요약

  • Vodafone Portugal은 2022년 2월 7일 밤에 시작된 네트워크 장애가 서비스 중단을 목적으로 한 고의적이고 악의적인 사이버공격 때문이라고 밝혔다. 첫 성명에서는 4G/5G, 유선 음성, 텔레비전, SMS, 음성 또는 디지털 고객 지원 서비스에 미친 영향을 확인했다. [1]
  • 초기 복구로 모든 서비스가 한꺼번에 복원되지는 않았다. 모바일 음성은 포르투갈 거의 전역에서 복구됐지만, 모바일 데이터는 처음에 3G로만 제공됐다. 당시 보도는 2G 음성 복구를 2월 7일 약 22시 30분으로 보도했다. [1][17]
  • Vodafone은 이후 팀들이 24시간 이내에 2G/3G 폴백 상태에서 4G/5G로 전환했다고 밝혔다. 주말 무렵에는 네트워크가 안정화됐지만 고립된 불안정 가능성은 남아 있다고 설명했다. [3]
  • Vodafone Group의 연차보고서는 모바일 고객 470만 명과 유선 고객 100만 명이 영향을 받았다고 밝혔다. 이는 통신사의 가입 및 회선 수치이며, 서로 다른 사람 수나 동일한 서비스 장애를 단일하게 센 수치는 아니다. [6]
  • ANACOM은 이후 2022년 한 주요 통신사 핵심망에 대한 사이버공격으로 유무선 통신에 전국적 영향을 미친 막대한 사건을 설명했다. ANACOM의 더 넓은 연간 합계는 모든 신고된 사건을 포괄하므로 전부 Vodafone에 귀속해서는 안 된다. [8]
  • Vodafone은 당시 고객 데이터가 접근되거나 침해됐다는 징후가 없다고 밝혔다. 이는 귀속된, 시점이 한정된 진술이다. 가용한 공개 기록은 공격자, 벡터, 악용된 시스템, 악성코드 또는 정확한 파괴 행위를 입증하지 않는다. [1][15]
  • 책임성은 악의적 행위의 피해자를 비난하는 것과 같지 않다. 공유 핵심망, 아이덴티티, 정책, 관리 시스템에 대한 권한이 세그멘테이션, 복구 가능한 상태, 폴백 용량, 서비스 우선순위 규칙, 수리에 대한 독립적 증거로 뒷받침됐는지를 묻는 것이다.
  • 2G와 3G 폴백은 레거시 계층이 중요 통신을 보존할 수 있음을 보여준다. 동시에 용량, 커버리지, 기기 지원, 긴급 통화, 로밍, 그리고 어떤 서비스가 손상된 시스템에 계속 결합돼 있었는지에 대한 측정 가능한 질문을 제기한다.
  • 신뢰할 수 있는 복구 주장은 서비스별 증거와 연결돼야 한다. 모바일 등록, 통화 완료, 데이터 세션 수립, SMS 전달, 유선 음성, 텔레비전, 기업 애플리케이션, 국제 연결, 고객 지원 가용성이 그것이다.
  • EECC 보안 의무와 ENISA 지침은 리스크 관리, 사고 관리, 사업 연속성, 모니터링, 감사, 시험을 위한 유용한 증거 프레임워크를 제공한다. 그러나 그 자체로 Vodafone의 법률 위반이나 규제 당국의 판단을 확립하지는 않는다. [18][19]

구세대를 통한 복구가 실제 인프라 경계를 드러냈다

Vodafone Portugal 사건에서 가장 시사적인 사실은 “사이버공격”이라는 단어가 아니다. 통신이 돌아온 순서다.

Vodafone의 첫 공개 성명은 장애가 데이터 네트워크 기반 서비스인 4G와 5G, 유선 음성, 텔레비전, SMS, 고객 지원 채널에 영향을 미쳤다고 밝혔다. 통신사는 모바일 음성이 포르투갈 거의 전역에서 다시 가능해졌고 모바일 데이터는 3G로만 제공됐다고 설명했다. [1]

당시 포르투갈 보도는 더 세밀한 설명을 덧붙였다. Vodafone Portugal CEO Mario Vaz는 2G 음성이 약 22시 30분에 복구됐고, 3G 데이터가 작동하는 가운데 팀들이 4G 복구를 향해 작업 중이라고 말한 것으로 보도됐다. [17]

Vodafone의 이후 안정화 성명은 네트워크를 24시간 이내에 2G와 3G에서 4G와 5G로 옮기는 집중 재구축을 설명했다. 주말 무렵 모바일 및 유선 음성, 데이터, 텔레비전은 안정화된 것으로 설명됐으며, 고립된 불안정이 여전히 발생할 수 있다는 경고가 붙었다. [3]

이 연대기는 추상적 복원력을 관찰 가능한 아키텍처로 바꾼다.

네트워크에는 하나의 구분 없는 “작동” 상태가 없었다. 계층, 서비스 의존성, 복구 우선순위가 있었다. 일부 음성 서비스는 최신 패킷 서비스가 돌아오기 전에 구형 무선 및 코어 경로에서 작동할 수 있었다. 모바일 데이터는 4G와 5G가 수리 중인 동안 3G로 기능할 수 있었다. 유선, 텔레비전, SMS, 고객 서비스, 기업 기능은 각자의 의존성과 복구 순서를 가졌다.

이는 복원력 주장이 설명하는 장애 경계만큼만 유효하다는 점에서 중요하다. 통신사는 중복 무선 사이트를 갖추고도 공유 가입자 데이터베이스, 정책 시스템, 전송, DNS, 인증, 프로비저닝, 관리 자격 증명에 의존할 수 있다. 물리적으로 분리된 데이터센터를 두고도 하나의 관리 평면을 사용할 수 있다. 공통 아이덴티티, 시그널링, 과금 시스템에 여전히 의존하는 폴백 무선 세대를 둘 수도 있다.

공개된 순서는 Vodafone의 비공개 토폴로지를 공개하지 않는다. 다만 기술 세대와 서비스가 서로 다르게 실패하고 복구됐음을 보여준다. 진지한 책임성 분석은 이 사건을 하나의 보안 사건이자 하나의 복구 시간으로 취급하기보다 여기서 시작해야 한다.

시험은 실용적이다. 각 서비스가 돌아오기 전에 어떤 구성요소가 신뢰할 수 있고 도달 가능해야 했는가?

2G 음성의 경우 무선 접속, 교환, 가입자 아이덴티티, 시그널링, 상호접속, 운영 제어가 포함될 수 있다. 3G 데이터의 경우 영향을 받은 4G/5G 환경과 구별되는 패킷 코어 기능과 전송 경로가 포함될 수 있다. 유선 음성과 텔레비전의 경우 접속 집선, 서비스 플랫폼, DNS, 인증, 고객 장비가 포함될 수 있다. 기업 애플리케이션과 국제 연결의 경우 사설 네트워크 게이트웨이, 로밍, 상호접속, 지원 시스템이 포함될 수 있다.

따라서 이 사건은 네트워크 인프라 책임성의 한가운데에 있다. 공격은 악의적이었을 수 있지만 공공 피해는 통신 시스템의 구조와 이를 봉쇄하고 우회하고 재구축하는 데 가용한 통제를 따랐다.

하나의 사건이 고객이 별도 제품으로 경험하는 서비스들을 결합했다

소매 통신은 서로 다른 서비스로 판매된다. 고객은 모바일 음성, 모바일 데이터, 유선 광대역, 텔레비전, 기업 연결, 지원을 구매할 수 있다. 운영상 이 서비스들은 공유 시스템으로 수렴할 수 있다.

모바일 네트워크에는 안테나 이상의 것이 필요하다. 기기는 등록해야 한다. 가입자는 인증돼야 한다. 세션은 생성되고 정책에 따라 관리돼야 한다. 음성 통화에는 교환 또는 패킷 음성 기능이 필요하다. SMS는 특화된 메시징 인프라를 사용한다. 트래픽은 전송 및 상호접속 네트워크를 통과해야 한다. 로밍은 다른 통신사와의 신뢰 교환을 필요로 한다. 운영 팀은 이 모든 계층을 구성하고 관찰하고 수리할 수 있는 관리 시스템을 필요로 한다.

