아니고 주의를 흐리는 요소임. 민간 사이버보안 체계를 해체하는 건 대중을 영향력 공작과 다른 피해에 노출시켜, 나중에 더 많은 “강한 지도자”식 해법을 필요하게 만드는 방법임 [0,1]
    “사이버 방어”를 파괴한 뒤에야 위기를 주장하고 “사이버보안은 죽었다, 새로운 사이버보안 만세”라고 선언할 수 있음
    그리고 그게 당신을 위한 보안은 절대 아닐 것임
    [0] https://cybershow.uk/blog/posts/computer-security-is-a-polit...
    [1] https://cybershow.uk/blog/posts/usw/

  • 글이 좀 빈약함. CVE 예산이 거의 끊길 뻔한 일은 확실히 비극적이지만, NLRB에서 데이터를 빼내고 모두를 계정에서 잠가버린 일은 다루지 않았고, 사이버보안 연방 보조금과 CISA 예산 삭감도 짧게만 다룸
    Trump 행정부와 Musk의 DOGE 팀이 실제로 얼마나 무능한지 보여줄 탄약은 훨씬 많음

    • https://www.npr.org/2025/04/15/nx-s1-5355896/doge-nlrb-elon-...
      DOGE 직원들이 NLRB의 Azure 계정에서 자신들의 활동을 숨기려고 일부러 애쓴 정황을 꽤 자세히 다룸. 정부 투명성에는 분명 좋은 일일 것임
      DOGE가 NLRB 시스템에 접근한 지 몇 분 만에 러시아 IP 주소를 가진 누군가가 로그인 시도를 시작했다고 Berulis의 폭로에 나옴. 시도는 “거의 실시간”이었음
      로그인 시도는 차단됐지만 특히 우려스러웠음. 로그인하려던 사람이 새로 만들어진 DOGE 계정 중 하나를 사용했고, 올바른 사용자 이름과 비밀번호를 알고 있었다고 함
    • 그들은 실제 목표에는 꽤 유능함. 목표는 미국을 위대하게 만드는 게 아니라, 산산조각 내서 엄청난 부자들이 토지까지 포함해 모든 것을 헐값에 사들이게 하는 것임
    • 선거 보안을 지킨 Chris Krebs에게 표적을 붙인 일도 잊으면 안 됨
    • 이건 기사가 아니라 의견 칼럼이었음

  • 미국 정부에 의존하지 않는 CVE 같은 데이터베이스가 필요할지도 모름. IT 세계 자체의 약점임

    • 미국 정부는 이런 종류의 일을 꽤 잘 맡아온 편임. 대체로 신뢰할 만하고, 수익성 큰 국제 수출품을 보호하는 데 약간의 돈을 쓸 여력이 있으며, 플랫폼 소유자가 마케팅 목적으로 문제를 숨기거나 의도적으로 흐려도 책임을 물을 수 있음
      지난 10년의 CVE 역사를 알고도 진지하게 누구를 제안할 수 있나? Cisco나 Oracle에 하청 줄 건가?
    • CVE 쪽은 재원 출처를 다양화하려고 작업 중임
      https://www.thecvefoundation.org/

  • 기발한 생각인데, 단일 조직이 없앨 권한을 갖지 못하도록 CVE를 여러 나라에 분산시키면 어떨까?
    미국이 협조하지 않아도 공개 데이터베이스 아닌가? UN, EU, 영국, 호주 등이 복사해서 공동 CVE를 세우는 걸 막는 게 있나?

  • Trump는 “모든 게 컴퓨터”라는 사실에 두 번째로 놀라게 될 것임

  • 이건 사보타주인데, 누가 한 건가?

  • “Washington Monument syndrome은 Mount Rushmore syndrome 또는 firemen first principle이라고도 하며, 미국 정부 기관이 예산 삭감에 직면했을 때 정부가 제공하는 서비스 중 가장 눈에 잘 띄거나 높이 평가받는 서비스를 줄이는 현상을 가리키는 용어임”
    https://en.wikipedia.org/wiki/Washington_Monument_syndrome

    • 이 경우에 맞는지는 잘 모르겠음. HN 부류를 제외하면 일반 대중이 사이버보안에 얼마나 관심이 있거나 이해하고 있을까?
답변달기