망 설계 단계부터 제로 트러스트·다중요소 인증 적용 권고
핵심 요약
- 파키스탄 통신청이 2025-26 사이버보안 연례보고서에서 5G 코어망과 네트워크 슬라이싱 등의 취약점을 지적했다. 보안 설정과 망 분리가 미흡하면 정보 유출과 서비스 중단으로 이어질 수 있다고 경고했다.
파키스탄(Pakistan) 통신청(PTA)이 도입을 앞둔 5G 네트워크에서 가입자 정보 탈취와 위치 추적, 서비스 거부 공격, 통신 장애가 발생할 수 있다고 경고했다. PTA는 ‘2025-26 사이버보안 연례보고서’에서 단말기부터 무선 접속망, 코어망, 클라우드 서비스까지 취약점을 짚고, 서비스 개시 후 보완하는 대신 설계·구축 단계부터 보안을 반영해야 한다고 강조했다.
PTA의 5G 보안 지침은 제로 트러스트 네트워크 구조, 보안 부팅, 펌웨어 무결성 검증, 정기 보안 패치, 단말 보안 강화, 암호화와 다중요소 인증을 권고한다. 통신사업자와 이해관계자가 안전하고 복원력 있는 5G 망을 구축할 수 있도록 공통 보안 기준을 제공하는 데 목적을 뒀다.
보고서는 민감한 가입자·위치 정보와 인증, 세션 관리, 라우팅, 사업자 간 통신을 처리하는 5G 코어망을 공격 시 파급력이 큰 표적으로 꼽았다. 애플리케이션 프로그래밍 인터페이스(API) 악용과 잘못된 설정, 특권 접근권한 남용, 안전하지 않은 네트워크 오케스트레이션, 외부 시스템·통신 공급망의 취약점이 주요 위험 요인으로 제시됐다. 대응책으로는 사업자 간 인증 강화, 서비스 기반 인터페이스 보호, 스푸핑·인젝션·재전송 공격 방어를 들었다. API에는 OAuth 2.0 기반 권한 부여, TLS 1.3 암호화, 입력값 검증과 기존 보안 표준 준수를 요구했다.
서비스별로 별도 가상망을 구성하는 네트워크 슬라이싱도 주의 대상으로 지목됐다. 설정 오류나 슬라이스 간 분리 미흡은 서비스 사이의 데이터 유출로 이어질 수 있고, 분산 서비스 거부(DDoS) 공격은 망 가용성을 떨어뜨릴 수 있다. PTA는 무선 접속망에 DDoS 탐지와 인공지능(AI) 기반 이상 탐지를 적용하고, 슬라이스 간 격리와 망 구성요소 간 통신 보안을 강화하도록 권고했다.
단말의 안전하지 않은 펌웨어, 미흡한 기기 검증·암호화, 보안이 취약한 API와 부실한 패치 관리도 무단 접근과 악성코드 확산 위험을 높인다. 엣지망은 분산 인프라, 네트워크 기능 가상화, 컨테이너형 워크로드에 따른 추가 위험을 안고 있다. 보고서는 하이퍼바이저 탈출, 권한 상승, 워크로드 격리 미흡, 엣지와 코어망 사이의 안전하지 않은 데이터 흐름을 취약점으로 열거했다.
가입자 개인정보 보호를 위해서는 가입자 은닉 식별자(SUCI)를 활용해 가입자 영구 식별자(SUPI)가 무선 구간에 노출되지 않도록 하고, IMSI 캐처 공격 위험을 줄이도록 했다. 물리적·관리적 통제로는 데이터센터 출입 제한, 생체 인증, CCTV 감시, 전원 이중화와 재해복구 대비를 제시했다. 감사 추적 기록, 역할 기반 접근 통제, 특권 계정의 정기 점검도 권고 사항에 포함됐다.