유선 및 텔레비전 서비스는 모바일 서비스와 전송, 아이덴티티, DNS, 고객 기록, 프로비저닝, 운영 도구를 공유할 수 있다. 고객 지원 시스템은 네트워크 도달성과 백오피스 플랫폼에 의존한다. 기업 제품은 게이트웨이, 사설 접속, 관리형 보안, 국제 연결에 의존할 수 있다.

Vodafone Group의 사이버보안 팩트시트는 포르투갈 사건이 일부 음성 및 데이터 서비스, 텔레비전, 기업 및 비즈니스 애플리케이션, 국제 연결의 상실을 포함했다고 밝혔다. [7] 그룹 연차보고서는 모바일 고객 470만 명과 유선 고객 100만 명이 영향을 받았다고 밝혔다. [6]

이 공개들은 하나의 물리적 장비가 고장 났음을 입증하지 않는다. 국가 규모의 기능적 결합을 보여준다.

결합이 자동으로 과실은 아니다. 수렴된 인프라는 효율성, 관찰 가능성, 서비스 제공을 개선할 수 있다. 공유 플랫폼은 장애 도메인, 독립 복구 경로, 강한 접근 통제로 설계될 수 있다. 책임성 문제는 수렴이 상관된 리스크를 숨기는지 여부다.

유용한 의존성 검토는 다음을 물을 것이다.

  • 어떤 서비스가 동일한 가입자 또는 아이덴티티 저장소에 의존하는가?
  • 어떤 서비스가 동일한 관리 자격 증명 또는 관리 도메인에 의존하는가?
  • 어떤 복구 도구가 수리해야 할 환경 안에 호스팅돼 있는가?
  • 어떤 구성 및 소프트웨어 저장소가 동일한 특권 경로를 통해 변경될 수 있는가?
  • 어떤 네트워크 세대가 시그널링, 전송, DNS, 시간, 오케스트레이션, 모니터링을 공유하는가?
  • 어떤 유선 및 모바일 제품이 공통 고객, 프로비저닝, 정책 시스템을 사용하는가?
  • 어떤 국제 및 기업 링크가 동일한 제어 평면에 의존하는가?
  • 프로덕션 네트워크가 실패할 때 어떤 상태 및 지원 채널이 실패하는가?

답은 아키텍처 발표 자료가 아니라 현재의 의존성 그래프여야 한다.

공유 구성요소가 수백만 가입을 중단시킬 수 있다면 명시적으로 정의된 장애 도메인을 가져야 한다. 관리 아이덴티티가 여러 서비스 플랫폼을 변경할 수 있다면 분리된 권한과 독립 모니터링을 가져야 한다. 복구 도구가 손상된 핵심망에 의존한다면 대역 외 경로가 있어야 한다.

2022년 사건은 장애가 제품 경계를 넘었기 때문에 이런 질문을 공개적으로 만들었다. 책임 있는 결론은 모든 수렴이 안전하지 않다는 것이 아니다. 공통 의존성이 영향을 미칠 수 있는 서비스와 사람 수에 비례하는 입증 부담을 만든다는 것이다.

악의적 의도가 통신사의 복원력 의무를 없애지 않는다

Vodafone Portugal은 사건을 피해와 중단을 유발할 의도가 있는 고의적이고 악의적인 사이버공격이라고 설명했다. [1] 그 귀속은 중요하지만, 분석의 끝이 되면 책임성을 왜곡할 수 있다.

통신사는 적대 행위자가 침입을 시도하는지 통제하지 않는다. 그러나 하나의 침해가 전국적 통신 장애가 되는지를 결정하는 많은 조건을 통제한다.

그 조건에는 다음이 포함될 수 있다.

  • 특권 아이덴티티의 범위;
  • 기업 IT와 네트워크 운영의 분리;
  • 모바일 코어, 유선, 텔레비전, 지원 시스템 간 세그멘테이션;
  • 구성 및 소프트웨어 이미지를 변경할 수 있는 능력;
  • 백업 불변성과 오프라인 복구;
  • 깨끗한 관리 접근;
  • 독립 모니터링;
  • 서비스 폴백;
  • 사고 대응 권한;
  • 시험된 복구 절차.

통신사를 피해자라고 부르는 것은 정확하지만 불완전하다. 공격자에게 책임이 있다고 말하는 것도 정확하지만 불완전하다. 인프라 책임성은 통신사의 실질적 통제 안에 어떤 예방 가능한 증폭이 남아 있었는지를 묻는다.

이 구분은 두 가지 나쁜 결론을 피한다.

첫째는 피해자 비난이다. 공개 출처는 Vodafone이 알려진 취약점을 무시했거나 특정 법적 요건을 위반했거나 불합리한 결정을 했다고 확립하지 않는다. 가용한 공개 기록에는 인증된 기술 사후 분석도, 집행 결정도 없다. 서비스 상실만으로 과실을 추론하는 것은 무책임하다.

둘째는 운명론이다. 악의적 행위가 영향 범위를 불가피하게 만들지는 않는다. 통신 네트워크는 장비, 소프트웨어, 링크, 사이트, 사람이 실패할 수 있다는 가정 위에 설계된다. 사이버보안은 그 가정을 자격 증명, 관리 시스템, 오케스트레이션, 저장된 상태로 확장한다. 복원력은 시작 사건이 예방 불가능할 수 있기 때문에 존재한다.

따라서 책임성 질문은 조건부다.

공격자가 얻은 권한을 고려할 때, 어떤 독립 통제가 여전히 서비스 영향을 제한할 수 있었는가?

침해된 관리 계정이 모든 네트워크 세대를 자동으로 통제해서는 안 된다. 손상된 4G 또는 5G 코어가 모든 레거시 음성을 반드시 제거해서는 안 된다. 손상된 오케스트레이션 계층이 모든 깨끗한 백업을 다시 쓸 수 있어서는 안 된다. 기본 모니터링 상실이 대응자를 장님으로 만들어서는 안 된다. 고객 지원 시스템 장애가 공공 상태 공지를 없애서는 안 된다.

Vodafone의 복구 순서는 일부 폴백 및 재구축 통제가 작동했음을 시사한다. 이는 인정받을 만하다. 책임성은 실패만 찾는 일이 아니다. 피해를 줄인 통제와 증거가 필요한 격차를 모두 식별해야 한다.

공개 기록은 공격 벡터를 확립하지 않는다

대형 사건은 확신에 찬 설명을 위한 시장을 만든다. Vodafone Portugal 장애는 절제가 기술적 정확성의 일부인 사례다.

여기서 검토된 공개 기록은 다음을 확립하지 않는다.

  • 공격자 또는 그룹;
  • 초기 접근 방법;
  • 침해된 자격 증명;
  • 피싱 메시지;
  • 공급업체 침해;
  • 악성코드 또는 랜섬웨어;
  • 소프트웨어 취약점;
  • 내부자;
  • 국가 행위자;
  • 도달한 정확한 시스템;
  • 정확한 파괴 행위.

Vodafone은 사건이 고의적이고 악의적이라고 밝혔다. 포르투갈 사이버보안 보도는 이후 중단 또는 파괴적 영향을 설명했다. [1][10][11] 이 진술들은 의도적 중단 경계를 뒷받침한다. 포렌식 체인을 제공하지는 않는다.

기록은 그 격차를 익숙한 서사로 채울 근거를 남기지 않는다.

여기서 검토된 공개 증거는 랜섬웨어가 네트워크 시스템을 암호화했다고 입증하지 않는다. Lapsus$ 또는 다른 지명된 그룹이 책임이 있다고 입증하는 출처도 없다. 관리 공급업체, 가상화 네트워크 기능, 하이퍼바이저, 도메인 컨트롤러, 오케스트레이터, 가입자 데이터베이스를 초기 실패 지점으로 식별하는 출처도 없다. 모든 영향 환경에서 데이터 파괴가 발생했다고 확립하는 출처도 없다.

같은 절제가 고객 데이터에도 적용된다.

