1. OT 보안의 위험 증가

2021년 5월 가장 큰 송유관 관리업체인 콜로니얼 파이프라인이 사이버 공격을 받아 연료 공급이 중단된 사고가 있었습니다. 회사는 해킹 조직에 복구의 대가로 500만 달러 상당의 비트코인을 지급하고 연료 공급을 재개하는 것으로 정상화했습니다.

이 사고는 랜섬웨어 해킹의 공격이 기존의 IT 영역뿐만 아니라 OT(공장운영기술) 영역까지도 심각하게 위협하고 있다는 것이 널리 알려지는 계기로 작용했습니다. 물론 이러한 OT/ICS(산업제어시스템) 영역에 대한 공격이 최근에 생겨난 것은 아닙니다. 2010년 스턱스넷 공격부터 여러 사건이 있었으나, 최근에는 랜섬웨어와 결합하며 발생 빈도도 늘어나고 피해도 증가하고 있습니다.

이러한 사고 사례를 살펴보면 기존에는 내부자의 부주의나 외부의 침투로 인해 발생했다면 최근에는 네트워크를 통한 전파/감염의 사고가 빈번해지는 것을 알 수 있습니다. 이는 산업 전반에 걸쳐 이뤄지는 DX의 물결에 따라 생산 환경도 스마트팩토리 등을 도입하면서 시작된 변화인데요. OT/ICS 환경 자체도 Closed 환경에서 부분적인 Open을 허용하는 환경이 증가하는 추세를 보입니다.

이러한 DX의 변화를 마냥 피할 수 없다고 한다면 OT/ICS 산업의 변화와 함께 보안도 강화해야겠죠. 그렇다면 보안 관점에서 어떤 것을 고려해야 하고, 또 어떻게 준비해야 할까요? OT/ICS 환경의 보안을 어떻게 적용해야 하는지 이번 글에서 알아보겠습니다.

2. OT/ICS 환경 변화

OT/ICS 네트워크 환경 변화

기존의 OT/ICS 환경은 인터넷과 같은 외부 네트워크와 분리해 내부 장비들만 생산 순서대로 연결하는 독립적 폐쇄 환경에서 운영했습니다. 이런 환경에서 이기종 장비 간 상호 운용은 고려사항이 아니었기에 제조사(밴더) 중심의 개별 규격을 발전시키며 성장해왔죠. 또한, 보안도 고려사항에서 떨어져 있어서 보안 활동이나, 보안 솔루션의 적용도 미비한 채로 유지됐습니다. 그러나, 4차 산업혁명 및 DX의 커다란 물결은 생산 환경을 크게 바꿔 놓았습니다.

기술의 발전으로 많은 공장이 스마트팩토리로 전환하고 있는데요. 관리/통제를 위해 인터넷 및 외부 네트워크와 원격 연결도 피할 수 없게 됐으며, 생산 장비도 이러한 연결성을 고려하여 범용 OS를 채용하고 있습니다. 또한, 통신에서도 표준 프로토콜(TCP/IP)의 사용이 확산하며, IT 환경과 연동을 할 수 있는 방향으로 변화했습니다.

가장 핵심적인 변화인 OT 네트워크의 외부 연결에 관해서는 [2021년 SANS 설문조사: OT/ICS 사이버 시큐리티]의 조사에서 그 현황을 알 수 있습니다. 해당 조사에 따르면 2019년에 비해 2021년 외부와 연결된 “OT 네트워크”가 월등히 증가한 것을 아래 그림을 통해 알 수 있습니다.

OT/ICS 환경의 제약 사항

이러한 OT/ICS 환경 변화에 대응하기 위해 IT환경에 적용된 보안 대응 방안을 적용할 수 있는지 들여다보았습니다. 하지만 IT와 OT는 목적과 방향이 다르기 때문에 시스템 환경 자체가 매우 달라 적용에 한계가 있었습니다.

