본문 바로가기

블로그

LG CNS 기술블로그 DX Lounge에서 최신 IT 소식을 만나보세요!

보안

[OT보안] DX 시대, 이젠 OT/ICS 보안도 달라져야 할 때! 1편

2021.11.04

1. OT 보안의 위험 증가

2021년 5월 가장 큰 송유관 관리업체인 콜로니얼 파이프라인이 사이버 공격을 받아 연료 공급이 중단된 사고가 있었습니다. 회사는 해킹 조직에 복구의 대가로 500만 달러 상당의 비트코인을 지급하고 연료 공급을 재개하는 것으로 정상화했습니다.

이 사고는 랜섬웨어 해킹의 공격이 기존의 IT 영역뿐만 아니라 OT(공장운영기술) 영역까지도 심각하게 위협하고 있다는 것이 널리 알려지는 계기로 작용했습니다. 물론 이러한 OT/ICS(산업제어시스템) 영역에 대한 공격이 최근에 생겨난 것은 아닙니다. 2010년 스턱스넷 공격부터 여러 사건이 있었으나, 최근에는 랜섬웨어와 결합하며 발생 빈도도 늘어나고 피해도 증가하고 있습니다.

[표 1] OT/ICS 환경 시스템 사고 사례

이러한 사고 사례를 살펴보면 기존에는 내부자의 부주의나 외부의 침투로 인해 발생했다면 최근에는 네트워크를 통한 전파/감염의 사고가 빈번해지는 것을 알 수 있습니다. 이는 산업 전반에 걸쳐 이뤄지는 DX의 물결에 따라 생산 환경도 스마트팩토리 등을 도입하면서 시작된 변화인데요. OT/ICS 환경 자체도 Closed 환경에서 부분적인 Open을 허용하는 환경이 증가하는 추세를 보입니다.

이러한 DX의 변화를 마냥 피할 수 없다고 한다면 OT/ICS 산업의 변화와 함께 보안도 강화해야겠죠. 그렇다면 보안 관점에서 어떤 것을 고려해야 하고, 또 어떻게 준비해야 할까요? OT/ICS 환경의 보안을 어떻게 적용해야 하는지 이번 글에서 알아보겠습니다.

2. OT/ICS 환경 변화

OT/ICS 네트워크 환경 변화

기존의 OT/ICS 환경은 인터넷과 같은 외부 네트워크와 분리해 내부 장비들만 생산 순서대로 연결하는 독립적 폐쇄 환경에서 운영했습니다. 이런 환경에서 이기종 장비 간 상호 운용은 고려사항이 아니었기에 제조사(밴더) 중심의 개별 규격을 발전시키며 성장해왔죠. 또한, 보안도 고려사항에서 떨어져 있어서 보안 활동이나, 보안 솔루션의 적용도 미비한 채로 유지됐습니다. 그러나, 4차 산업혁명 및 DX의 커다란 물결은 생산 환경을 크게 바꿔 놓았습니다.

기술의 발전으로 많은 공장이 스마트팩토리로 전환하고 있는데요. 관리/통제를 위해 인터넷 및 외부 네트워크와 원격 연결도 피할 수 없게 됐으며, 생산 장비도 이러한 연결성을 고려하여 범용 OS를 채용하고 있습니다. 또한, 통신에서도 표준 프로토콜(TCP/IP)의 사용이 확산하며, IT 환경과 연동을 할 수 있는 방향으로 변화했습니다.

가장 핵심적인 변화인 OT 네트워크의 외부 연결에 관해서는 [2021년 SANS 설문조사: OT/ICS 사이버 시큐리티]의 조사에서 그 현황을 알 수 있습니다. 해당 조사에 따르면 2019년에 비해 2021년 외부와 연결된 “OT 네트워크”가 월등히 증가한 것을 아래 그림을 통해 알 수 있습니다.

[그림 1] OT/ICS 환경의 외부 연결 증가 (2019 vs 2021, A SANS 2021 Survey: OT/ICS Cybersecurity)

OT/ICS 환경의 제약 사항

이러한 OT/ICS 환경 변화에 대응하기 위해 IT환경에 적용된 보안 대응 방안을 적용할 수 있는지 들여다보았습니다. 하지만 IT와 OT는 목적과 방향이 다르기 때문에 시스템 환경 자체가 매우 달라 적용에 한계가 있었습니다.