Vodafone의 첫 성명은 당시 고객 데이터가 접근되거나 침해됐다는 징후가 없다고 밝혔다. [1] Reuters는 조사 중임을 언급하면서 통신사의 보증을 보도했다. [15]

“징후 없음”은 유용한 정보이다. 통신사가 그 시점에 알고 전달한 내용을 좁힌다. 완료된 독립 포렌식 결론과 같지는 않다. 신중한 설명은 이 표현의 시점과 주체를 보존해야 한다.

공개 기술 사후 분석의 부재는 책임성과 관련이 있지만, 대중이 악용 세부사항을 볼 자격이 있기 때문은 아니다. 통신사는 민감한 아키텍처를 보호하면서도 다음을 공개할 수 있다.

  • 영향을 받은 서비스 경계;
  • 실패한 통제의 종류;
  • 봉쇄 순서;
  • 복구 기준;
  • 독립 보증의 범위;
  • 변경된 통제;
  • 수리 검증에 사용된 시험;
  • 잔여 리스크.

그 정도의 공개는 사후 분석을 공격 안내서로 만들지 않으면서 고객, 규제 당국, 동종 업계가 복원력을 평가할 수 있게 한다.

레거시 네트워크가 현역 복원력 용량이 됐다

통신사는 흔히 2G와 3G를 은퇴 예정인 레거시 기술로 설명한다. 이 사건 동안 그것들은 복구 인프라가 됐다.

Vodafone의 공개 순서는 음성 서비스가 광범위하게 돌아왔고 모바일 데이터는 처음에 3G로만 가용했다고 말한다. 당시 보도는 2G 음성이 먼저 복구되고 3G 데이터가 뒤따랐으며 4G와 5G는 재구축됐다고 전했다. [1][3][17]

그 폴백은 세대 간 다양성을 보여준다. 또한 레거시 인프라의 가치가 일상 트래픽 양만으로 측정될 수 없는 이유를 보여준다.

폴백 네트워크는 평상시 비교적 적은 트래픽을 나르면서도 현대 코어 장애 시 필수 서비스를 보존할 수 있다. 복원력 가치는 여러 요인에 달려 있다.

  • 기기가 접속할 수 있는지;
  • SIM 및 가입자 시스템이 가용한지;
  • 음성 및 긴급 통화가 작동하는지;
  • 충분한 주파수와 무선 용량이 남아 있는지;
  • 지리적 커버리지가 적절한지;
  • 전송과 교환이 독립적인지;
  • 로밍 사용자가 연결할 수 있는지;
  • 사물통신 기기가 구세대를 지원하는지;
  • 운영 인력이 사고 중 안전하게 구성할 수 있는지.

폴백에는 한계도 있다.

구형 네트워크는 데이터 용량이 적고 보안 기능이 적으며 기기 지원이 줄어들 수 있다. 5G 전용 서비스를 사용하는 고객이 3G에서 동등한 경험을 얻는다고 가정할 수 없다. 유선, 텔레비전, 기업 서비스에는 모바일 세대 폴백이 전혀 없을 수 있다. 수백만 기기가 더 작은 잔여 부하를 위해 설계된 계층에 접속하려 할 때 혼잡이 나타날 수 있다.

따라서 올바른 증거는 단순히 “3G가 작동했다”가 아니다.

통신사는 다음을 보여줄 수 있어야 한다.

  • 지역 및 기기 등급별 접속 성공률;
  • 통화 설정 및 완료;
  • 긴급 통화 성공률;
  • 패킷 세션 수립 및 처리량;
  • SMS 전달;
  • 혼잡 및 거절률;
  • 로밍 성능;
  • 각 서비스 복구 시간;
  • 폴백 경로가 없는 고객과 서비스.

그 증거가 은퇴 결정에 정보를 제공한다.

더 넓은 정책 교훈은 폴백 세대가 제거될 때 그 연속성 기능을 의도적으로 대체해야 한다는 것이다. 현대화는 다층 장애 경계를 하나의 공통 코어와 하나의 복구 경로로 조용히 바꿔서는 안 된다.

2022년 사건은 3G를 무기한 유지해야 한다고 입증하지 않는다. 해체 결정이 은퇴시키는 복원력 기능을 식별하고 시험된 대안을 입증해야 한다는 점을 입증한다.

24시간 미만 복구 주장에는 서비스 매트릭스가 필요하다

Vodafone의 안정화 성명은 팀들이 24시간 이내에 10년치 기술 진화에 해당하는 복구를 수행해 2G와 3G에서 4G와 5G로 이동했다고 밝혔다. [3]

이는 강력한 복구 주장이다. 책임 있는 형태는 매트릭스다.

어떤 서비스가, 어디서, 누구를 위해, 어떤 시험을 기준으로 복구됐는가?

통신사는 4G 시그널링이 가용하다고 진실하게 보고하면서도 일부 데이터 세션은 여전히 실패할 수 있다. 모바일 음성을 복구하면서 SMS 대기열이 지연될 수 있다. 텔레비전 플랫폼이 로드되면서 다시보기 기능은 불가능할 수 있다. 유선 음성이 대부분 고객에게 작동하면서 일부 접속 지역은 불안정할 수 있다. 기업 게이트웨이가 도달 가능하면서 개별 애플리케이션이나 국제 경로는 뒤처질 수 있다.

“네트워크 복구”라는 표현은 이런 차이를 압축한다.

서비스 매트릭스에는 최소한 다음이 포함돼야 한다.

서비스최소 복구 증거
2G 음성등록, 통화 설정, 통화 완료, 긴급 통화 성공
3G 데이터접속, 인증, 패킷 세션 생성, 처리량, 혼잡
4G 데이터등록, 베어러 생성, DNS, 인터넷 및 사설망 도달성
5G등록, 제어 평면 안정성, 세션 수립, 폴백 동작
SMS제출, 저장, 전달, 배달, 대기열 경과 시간
유선 음성접속 등록, 인바운드 및 아웃바운드 통화, 긴급 라우팅
텔레비전라이브 서비스, 인증, 프로그램 데이터, 양방향 기능
기업사설 게이트웨이, VPN, 주소 지정, 라우팅, 정책, 애플리케이션 점검
국제 연결로밍, 상호접속, 트랜짓, 파트너 도달성
고객 지원전화, 디지털 채널, 계정 접근, 상태 공지

증거는 지리적으로 대표성을 가져야 하고, 수리 중인 동일한 제어 평면과 독립적이어야 한다.

서비스 상태를 선언하는 시스템이 침해 환경의 일부라면 초록색 대시보드만으로 충분하지 않다. 외부 프로브, 파트너 측정, 합성 트랜잭션, 고객 영향 데이터가 독립적 시야를 제공한다.

복구에는 단계도 있다.

  1. 봉쇄는 피해 행위가 더 이상 확장되지 않는 상태를 뜻한다.
  2. 정결은 대응자가 신뢰할 수 있는 관리 환경을 갖춘 상태를 뜻한다.
  3. 기능 가용은 서비스가 최소 트랜잭션을 수행할 수 있는 상태를 뜻한다.
  4. 용량 복원은 예상 부하를 감당할 수 있는 상태를 뜻한다.
  5. 안정은 오류율과 의존성이 시간에 걸쳐 범위 안에 유지되는 상태를 뜻한다.
  6. 재발 방지 완료는 실패 클래스가 해결되고 시험된 상태를 뜻한다.

Vodafone의 성명은 복구 진행에서 네트워크 안정화로 이동했다. [1][3] 공개 기록은 전체 서비스 매트릭스를 제공하지 않는다. 그래서 복구 설명은 하나의 타임스탬프를 사건의 끝으로 취급하기보다 통신사 주장과 독립적으로 검증 가능한 측정을 구분해야 한다.

긴급 통신은 폴백을 공공 의무로 바꾼다

통신 장애는 사용자가 긴급 서비스에 연결할 수 없거나 대응자가 운영 연결성을 잃을 때 공공 안전 사건이 된다.

Ars Technica의 당시 보도는 긴급 서비스 복구가 우선시됐다고 전했다. [14] ANACOM의 더 넓은 연간 사고 보고는 포르투갈 112 긴급번호 접근에 영향을 미친 사건들을 논의하지만, 그 집계 수치를 전부 Vodafone에 귀속할 수는 없다. [8]

증거 경계가 중요하다. 가용한 공개 기록은 Vodafone 특정의 완전한 긴급 통화 실패 건수를 확립하지 않는다. 다만 긴급 서비스 복구가 우선순위였고 장애가 국가 유무선 통신에 영향을 미쳤음을 확립한다.