OT는 생산 공정을 고려해 준비된 설비로서 한 곳의 장애로 전체 생산이 중단될 수도 있으며, 이에 따른 생산 차질이 발생하는 등 비즈니스 영향도가 큰 시설입니다. 따라서 무엇보다 가용성이 우선시되는 시설이며 작은 변경도 까다로운 점검을 통해 이뤄집니다. 또한 IT는 전산실과 업무 장소 등 지정된 영역에 제한적으로 적용되지만, OT는 좁게는 공장 단위에서 넓게는 국가 단위의 시설까지 넓은 지역에 퍼져 있기에 물리적인 통제 또한 큰 고려사항이 될 수 있습니다.

또한 생애주기가 15년 전후로 길어서 장비를 교체하지 않고 유지하고 있으며 이에 따라 오래된 단말/시스템의 개선 또는 변경 자체가 불가능한 경우도 많다는 특징을 가지고 있죠. 이는 보안 정책/절차를 도입하고 솔루션을 적용하는 데 있어 큰 제약 사항이 아닐 수 없습니다.

OT/ICS 환경 변화에 따라 별도의 OT 보안 체계 필요

앞서 살펴본 것처럼 기존 OT/ICS 환경은 더 이상 폐쇄 환경이 아니기 때문에 OT/ICS 환경도 외부 침입 및 내부 유출에 대응하는 보안 정책 및 보안 솔루션의 적용을 반드시 고려해야 합니다. 생산 환경의 경쟁력 강화를 위해 스마트팩토리를 도입하는 경우 기존 OT/ICS 환경의 보안이 준비되지 않은 채로 전환하면 OT/ICS 환경의 보안 취약점이 고스란히 외부에 노출될 수밖에 없습니다.

OT/ICS 환경은 그 특성상 피해의 규모가 크고 재해 및 인명피해를 동반할 수 있으므로 스마트팩토리 또는 DX로 전환 전에 OT 보안의 강화가 우선 고려돼야 합니다. 그 방법에 있어서도 OT/ICS 환경의 특성 및 제약조건을 고려한 보안을 구성해야 하며, IT와 환경과의 통합 관점에서 별도의 OT 보안 체계(정책 및 아키텍처)를 수립하고 적용해야만 합니다.

3. OT 보안 적용 방안 (OT 보안 프로세스)

OT 보안의 중요성을 고려해 보안을 적용하는 방법을 알아보면 [OT/ICS 환경 위험분석 – OT 보안 구축 – OT 보안 대응 방안 적용 – 운영 시 보안 관리] 순으로 이뤄집니다. 아래에서 순서별로 고려할 사항을 살펴보겠습니다.

OT/ICS 환경 위험분석

OT/ICS 환경의 가장 큰 위협은 무엇일까요? 환경에 따라 다를 수 있지만, 대부분 생산환경에서 가장 큰 취약점은 보호 대상 자산을 정확하게 관리하기 곤란하다는 점일 것입니다. 자산을 식별하지 못하면 보안 정책 적용의 완전성을 담보할 수 없으며 누락된 자산의 취약점이 전체 시스템의 취약점이 될 수 있죠. 그렇기 때문에 대상 자산을 정확하게 파악하고 자산간 관계를 분석하는 것이 필요합니다. 이러한 자산관 관계가 확인된 후에 각 자산이 가진 내재적, 외부적인 위협을 분석하고 위협별 대응 방안을 수립 및 적용이 뒤따라 이뤄지게 됩니다.

가시성 확보: 보호 대상 식별

OT/ICS 환경에는 많은 생산장비가 있으나 IT처럼 자산 관리시스템 등을 활용해 관리하기 곤란한 경우가 많은데요. 시스템이 오래됐거나, 관리가 안 되거나 전용 OS를 사용해 관리 SW를 설치할 수 없는 경우 등 다양한 사례가 있습니다. 그 뿐만 아니라 생산 장비에 내장된 부속 PC 나 업무 처리 부품, 통신 장비 등 시스템 및 부속의 교체가 빈번하게 발생합니다.