[표 2] OT/ICS 시스템과 IT시스템의 비교 (주간기술동향 1981호, 2021.01.27, 산업제어시스템 보안, 김경호, 참조 편집)

OT는 생산 공정을 고려해 준비된 설비로서 한 곳의 장애로 전체 생산이 중단될 수도 있으며, 이에 따른 생산 차질이 발생하는 등 비즈니스 영향도가 큰 시설입니다. 따라서 무엇보다 가용성이 우선시되는 시설이며 작은 변경도 까다로운 점검을 통해 이뤄집니다. 또한 IT는 전산실과 업무 장소 등 지정된 영역에 제한적으로 적용되지만, OT는 좁게는 공장 단위에서 넓게는 국가 단위의 시설까지 넓은 지역에 퍼져 있기에 물리적인 통제 또한 큰 고려사항이 될 수 있습니다.

또한 생애주기가 15년 전후로 길어서 장비를 교체하지 않고 유지하고 있으며 이에 따라 오래된 단말/시스템의 개선 또는 변경 자체가 불가능한 경우도 많다는 특징을 가지고 있죠. 이는 보안 정책/절차를 도입하고 솔루션을 적용하는 데 있어 큰 제약 사항이 아닐 수 없습니다.

OT/ICS 환경 변화에 따라 별도의 OT 보안 체계 필요

앞서 살펴본 것처럼 기존 OT/ICS 환경은 더 이상 폐쇄 환경이 아니기 때문에 OT/ICS 환경도 외부 침입 및 내부 유출에 대응하는 보안 정책 및 보안 솔루션의 적용을 반드시 고려해야 합니다. 생산 환경의 경쟁력 강화를 위해 스마트팩토리를 도입하는 경우 기존 OT/ICS 환경의 보안이 준비되지 않은 채로 전환하면 OT/ICS 환경의 보안 취약점이 고스란히 외부에 노출될 수밖에 없습니다.

OT/ICS 환경은 그 특성상 피해의 규모가 크고 재해 및 인명피해를 동반할 수 있으므로 스마트팩토리 또는 DX로 전환 전에 OT 보안의 강화가 우선 고려돼야 합니다. 그 방법에 있어서도 OT/ICS 환경의 특성 및 제약조건을 고려한 보안을 구성해야 하며, IT와 환경과의 통합 관점에서 별도의 OT 보안 체계(정책 및 아키텍처)를 수립하고 적용해야만 합니다.

3. OT 보안 적용 방안 (OT 보안 프로세스)

OT 보안의 중요성을 고려해 보안을 적용하는 방법을 알아보면 [OT/ICS 환경 위험분석 – OT 보안 구축 – OT 보안 대응 방안 적용 – 운영 시 보안 관리] 순으로 이뤄집니다. 아래에서 순서별로 고려할 사항을 살펴보겠습니다.

OT/ICS 환경 위험분석

OT/ICS 환경의 가장 큰 위협은 무엇일까요? 환경에 따라 다를 수 있지만, 대부분 생산환경에서 가장 큰 취약점은 보호 대상 자산을 정확하게 관리하기 곤란하다는 점일 것입니다. 자산을 식별하지 못하면 보안 정책 적용의 완전성을 담보할 수 없으며 누락된 자산의 취약점이 전체 시스템의 취약점이 될 수 있죠. 그렇기 때문에 대상 자산을 정확하게 파악하고 자산간 관계를 분석하는 것이 필요합니다. 이러한 자산관 관계가 확인된 후에 각 자산이 가진 내재적, 외부적인 위협을 분석하고 위협별 대응 방안을 수립 및 적용이 뒤따라 이뤄지게 됩니다.

가시성 확보: 보호 대상 식별

OT/ICS 환경에는 많은 생산장비가 있으나 IT처럼 자산 관리시스템 등을 활용해 관리하기 곤란한 경우가 많은데요. 시스템이 오래됐거나, 관리가 안 되거나 전용 OS를 사용해 관리 SW를 설치할 수 없는 경우 등 다양한 사례가 있습니다. 그 뿐만 아니라 생산 장비에 내장된 부속 PC 나 업무 처리 부품, 통신 장비 등 시스템 및 부속의 교체가 빈번하게 발생합니다.