긴급 복원력은 일반 음성 가용성에서 추론하지 말고 별도 서비스로 시험해야 한다.

단말이 신호를 표시하면서도 긴급 통화를 완료하지 못할 수 있다. 네트워크가 등록 가입자에게 일반 통화를 허용하면서 긴급 라우팅은 다르게 동작할 수 있다. 위치, 통화 설정, 상호접속, 공공안전 응답 센터, 폴백 규칙이 각각 독립적으로 실패할 수 있다. 기기는 홈 네트워크가 불가용할 때 다르게 동작할 수 있다.

책임 있는 긴급 서비스 기록에는 다음이 포함될 것이다.

  • 시도 및 완료된 112 통화;
  • 설정 시간 및 실패 원인;
  • 지리적 분포;
  • 기기 및 네트워크 세대 등급;
  • 올바른 응답 센터로의 라우팅;
  • 발신자 위치 가용성;
  • 다른 계층 또는 네트워크를 통한 폴백;
  • 공공안전 기관 연결성;
  • 봉쇄 및 복구 시간;
  • 당국의 독립 검증.

우선순위도 설명해야 한다.

용량이 부족할 때 어떤 트래픽이 보호되는가? 통신사가 긴급 통화를 위해 자원을 예약하는가? 음성을 보존하면서 낮은 우선순위 데이터를 제한할 수 있는가? 대응자와 중요 서비스에 관리된 우선순위가 주어지는가? 그 메커니즘이 손상된 동일한 정책 시스템에 의존하는가?

이는 사후 홍보 질문이 아니라 설계 질문이다.

Vodafone의 순서는 고용량 서비스보다 기본 음성을 먼저 복구하는 가치를 시사한다. 이는 합리적 서비스 우선순위 패턴이다. 대중은 서비스별 증거 없이 그 효과를 완전히 평가할 수 없다.

기준은 비례적 투명성이어야 한다. 긴급 접근이 측정되고 수리됐음을 보여줄 만큼 공개하되, 새로운 취약점을 만들 수 있는 세부사항은 보호해야 한다.

관리 평면은 데이터 평면보다 더 큰 장애 도메인이 될 수 있다

통신 복원력 논의는 흔히 중복 링크, 무선 사이트, 데이터센터에 집중한다. 사이버 사건은 관리 평면에 도달해 그 물리적 보호를 우회할 수 있다.

관리 평면에는 아이덴티티, 콘솔, 오케스트레이션, 구성 시스템, 소프트웨어 저장소, 원격 접근, 모니터링, 자동화가 포함된다. 이는 많은 프로덕션 시스템을 빠르게 변경할 수 있다. 그것이 운영 가치이자 리스크다.

네트워크는 별도 건물에 중복 코어 노드를 두면서도 둘 다 동일한 특권 도메인에서 명령을 받을 수 있다. 중복 서비스 플랫폼을 유지하면서 이미지와 구성을 하나의 쓰기 가능한 저장소에 보관할 수 있다. 백업 링크를 두면서 하나의 정책 시스템이 둘을 통제할 수 있다.

공개 기록은 이 정확한 패턴이 Vodafone 장애를 일으켰다고 확립하지 않는다. 관리 평면 분리가 책임성 시험에 들어가야 하는 이유를 보여준다.

통신사는 다음을 정의해야 한다.

  • 어떤 아이덴티티가 각 네트워크 세대와 서비스를 관리할 수 있는가;
  • 기업 및 네트워크 자격 증명이 분리돼 있는가;
  • 특권 접근이 어떻게 승인, 기록, 폐기되는가;
  • 비상 계정이 보호되고 시험되는가;
  • 어떤 오케스트레이션 시스템이 여러 장애 도메인을 변경할 수 있는가;
  • 구성 저장소가 불변이거나 독립 검증되는가;
  • 모니터링이 프로덕션 관리 외부에 읽기 전용 경로를 갖는가;
  • 대응자가 대역 외 관리를 통해 시스템에 도달할 수 있는가;
  • 침해 후 깨끗한 관리 환경이 어떻게 구축되는가.

복구 과정은 일반 도구가 신뢰할 수 없을 수 있다고 가정해야 한다.

공격자가 모니터링을 변경할 수 있다면 대응자에게 외부 증거가 필요하다. 구성 저장소를 변경할 수 있다면 서명됐거나 독립 해시된 검증된 정상 상태가 필요하다. 백업에 도달할 수 있다면 그 백업은 복구 자산이 아니다. 아이덴티티를 조작할 수 있다면 복구된 모든 시스템이 재감염 또는 무단 변경 위험에 놓인다.

클린룸 재구축에는 문서화된 체인이 있어야 한다.

  1. 신뢰할 수 있는 하드웨어 또는 격리된 복구 호스트를 구축한다;
  2. 신뢰할 수 있는 아이덴티티와 자격 증명을 구축한다;
  3. 소프트웨어 및 구성 출처를 검증한다;
  4. 최소 제어 기능을 재구축한다;
  5. 경계가 정해진 하나의 서비스 도메인을 재연결한다;
  6. 독립적으로 측정한다;
  7. 통제된 단계로 용량과 서비스를 확장한다;
  8. 포렌식 및 의사결정 증거를 보존한다.

Vodafone이 국내, 국제, 외부 파트너 팀이 복구에 참여했다고 밝힌 것은 복잡한 재구축과 일치한다. [2][3] 내부 방법을 공개하지는 않는다. 책임성 요건은 민감한 명령을 공개하는 것이 아니다. 복구가 침해된 권한을 같은 경로로 단순히 되돌려 놓지 않았음을 입증하는 것이다.

백업은 파일만이 아니라 네트워크 상태를 보존해야 한다

“백업이 있었다”는 완전한 통신 복구 주장이 아니다.

코어 네트워크에는 여러 종류의 상태가 있다.

  • 소프트웨어 이미지;
  • 구성;
  • 가입자 및 정책 데이터;
  • 키와 인증서;
  • 라우팅과 주소 지정;
  • 서비스 인벤토리;
  • 오케스트레이션 정의;
  • 로그와 감사 기록;
  • 외부 플랫폼에 대한 의존성.

이 자산은 서로 다른 속도로 변하고 서로 다른 복구 요건을 가진다.

정적 구성 백업은 깨끗하지만 너무 오래됐을 수 있다. 현재 데이터베이스 사본은 악의적 변경을 포함할 수 있다. 소프트웨어 이미지는 진본이지만 배포 매니페스트가 틀릴 수 있다. 복구된 서비스는 작동하지만 로깅과 감사가 불완전할 수 있다.

따라서 통신사는 사용 가능한 네트워크 상태를 재구성하는 시험과 함께 서비스별 복구 시점 및 복구 시간 목표를 필요로 한다.

책임 있는 백업 설계는 다음에 답할 것이다.

  • 어떤 상태가 불변인가?
  • 어떤 사본이 프로덕션 자격 증명과 오프라인인가?
  • 무결성은 어떻게 검증되는가?
  • 검증된 정상 시점은 어떻게 선택되는가?
  • 그 시점 이후 어떤 변경을 재적용해야 하는가?
  • 키와 인증서는 어떻게 복구 또는 교체되는가?
  • 서비스 활성화 전에 의존성은 어떻게 점검되는가?
  • 복구된 상태는 의도된 정책과 어떻게 비교되는가?
  • 전체 재구축은 얼마나 자주 훈련되는가?

Vodafone 사건의 네트워크 세대 이동은 단계적 복구의 유용한 모델을 제공한다. 모든 제품을 한꺼번에 복구하기보다 통신사는 최소 신뢰 서비스를 재구축하고 계층을 추가할 수 있다. 각 단계에는 서명된 매니페스트와 측정 가능한 수용 기준이 있어야 한다.

그 과정은 증거도 생산한다.