이러한 환경임에도 장비 담당자를 통해 전사 관리 시스템을 가지고 생산 장비/PC를 등록하거나 교체 여부를 관리하는 절차가 마련되어 있는 경우가 흔하지 않습니다. 이 때문에 보호 대상 자산의 비가시성이 발생하고, 이 부분이 OT/ICS 환경의 보안이 힘들게 된 가장 큰 요인이 되는 것입니다. 그렇다면 자산을 식별/관리하기 위한 방법은 어떤 것이 있을까요?

물리적 인력 조사 방법

첫 번째 방법은 물리적으로 자산 실사를 통해 자산을 조사하는 방법입니다. 단 기간에 많은 인력을 집중적으로 투입해 장비의 현황과 부속을 모두 조사해 정리하는 방법입니다. 이 방법은 담당자가 수동으로 자산을 직접 식별하기에 누락 없이 자산 전체 현황을 파악할 수 있습니다. 특히 네트워크에 접속하지 않은 Stand-alone 장비에 대해서도 식별이 가능하며 실제 담당자의 참여로 자산 관리의 효과성을 고취하는 장점이 있습니다.

다만 단기간에 집중적으로 많은 인력 투입이 필요하며 단일 시점의 상태는 측정 가능할 수 있으나 시간이 지날수록 자산 변동에 대한 추적 관리 면에서 그 효율성이 떨어진다는 단점이 있습니다.

기술적 조사 방법

두 번째는 네트워크 기반의 탐지 솔루션을 이용하는 방법입니다. 네트워크망에 연결된 장비에게 통신 패킷을 송신해 응답 여부를 확인하거나 네트워크 트래픽을 분석해 송/수신 장비를 확인하는 방법을 이용합니다. 이 경우 주의해야 할 점으로는 반드시 OT 장비 전용 프로토콜을 분석 가능한 솔루션을 선택해야 한다는 것입니다. 과거에는 TCP/IP 통신이 아닌 OT 제조사 전용 프로토콜을 사용하는 경우가 많았으므로 사업장에서 사용하는 OT 보안 프로토콜을 분석 가능한 장비를 선택해야 합니다.

이 방법은 솔루션을 통한 상시 감시가 가능하고 OT 장비에 대한 악성코드, 취약점 식별 등을 식별할 수 있는 장점이 있습니다. 실시간으로 장비 변동 현황을 확인할 수 있는 장점을 가지고 있으나 이와 동시에 네트워크에 연결되지 않은 장비는 추적할 수 없다는 단점이 있습니다.

보호 대상 취약점/위협 확인 및 위험 분석/평가

OT의 보안 위협은 공정에 대한 중단 위협(네트워크 장애, 장비 사용 불가 조작 등)과 장비에 대한 파괴 위협(비권한자의 접속, 장비의 악성코드 배포 등)이 있습니다. 이 부분은 KISA에서 발간한 스마트공장 사이버 보안 가이드에 상세히 설명하고 있으므로 해당 부분을 참고해 파악할 수 있습니다.

KISA의 스마트팩토리 사이버 취약점 분석

KISA에서 2019년에 발간한 취약점 분석의 주요 내용으로 생산설비, 제어, 응용 시스템 및 지원 환경에서 고려해야 할 보안 사항은 아래와 같습니다.

각각의 영역에 대해 발생 가능한 취약점은 아래와 같습니다.

지금까지 OT/ICS 환경에는 어떤 위협과 어떤 취약점이 있는지 알아보았습니다. 2편에서는 OT/ICS 보안을 어떻게 구축하고 성공적으로 운영할 수 있는지에 대해 자세히 알아보도록 하겠습니다.

[참고]

[A SANS 2021 Survey: OT/ICS Cybersecurity]
주간기술동향(1981호, 2021.01.27, 산업제어시스템 보안, 김경호)
[KISA_스마트공장사이버보안가이드]

글 ㅣ LG CNS 사이버시큐리티팀 황배형 책임