이러한 환경임에도 장비 담당자를 통해 전사 관리 시스템을 가지고 생산 장비/PC를 등록하거나 교체 여부를 관리하는 절차가 마련되어 있는 경우가 흔하지 않습니다. 이 때문에 보호 대상 자산의 비가시성이 발생하고, 이 부분이 OT/ICS 환경의 보안이 힘들게 된 가장 큰 요인이 되는 것입니다. 그렇다면 자산을 식별/관리하기 위한 방법은 어떤 것이 있을까요?

물리적 인력 조사 방법

첫 번째 방법은 물리적으로 자산 실사를 통해 자산을 조사하는 방법입니다. 단 기간에 많은 인력을 집중적으로 투입해 장비의 현황과 부속을 모두 조사해 정리하는 방법입니다. 이 방법은 담당자가 수동으로 자산을 직접 식별하기에 누락 없이 자산 전체 현황을 파악할 수 있습니다. 특히 네트워크에 접속하지 않은 Stand-alone 장비에 대해서도 식별이 가능하며 실제 담당자의 참여로 자산 관리의 효과성을 고취하는 장점이 있습니다.

다만 단기간에 집중적으로 많은 인력 투입이 필요하며 단일 시점의 상태는 측정 가능할 수 있으나 시간이 지날수록 자산 변동에 대한 추적 관리 면에서 그 효율성이 떨어진다는 단점이 있습니다.

기술적 조사 방법

두 번째는 네트워크 기반의 탐지 솔루션을 이용하는 방법입니다. 네트워크망에 연결된 장비에게 통신 패킷을 송신해 응답 여부를 확인하거나 네트워크 트래픽을 분석해 송/수신 장비를 확인하는 방법을 이용합니다. 이 경우 주의해야 할 점으로는 반드시 OT 장비 전용 프로토콜을 분석 가능한 솔루션을 선택해야 한다는 것입니다. 과거에는 TCP/IP 통신이 아닌 OT 제조사 전용 프로토콜을 사용하는 경우가 많았으므로 사업장에서 사용하는 OT 보안 프로토콜을 분석 가능한 장비를 선택해야 합니다.

이 방법은 솔루션을 통한 상시 감시가 가능하고 OT 장비에 대한 악성코드, 취약점 식별 등을 식별할 수 있는 장점이 있습니다. 실시간으로 장비 변동 현황을 확인할 수 있는 장점을 가지고 있으나 이와 동시에 네트워크에 연결되지 않은 장비는 추적할 수 없다는 단점이 있습니다.

보호 대상 취약점/위협 확인 및 위험 분석/평가

OT의 보안 위협은 공정에 대한 중단 위협(네트워크 장애, 장비 사용 불가 조작 등)과 장비에 대한 파괴 위협(비권한자의 접속, 장비의 악성코드 배포 등)이 있습니다. 이 부분은 KISA에서 발간한 스마트공장 사이버 보안 가이드에 상세히 설명하고 있으므로 해당 부분을 참고해 파악할 수 있습니다.

KISA의 스마트팩토리 사이버 취약점 분석

KISA에서 2019년에 발간한 취약점 분석의 주요 내용으로 생산설비, 제어, 응용 시스템 및 지원 환경에서 고려해야 할 보안 사항은 아래와 같습니다.

[그림 2] 스마트공장 보안 위협(KISA_스마트공장사이버보안가이드, 2019)

각각의 영역에 대해 발생 가능한 취약점은 아래와 같습니다.

[표 3] 스마트공장 보안 위협(KISA_스마트공장사이버보안가이드, 2019]

지금까지 OT/ICS 환경에는 어떤 위협과 어떤 취약점이 있는지 알아보았습니다. 2편에서는 OT/ICS 보안을 어떻게 구축하고 성공적으로 운영할 수 있는지에 대해 자세히 알아보도록 하겠습니다.

[참고]

[A SANS 2021 Survey: OT/ICS Cybersecurity]
주간기술동향(1981호, 2021.01.27, 산업제어시스템 보안, 김경호)
[KISA_스마트공장사이버보안가이드]

글 ㅣ LG CNS 사이버시큐리티팀 황배형 책임

챗봇과 대화를 할 수 있어요