매니페스트는 소프트웨어 해시, 구성 해시, 데이터베이스 스냅샷, 승인, 배포 대상, 시작 및 종료 시간, 검증 결과, 잔여 예외를 결합할 수 있다. 독립 프로브는 서비스 결과를 배포된 상태에 결합할 수 있다.

이 체인 없이 복구 성명은 고객에게 서비스가 돌아왔다고 말한다. 체인이 있으면 통신사는 복구된 서비스가 왜 신뢰받아야 하는지를 입증할 수 있다.

숫자에는 정의가 필요하다

Vodafone Group의 연차보고서는 모바일 고객 470만 명과 유선 고객 100만 명이 영향을 받았다고 밝혔다. [6] RTP는 포르투갈인 400만 명이 영향을 받았다고 보도했다. [16] 이 수치들이 반드시 모순되는 것은 아니지만 상호 교환 가능하지도 않다.

모바일 고객 수는 가입을 나타낼 수 있다. 한 사람이 여러 SIM을 가질 수 있다. 유선 수는 가구 또는 기업 회선을 나타낼 수 있다. 영향을 받은 서비스 인스턴스가 사건 전체 기간의 완전한 불가용을 뜻하지는 않는다. 한 고객은 2G 음성을 유지하면서 모바일 데이터를 잃을 수 있다. 다른 고객은 유선 음성이 가용한 동안 텔레비전을 잃을 수 있다.

ANACOM은 2022년 신고된 37건의 보안 사건이 집계로 640만 가입자에게 영향을 미쳤고, 한 핵심망 사이버공격이 전국적으로 막대한 영향을 미쳤다고 설명했다. [8] 640만 명 총계는 규제 당국의 사건 집합을 포괄하므로 Vodafone 사건 총계로 다시 말해서는 안 된다.

편집 규칙은 간단하다. 숫자에 단위와 주체를 붙여 유지하라.

  • “Vodafone Group은 모바일 고객 470만 명과 유선 고객 100만 명이 영향을 받았다고 보고했다.”
  • “RTP는 약 400만 명이 영향을 받았다고 보도했다.”
  • “ANACOM의 2022년 집계는 37건의 사건과 영향을 받은 가입자 640만 명을 포괄했다.”

이 문장들은 증거를 보존한다. “공격으로 Vodafone 고객 640만 명의 서비스가 중단됐다”는 출처가 제공하지 않는 주장을 만들어낼 것이다.

같은 규율이 기술 복구 지표에도 적용돼야 한다.

접속 성공률에는 분모, 지역, 세대, 시간 창이 필요하다. 통화 완료 수치에는 목적지 등급과 긴급 통화 처리가 필요하다. 서비스 가용률에는 부분 저하의 정의가 필요하다. 복구 기간에는 시작과 서비스별 종료 조건이 필요하다.

이는 지나친 세부 집착이 아니다. 모호한 지표는 집중된 피해를 숨길 수 있다.

전국 가용성이 99%인데 한 지역에 긴급 통화가 없다면 평균은 오해를 낳는다. 모바일 데이터가 3G를 지원하는 기기에는 작동하지만 4G 전용 기업 장비군에는 작동하지 않는다면 집계된 “데이터 복구” 주장이 운영 실패를 숨길 수 있다.

좋은 사고 증거는 분모를 보이게 한다.

규제는 자동 판결이 아니라 증거 프레임워크를 제공한다

사건 당시 유럽 전자통신규범(EECC)은 회원국이 제공자가 네트워크 및 서비스 보안 리스크를 관리하기 위해 적절하고 비례적인 기술적·조직적 조치를 취하도록 보장할 것을 요구했다. 제40조는 또한 사고 영향을 예방하고 최소화하는 조치와 중대 사고를 부당한 지체 없이 통지할 것을 요구했다. [19]

ENISA의 제40조 및 제41조 지침은 통제를 거버넌스, 시스템 및 시설, 운영, 사고 관리, 사업 연속성, 모니터링, 감사, 시험 같은 영역으로 구성했다. 여기에는 당국이나 감사자가 검토할 수 있는 증거의 예가 포함됐다. [18]

이 출처들은 책임성을 구호에서 통제로 옮기기 때문에 가치 있다.

통신사는 보안이 중요하다고만 말해서는 안 된다. 리스크 소유권, 아키텍처, 절차, 시험, 모니터링, 보존 증거를 보여줘야 한다. 규제 당국은 사건만 세어서는 안 된다. 조치가 서비스와 리스크에 적절했는지 평가할 수 있어야 한다.

Vodafone 사건은 그 프레임워크에 비추어 시험될 수 있다.

  • 핵심망 리스크가 서비스 및 의존성 수준에서 식별됐는가?
  • 관리 및 프로덕션 장애 도메인이 분리됐는가?
  • 연속성 계획이 현대 모바일 코어 기능 상실에 대해 훈련됐는가?
  • 팀이 신뢰할 수 있는 상태에서 복구할 수 있었는가?
  • 긴급 및 우선순위 서비스가 측정됐는가?
  • 모니터링이 독립적으로 유지됐는가?
  • 복구 주장이 증거로 뒷받침됐는가?
  • 교정 조치가 시험됐는가?

가용한 공개 기록에는 Vodafone에 대해 이 질문에 답하는 ANACOM 결정이 포함되지 않는다. 프레임워크를 위반 판단으로 바꾸는 것은 잘못이다.

이후 ENISA 보고는 2022년 주요 통신 사고를 집계했고, BEREC의 복원력 작업은 사이버공격 및 기타 중단 중 통신 연속성을 강조한다. [9][20] 이 후속 출처들은 업계 기대를 설명하는 데 도움을 준다. 특정 실패를 소급해 입증하지는 않는다.

프레임워크와 판결의 구분은 정확성과 책임성을 모두 보호한다.

기사가 권한 없이 법적 주장을 하는 것을 막는다. 또한 통신사가 공개 제재의 부재를 모든 통제가 적절했다는 증거로 취급하는 것을 막는다. 기술적 학습은 진행될 수 있으면서 공식 판단은 경계 안에 남는다.

이후 아키텍처 발표는 맥락이지 재발 방지 증명이 아니다

2022년 4월 Vodafone Portugal은 Mavenir가 컨테이너화된 통합 5G 코어를 공급할 것이라고 발표했다. [5] 그 시점 때문에 발표는 통신사의 진화하는 아키텍처와 관련이 있다. 2월 사건과의 인과관계를 입증하지는 않는다.

증거는 Vodafone이 공격 때문에 Mavenir를 선택했거나, 제품이 영향을 받은 시스템을 대체했거나, 새 코어가 사건의 실패 클래스를 해결했다고 보여주지 않는다. 여기서 검토된 공개 출처는 그런 주장을 확립하지 않는다.

발표는 더 좁은 요점을 뒷받침할 수 있다.

현대 모바일 코어는 점점 소프트웨어 정의, 가상화, 오케스트레이션화되고 있다. 컨테이너화는 배포 일관성, 확장성, 서비스 민첩성을 개선할 수 있다. 또한 소프트웨어 공급, 오케스트레이션, 아이덴티티, 정책, 관찰 가능성을 복원력의 중심으로 만든다.

새 아키텍처는 제어 표면을 바꾼다. 책임성을 제거하지는 않는다.

통합 코어에 대한 질문에는 다음이 포함된다.

  • 어떤 기능이 클러스터, 아이덴티티, 오케스트레이션을 공유하는가?
  • 테넌트, 네트워크 기능, 관리 도메인은 어떻게 격리되는가?
  • 구성 또는 소프트웨어 변경이 장애 도메인을 넘을 수 있는가?
  • 이미지가 서명되고 출처가 검증되는가?
  • 롤백이 기본 제어 평면과 독립적인가?
  • 침해된 시스템을 신뢰하지 않고 깨끗한 코어를 재구축할 수 있는가?
  • 상태를 가진 가입자 및 정책 기능은 어떻게 보호되는가?
  • 변경 후 각 서비스를 어떤 독립 프로브가 검증하는가?

컨테이너화된 인프라는 불변 배포와 빠른 재구성을 지원할 수 있다. 또한 하나의 오케스트레이터가 광범위한 변경을 빠르게 할 수 있게 한다. 리스크는 라벨이 아니라 설계와 통제에 달려 있다.

따라서 Vodafone의 이후 발표는 증거 경계로 기사에 속한다. 아키텍처는 계속 진화했지만 제품 발표는 사고 사후 분석이나 재발 방지 시험이 아니다.

규제 당국에는 연간 합계만이 아니라 현재 배포 상태 증거가 필요하다

ANACOM의 연간 보고는 사건을 업계 전체 기록에 위치시키기 때문에 가치 있다. 전국적 핵심망 사건을 막대한 영향과 함께 식별하고 악의적 원인을 다른 사건 클래스와 구분했다. [8]

연간 집계에는 한계가 있다.

신고된 사건 수, 영향을 받은 가입자 수, 흔한 원인을 보여줄 수 있다. 그러나 한 통신사의 세그멘테이션, 폴백, 백업, 복구 통제가 작동했는지는 그 자체로 보여줄 수 없다.

영향이 큰 사건의 경우 규제 당국은 현재 배포 상태 증거를 검사할 수 있어야 한다.

  • 승인된 아키텍처 및 의존성 지도;
  • 접근 통제 및 세그멘테이션 정책;
  • 실패 시점의 유효 구성;
  • 백업 및 이미지 해시;
  • 모니터링 및 경보 기록;
  • 사고 의사결정;
  • 복구 매니페스트;
  • 서비스별 시험 결과;
  • 재발 방지 변경;
  • 재현 또는 훈련 증거.

“현재 배포 상태”가 중요한 이유는 정책 문서가 프로덕션과 달라질 수 있기 때문이다.

통신사는 문서화된 세그멘테이션 표준을 두고도 공유 자격 증명이 남아 있을 수 있다. 백업 정책이 불변성을 요구해도 현재 저장소가 쓰기 가능할 수 있다. 연속성 계획이 폴백을 약속해도 트래픽 증가 이후 용량이 시험되지 않았을 수 있다.

증거 체인은 승인된 의도와 배포된 상태, 관찰된 결과를 결합해야 한다.

규제 접근이 모든 증거의 공개를 요구하지는 않는다. 민감한 토폴로지와 보안 세부사항은 보호될 수 있다. 대중은 범위가 정해진 보증을 받을 수 있다.

  • 어떤 서비스와 의존성이 실패했는가;
  • 어떤 통제 클래스가 변경됐는가;
  • 어떤 시험이 수행됐는가;
  • 누가 독립적으로 검토했는가;
  • 어떤 잔여 리스크가 남아 있는가;
  • 후속 검증은 언제 이뤄지는가.

그 균형은 취약점을 광고하지 않고 신뢰를 뒷받침한다.

복구 커뮤니케이션은 운영 통제의 일부다

전국 장애 중 상태 커뮤니케이션은 복원력과 별개가 아니다. 고객, 긴급 서비스, 기업, 파트너가 대응하는 방식을 형성한다.

Vodafone은 공개 성명으로 영향을 받은 서비스, 초기 폴백, 이후 안정화를 설명했다. [1][2][3] 그 성명들은 고객에게 광범위한 복구 그림을 제공했다. 첫 성명은 지속되는 중단과 진행 중인 조사도 인정했다.

책임 있는 상태 프로세스는 사고 전에 설계돼야 한다.

영향을 받은 고객 지원 및 프로덕션 시스템과 독립적인 채널이 필요하다. 완벽한 확실성을 기다리지 않고 경계가 정해진 사실을 공개할 권한이 필요하다. 일관된 서비스 정의와 업데이트 시각이 필요하다.

유용한 업데이트는 다음을 말한다.

  • 어떤 서비스 클래스가 영향을 받는가;
  • 통신사가 언제 처음 영향을 관찰했는가;
  • 무엇이 여전히 가용한가;
  • 고객이 사용할 수 있는 폴백은 무엇인가;
  • 어떤 지역 또는 기기 등급이 다른가;
  • 긴급 접근이 영향을 받는가;
  • 어떤 봉쇄 단계에 도달했는가;
  • 다음 업데이트는 언제인가;
  • 무엇이 아직 알려지지 않았는가.

뒷받침되지 않는 귀속과 과도하게 넓은 복구 주장은 피해야 한다.

“고객 데이터가 접근됐다는 징후 없음”이라는 표현은 경계가 정해진 진술의 예다. 완료된 조사를 주장하지 않고 현재 지식을 전달한다. [1]

“네트워크 안정화”라는 표현에는 내부 증거 정의가 있어야 한다. 임계값 아래의 지속적 오류율, 설명되지 않는 구성 드리프트 없음, 모니터링 복원, 우선순위 서비스 시험 완료, 통제된 잔여 예외가 필요할 수 있다.

커뮤니케이션 기록은 사고 원장의 일부가 돼야 한다. 각 성명은 발표 시점의 가용 증거와 의사결정 책임자에 연결돼야 한다. 그래야 이후 고객이 정확하고 시의적절한 정보를 받았는지 검토할 수 있다.

책임은 실질적 통제를 따른다

Vodafone Portugal 사건에는 여러 행위자가 있었지만 동등한 통제를 가진 것은 아니었다.

Vodafone Portugal은 국가 네트워크 아키텍처, 현지 운영, 서비스 복구, 폴백 활성화, 모니터링, 고객 커뮤니케이션을 통제했다. 어떤 시스템이 아이덴티티와 관리를 공유하는지, 백업이 어떻게 보호되는지, 어떤 서비스가 우선순위를 받는지, 어떤 증거가 복구를 뒷받침하는지를 통제했다.

Vodafone Group은 공유 보안, 플랫폼, 전문성, 거버넌스를 제공했을 수 있다. Vodafone의 성명은 국내 및 국제 팀을 언급했다. [2][3] 공개 기록은 정확한 분담을 공개하지 않으므로 그룹에 특정 행위를 배정하는 것을 뒷받침하지 않는다.

외부 파트너와 공급업체는 기술과 복구를 지원했을 수 있다. 계약상 권한과 접근은 공개되지 않는다. 공급업체 참여가 통합, 접근 경계, 연속성에 대한 통신사의 책임성을 제거하지 않는다.

ANACOM은 업계 감독, 통지, 증거 요청을 통제했다. Vodafone의 프로덕션 시스템을 운영하지는 않았다.

CNCS 및 기타 국가 당국은 사이버보안 조정, 조사, 맥락을 제공했다. Vodafone의 서비스 의존성을 설계하지는 않았다.

긴급 서비스, 기업 고객, 상호접속 통신사, 로밍 파트너는 자체 연속성과 외부 측정을 통제했다. Vodafone 네트워크에 의존했고 영향 증거를 제공할 수 있었지만 코어를 수리할 수는 없었다.

공격자는 얻은 접근을 통해 가능한 악의적 행위를 통제했다. 공개 기록은 누구였는지, 얼마나 많은 접근을 가졌는지를 확립하지 않는다.

이 지도는 책임이 한 단어로 붕괴되는 것을 막는다.

공격자가 사건을 일으킬 수 있고 통신사는 여전히 복원력에 책임이 있을 수 있다. 공급업체가 플랫폼을 제공할 수 있고 통신사는 여전히 장애 도메인 설계에 책임이 있을 수 있다. 규제 당국이 업계를 감독할 수 있고 프로덕션 복구 책임자가 되지는 않는다. 고객은 백업을 유지할 수 있지만 국가 모바일 코어 상실을 보상할 수는 없다.

가장 강한 책임성 주장은 실질적 통제에 붙는다.

  • 누가 공유 접근을 예방할 수 있었는가;
  • 누가 서비스를 격리할 수 있었는가;
  • 누가 폴백을 활성화할 수 있었는가;
  • 누가 신뢰할 수 있는 상태를 복구할 수 있었는가;
  • 누가 서비스를 검증할 수 있었는가;
  • 누가 커뮤니케이션할 수 있었는가;
  • 누가 재발 방지 증거를 요구할 수 있었는가.

책임성은 개인 비난이 되어서는 안 된다

공개 기록은 장애를 초래한 결정을 한 직원, 관리자, 임원을 식별하지 않는다. 어떤 개인도 추론해서는 안 된다.

대형 사건이 하나의 자격 증명 또는 하나의 명령으로 시작되더라도 피해 규모는 시스템을 반영한다.

조직은 다음을 선택한다.

  • 특권이 어떻게 부여되는지;
  • 접근이 분리되는지;
  • 변경에 검토가 필요한지;
  • 백업이 독립적으로 보호되는지;
  • 프로덕션 관리자가 모니터링을 변경할 수 있는지;
  • 폴백 용량이 시험되는지;
  • 대응자가 깨끗한 도구를 갖는지;
  • 서비스 복구에 측정 가능한 게이트가 있는지.

리더십은 자금, 인력, 유지보수 창, 아키텍처 우선순위, 위험한 작업을 중단할 권한을 통제한다. 엔지니어링 팀은 그 조건 안에서 구현을 통제한다. 공급업체는 계약 안에서 제품 기능과 지원을 통제한다. 규제 당국은 감독과 증거 요구를 통제한다.

한 사람에 집중하면 이런 선택을 숨길 수 있다. 신고를 억제하고 학습을 줄일 수도 있다.

더 나은 검토는 다음을 묻는다.

  • 어떤 통제가 초기 접근을 제한했어야 했는가?
  • 어떤 통제가 측면 권한을 제한했어야 했는가?
  • 어떤 통제가 복구 상태를 보호했어야 했는가?
  • 어떤 폴백이 작동했는가?
  • 어떤 폴백이 용량 또는 커버리지를 갖추지 못했는가?
  • 어떤 독립 모니터가 서비스 상태를 탐지했는가?
  • 어떤 책임자가 봉쇄를 승인할 수 있었는가?
  • 어떤 증거가 재발 방지를 입증하는가?

이 질문들은 동기나 과실을 주장하지 않고 책임을 식별할 수 있다.

성공한 통제도 인정한다. 현대 서비스보다 2G 음성과 3G 데이터를 복구할 수 있었다는 점은 일부 다양성과 복구 능력이 남아 있었음을 시사한다. 교훈은 모든 것이 실패했다는 것이 아니다. 복원력은 살아남은 경계와 실패한 경계 각각에서 측정돼야 한다는 것이다.

고객은 의존도에 비례한 증거를 필요로 한다

대부분 고객은 모바일 통신사의 코어를 검사할 수 없다. 그래도 유용한 증거를 요구할 수 있다.

소비자는 정확한 서비스 상태, 긴급 통화 안내, 폴백 지침, 데이터 침해 업데이트, 장기 상실의 공정한 처리를 필요로 한다.

기업은 더 많은 것을 필요로 한다.

  • 어떤 접속 및 게이트웨이 서비스가 영향을 받았는가;
  • 사설 주소 지정과 라우팅이 변경됐는가;
  • 인증 또는 인증서가 변경됐는가;
  • 관리형 보안이 계속 활성 상태였는가;
  • 국제 링크와 로밍이 작동했는가;
  • 어떤 트랜잭션이 실패했는가;
  • 복구는 어떻게 검증됐는가;
  • 어떤 재발 방지가 자체 연속성 계획에 영향을 미치는가.

공공 기관이나 중요 서비스는 우선순위, 다양성, 독립 복구에 대한 계약 증거를 필요로 할 수 있다.

이 사건은 백업 연결성에 대한 가정도 문제 삼는다.

두 소매 제품이 동일한 통신사 코어에 의존할 수 있다. 유선 링크와 모바일 백업이 아이덴티티, 전송, DNS, 지원, 관리 시스템을 공유할 수 있다. 두 번째 SIM이 같은 네트워크를 사용할 수 있다. 로밍 약정이 인증이나 정책을 위해 여전히 홈 통신사에 의존할 수 있다.

따라서 연속성 시험은 제품명이 아니라 의존성을 따라야 한다.

고객은 다음을 물을 수 있다.

  • 백업 연결성이 진정으로 별도 통신사와 코어에 있는가?
  • 별도 전력, 접속, 전송, DNS를 사용하는가?
  • 기본 아이덴티티 시스템이 실패해도 사용자가 인증할 수 있는가?
  • 중요 애플리케이션이 낮은 대역폭의 3G 또는 기본 음성을 견딜 수 있는가?
  • 긴급 및 사고 연락처가 기본 네트워크 밖에서 가용한가?
  • 장애 전환 훈련이 현실적 혼잡 아래 수행되는가?

이 질문들은 통신사 책임을 고객에게 전가하지 않는다. 중요 서비스가 통제 가능한 집중을 이해해야 하고, 통신사는 판매하는 인프라에 계속 책임이 있음을 인식한다.

검증 가능한 재발 방지 패키지에 포함될 내용

복구는 즉각적 피해를 끝낸다. 재발 방지는 재발을 다룬다.

이 사건 클래스에 대한 검증 가능한 재발 방지 패키지는 악용 가능한 세부사항을 노출할 필요가 없다. 실패, 통제, 시험을 연결해야 한다.

1. 고정된 사건 경계
영향을 받은 서비스 및 통제 도메인, 시간 창, 지역, 고객 클래스를 식별한다. 확인된 사실, 통신사 귀속, 미지의 항목 간 구분을 보존한다.

2. 권한 지도
어떤 아이덴티티, 시스템, 팀이 각 도메인을 변경할 수 있는지 보여준다. 공통 관리 경로와 예외 접근을 식별한다.

3. 의존성 지도
모바일 세대, 유선 서비스, 텔레비전, 메시징, 고객 지원, 기업, 국제 기능을 공유 및 독립 구성요소에 연결한다.

4. 복구 상태 출처
각 재구축에 사용된 소프트웨어, 구성, 가입자, 정책 상태를 해시와 신뢰 결정과 함께 기록한다.

5. 서비스 복구 매트릭스
각 서비스, 지역, 세대, 우선순위 클래스에 대한 기능 및 용량 시험을 보고한다.

6. 독립 관찰
복구된 제어 평면 외부의 프로브와 파트너를 사용해 도달성과 트랜잭션을 검증한다.

7. 교정 통제
수행된 세그멘테이션, 접근, 백업, 모니터링, 프로세스 변경의 클래스를 설명한다.

8. 재현 시험
원래 실패 클래스와 의미적 변형을 통제된 환경에서 훈련한다.

9. 잔여 리스크
여전히 공유되는 의존성, 수용된 예외, 아직 열린 마일스톤을 명시한다.

10. 독립 보증
누가 재발 방지를 검토했고 어떤 증거를 봤으며 어떤 한계가 남았는지 기록한다.

패키지는 정확한 배포 버전에 결합돼야 한다. 배포된 구성을 결합하지 않고 정책을 참조하는 보고서는 프로덕션 상태를 입증할 수 없다. 초록색 대시보드 스크린샷은 독립 서비스를 입증할 수 없다. 백업이 존재한다는 진술은 깨끗한 복구를 입증할 수 없다.

증거 품질은 영향 범위와 일치해야 한다.

수백만 가입과 국가 서비스를 중단시킬 수 있는 시스템의 경우 수리 기록은 리더십 교체, 공급업체 변경, 다음 사건을 견뎌야 한다.

공개 기록이 입증할 수 없는 것

여기서 검토된 공개 기록은 강한 네트워크 책임성 분석과 경계가 정해진 결론을 뒷받침한다. 완전한 기술 사후 분석을 뒷받침하지는 않는다.

다음을 입증할 수 없다.

  • 공격자;
  • 공격 벡터;
  • 악성코드 또는 랜섬웨어;
  • 최초 침해된 아이덴티티 또는 기기;
  • 영향을 받은 정확한 코어 또는 관리 시스템;
  • 파괴된 데이터의 양 또는 유형;
  • 첫 성명 이후 고객 데이터가 접근됐는지 여부;
  • 정확한 탐지 및 봉쇄 시간;
  • 내부 토폴로지;
  • 세그멘테이션 및 특권 상태;
  • 백업 무결성;
  • 클린룸 절차;
  • 서비스별 영향;
  • 완전한 긴급 통화 영향;
  • 로밍 및 기업 영향;
  • 개별 결정;
  • 계약 또는 손실;
  • 규제 당국 판단;
  • 배포된 정확한 재발 방지.

이후 아키텍처 변경이 사건 때문에 이뤄졌다는 것도 입증할 수 없다. Vodafone의 2022년 4월 Mavenir 발표는 맥락이지 수리 증명서가 아니다. [5]

이후 ENISA, GSMA, BEREC 자료는 업계 교훈을 제공하지만, 2022년 2월 7일 당시 무엇이 요구되고 알려지고 구현됐는지를 다시 쓰는 데 사용해서는 안 된다. [9][13][20]

이 한계들이 핵심 결론을 약화하지는 않는다.

공개 연대기는 광범위한 서비스 결합과 단계적 폴백을 동반한 악의적 촉발 통신 장애를 보여준다. 그것으로 중요한 통제를 식별하기에 충분하다. 격리, 복구 상태, 레거시 용량, 우선순위, 측정, 증거다.

미지의 항목은 책임 있는 사후 분석이 제공해야 할 것을 정의한다.

재사용 가능한 핵심망 복원력 책임성 시험

이 사건은 모든 국가 통신사에 적용할 실용적 시험을 뒷받침한다.

1. 공유 권한을 지도화하라.
여러 서비스 도메인을 변경할 수 있는 아이덴티티, 관리 시스템, 오케스트레이션, 저장소를 식별한다.

2. 장애 도메인을 정의하라.
어떤 모바일 세대, 유선 서비스, 메시징, 텔레비전, 기업, 지원 플랫폼이 독립적으로 실패할 수 있는지 문서화한다.

3. 관리 경로를 분리하라.
일반 기업 또는 프로덕션 관리의 침해가 모든 네트워크 및 복구 계층을 통제할 수 없도록 보장한다.

4. 검증된 정상 상태를 보호하라.
독립 검증된 소프트웨어, 구성, 키, 필수 서비스 데이터를 프로덕션 권한 외부에 유지한다.

5. 깨끗한 복구 환경을 설계하라.
사고 전에 신뢰할 수 있는 아이덴티티, 도구, 통신, 대역 외 접근을 제공한다.

6. 폴백 용량을 보존하라.
구세대 또는 대체 코어가 지역, 기기, 서비스 클래스별로 무엇을 감당할 수 있는지 측정한다.

7. 필수 통신에 우선순위를 두라.
긴급 통화, 공공안전 사용자, 중요 서비스를 정의하고 제한된 용량 아래 우선순위를 시험한다.

8. 경계가 정해진 단계로 복구하라.
서명된 매니페스트, 수용 시험, 롤백과 함께 한 번에 하나의 서비스 도메인을 활성화한다.

9. 외부에서 측정하라.
복구된 환경이 통제하지 않는 독립 프로브, 상호접속 통신사, 서비스 트랜잭션을 사용한다.

10. 복구를 정확히 정의하라.
봉쇄, 기능 가용, 용량, 안정성, 재발 방지를 구분한다.

11. 의사결정과 증거를 보존하라.
경보, 승인, 배포된 바이트, 서비스 측정, 공개 성명, 예외를 결합한다.

12. 실패 클래스를 시험하라.
일반 장비 고장만이 아니라 관리 및 코어 도메인의 상실 또는 침해를 훈련한다.

13. 의존성 은퇴를 감사하라.
2G, 3G 또는 다른 폴백이 제거될 때 대체 연속성 기능을 입증한다.

14. 비례적 보증을 공개하라.
공격을 가능하게 하는 세부사항을 노출하지 않고 무엇이 실패했고, 무엇이 바뀌었고, 어떻게 시험됐고, 무엇이 불확실한지 고객과 규제 당국에 알린다.

이 시험은 중단 없는 서비스를 약속하지 않는다. 통제와 증거를 네트워크의 도달 범위에 비례하게 만든다.

결론

Vodafone Portugal의 2022년 중단은 통신 복원력이 서비스가 돌아오는 순서에서 보인다는 점을 보여줬다.

통신사는 고의적이고 악의적인 사이버공격을 보고했다. 4G와 5G, 유선 음성, 텔레비전, SMS, 고객 서비스 기능, 비즈니스 애플리케이션이 영향을 받았다. 모바일 음성과 3G 데이터가 현대 모바일 세대보다 먼저 돌아왔다. 이후 팀들은 4G와 5G를 복구하고 더 넓은 서비스 집합을 계속 안정화했다. [1][3][6][7]

공개 기록은 공격자, 벡터, 정확히 손상된 시스템을 식별하지 않는다. 뒷받침되지 않는 포렌식 또는 법적 결론으로 확장해서는 안 된다.

다만 인프라 질문은 식별한다.

왜 하나의 사건이 그렇게 많은 서비스에 영향을 미칠 수 있었는가? 어떤 코어 및 관리 의존성이 공유됐는가? 어떤 권한이 분리됐는가? 어떤 복구 상태가 신뢰할 수 있었는가? 레거시 계층이 얼마나 많은 트래픽을 감당할 수 있었는가? 긴급 및 기업 서비스는 어떻게 측정됐는가? 복구가 안정적이고 재발 방지가 지속 가능함을 무엇이 입증했는가?

책임성은 공격을 당한 통신사를 비난하는 것이 아니다. 예방이 실패한 뒤 통신사가 실제로 보유한 통제를 평가하는 것이다.

2G와 3G 폴백은 작동하는 복원력 통제로 다뤄질 가치가 있다. 광범위한 장애는 상관된 의존성의 증거로 다뤄질 가치가 있다. 24시간 미만 복구 주장은 서비스별 측정을 받을 가치가 있다. 이후 안정화는 완전한 재발 방지와 구분될 가치가 있다.

국가 통신 인프라에서 “서비스가 돌아왔다”는 증거 의무의 끝이 아니라 시작이다.

출처

  1. https://www.vodafone.pt/en/press-releases/2022/2/cyberattack-on-vodafone-portugal.html
  2. https://www.vodafone.pt/press-releases/2022/2/vodafone-portugal-alvo-de-ciberataque.html
  3. https://www.vodafone.pt/press-releases/2022/2/vodafone-portugal-com-regresso-a-normalidade.html?PageSpeed=noscript
  4. https://www.vodafone.pt/press-releases/2022/5/vodafone-portugal-apresenta-resultados-do-ano-fiscal-2021-2022.html
  5. https://www.vodafone.pt/press-releases/2022/4/vodafone-escolhe-mavenir-como-fornecedor-do-core-5g.html
  6. https://investors.vodafone.com/~/media/files/v/vodafone-ir/documents/performance/financial-results/2022/vodafone-2022-annual-report.pdf
  7. https://reports.investors.vodafone.com/view/919554535
  8. https://anacom.pt/render.jsp?contentId=1741589
  9. https://www.enisa.europa.eu/publications/telecom-security-incidents-2022
  10. https://www.cncs.gov.pt/docs/relatorio-riscosconflitos2022-obciber-cncs15m.pdf
  11. https://www.cncs.gov.pt/docs/rel-riscosconflitos2023-obcibercncs.pdf
  12. https://www.cncs.gov.pt/docs/rel-tecemer2023-observ-cncs.pdf
  13. https://www.gsma.com/security/wp-content/uploads/2023/02/GSMA-Mobile-Telecommunications-Security-Landscape-2023_v1_for-website.pdf
  14. https://arstechnica.com/information-technology/2022/02/vodafone-portugal-struggles-to-restore-service-following-cyberattack/
  15. https://www.reuters.com/technology/vodafone-portugal-hit-by-hackers-says-no-client-data-breach-2022-02-08/
  16. https://www.rtp.pt/noticias/pais/ciberataque-contra-vodafone-afetou-quatro-milhoes-de-portugueses_v1383041
  17. https://rr.pt/noticia/pais/2022/02/08/vodafone-espera-ter-rede-movel-a-funcionar-esta-tarde/271618/
  18. https://www.enisa.europa.eu/publications/guideline-on-security-measures-under-the-eecc
  19. https://eur-lex.europa.eu/legal-content/EN-PT/TXT/?uri=CELEX%3A32018L1972
  20. https://www.berec.europa.eu/en/all-topics/network-resilience?language_content_entity=en