FA망 원격접속 보안 위협

공장, 산업 설비, 기반 시설 등을 대상으로 한 사이버 공격이 나날이 진화하고 있습니다. 2010년 이란 핵시설을 공격한 스턱스넷(Stuxnet)을 시작으로, 스카다(Supervisory Control And Data Acquisition, SCADA)나 산업제어시스템(ICS) 등을 타겟으로 한 공격이 계속해서 증가하고 있는데요. 2018년에는 대만 공장 TSMC의 생산라인이 중단됐고, 2019년에는 노르웨이 노르스크 하이드로 공장 가동이 중단되는 등 큰 피해가 발생했습니다.

이번 편에서는 이러한 공장 내 네트워크, FA(Factory Automation)망 보안 강화 방법에 대해 알아보겠습니다. 업무와 비즈니스를 위한 OA(Office Automation)망 원격접속 보안은 이전 편(바로가기) 을 참고해주세요.

과거 공장 폐쇄망 보안 사고는 대부분 USB나 이메일을 통한 보안 공격으로 시작됐습니다. 하지만 이제는 우회가 가능한 원격접속 방법으로 폐쇄망 내부 시스템을 장악, 내부 시스템에 접근한 뒤 불법 제어까지 하는 보안 공격으로 발전했습니다. 이러한 공격이 사회 기반 시설과 같은 정부·공공기관, 국방, 병원 등으로 번질 경우, 경제적 피해뿐만 아니라 사회 전체에 큰 혼란과 심각한 피해를 야기할 수 있습니다.

최근 대부분의 기업이 디지털 트랜스포메이션(Digital Transformation, DX)을 추진하고 있습니다. 밑단의 설비 데이터를 윗단으로 끌어올려 빅데이터화 시키고, 이를 바탕으로 AI 기반의 설비 예지보전이나 모니터링을 진행하며 생산/운영의 편리함과 가용성을 확보하고 있는데요.

설비 전용망의 데이터를 윗단으로 끌어올리기 위해, PIS(Plant Information Server)서버에 인터페이스 두 개를 연결하고 그중 한 개를 위의 망에 연결해 방화벽을 거치지 않고 데이터를 전송하는 경우가 있습니다. 또한, 기존 윗단과 밑단 망 사이에 방화벽이 존재하더라도 방화벽 정책이 미흡해 쉽게 뚫릴 때가 많아 해커들의 공격으로부터 안전하지 못한 상황입니다.

취약한 패스워드도 해커의 타겟이 될 수 있는데요. 한국인터넷진흥원(KISA)은 윈도우 원격접속 서비스(Remote Desktop Protocol, RDP)에서 보안에 취약한 패스워드를 사용할 경우, 해커가 대상시스템을 모니터링하고 임의 조작할 수 있기 때문에 주의가 필요하다고 강조합니다. 비밀번호가 취약할 경우, 해커가 무차별 대입공격(Brute Force Attack)을 통해 비밀번호를 쉽게 알아내어 무단침입을 더욱 쉽게 할 수 있기 때문이죠.

FA망 원격접속 보안 강화

FA망 원격제어란, 자동화된 공장에서 유선 또는 무선의 통신로를 이용해 멀리 떨어진 곳에 있는 기계를 제어하는 것을 말합니다. 공장 내에서는 현장 출입이 어려운 경우가 많은데요. 통제 구역으로 현장 관계 담당자를 대동하지 않고 서버룸이나 설비실을 방문해야 하는 제약이 발생할 때가 잦습니다. 그로 인해 개발자 및 현장 유지보수 관계자들은 원격으로 설비 및 시스템에 접속해 업무를 진행하게 됩니다.

원격접속 제어솔루션을 활용할 경우, 관리자로부터 계정 생성 및 접속 권한을 받아 진행하며 상황에 따라 설정된 제한 시간 안에 작업해야 하는 경우도 발생합니다. 원격제어는 편리한 만큼 보안 위협에 노출될 수 있기에 각별한 주의가 필요합니다. 서버접근제어 솔루션 또한 FA망 내 설비 서버 및 시스템 원격접속 시 많이 활용되고 있습니다.

공장 내 폐쇄망은 사이버 공격으로부터 더 이상 안전하지 않습니다. 고비용의 보안 시설인 폐쇄망은 해커들에게는 더욱 가치 높은 공격 대상이 되기 때문에 지속적인 보안 점검과 집중적인 관리가 필요합니다. 이에 망 분리 환경의 폐쇄망에서는 외부로 연결된 자산, 비인가된 IP나 서비스, 악성 코드를 탐지하는 보안 점검과 보안 위협을 제거하는 것이 필수적입니다.

기본적으로 방화벽의 보안정책은 외부의 트래픽 유입을 원천 차단해야 합니다. 또한, 출발지가 내부 IP의 NAT 테이블에 등록된 세션에 대해서만 극히 제한적인 통신을 허용하고 원격 사용자도 접속 권한을 받은 자에 한해서 설비 망 내 설비 및 시스템에 접속할 수 있도록 해야 합니다.

원격접속 시 5가지 단계를 거치게 됩니다. 접속을 인증하고 계정 비밀번호를 관리, 계정별 접속 가능 IP를 식별해 보안 대책을 강구합니다. 계정관리 및 보안정책 원격접속을 위한 계정은 인증된 사용자에게 서버 혹은 시스템별 유지관리 계정을 별도로 발급합니다. 접속가능한 IP를 제한하고 계정별 내부망에 접속 시 받는 IP는 고정해 접속 및 트래픽 세션로그 분석이 가능하도록 구성합니다.

윈도우 원격접속 프로그램인 RDP 접속에는 유추가 불가능한 복잡한 패스워드를 사용하며, 주기적(3~6개월)으로 비밀번호를 변경합니다. 또한, RDP에서 기본으로 사용되는 포트번호(3389/TCP)를 서비스별 사용하는 기본 포트번호를 제외한 다른 포트번호로 변경해 보안을 강화합니다.

FA망 원격접속 보안을 관리적 보안, 기술적 보안, 물리적 보안 3가지 관점에서 바라본 보안 대책은 다음과 같습니다.

관리적 보안
(1) 접속 권한 관리
공장 내 설비 PC 및 시스템 접속이 필요한 팀에 한정 지어 사용자가 접근할 수 있도록 구성합니다. 접속 권한을 부여할 시 각 공정 및 개별 설비에 접속 권한을 부여함으로써 한 계정에서 모든 설비에 접속 권한을 부여하는 것을 지양합니다. 원격접속은 차단하는 것을 기본 원칙으로 합니다.

(2) 계정 관리
계정 생성은 업무적으로 꼭 필요한 여부를 재검토 후 각 부서 및 팀장의 승인 하에 최소한으로 계정을 생성하는 것을 기본 원칙으로 합니다.

(3) 원격제어 관리
원격으로 접속할 수 있는 업무 시간을 설정하고 그 외의 시간은 설비 및 시스템의 원격접속을 차단함으로써 보안 위협을 차단할 수 있습니다.

기술적 보안
(1) 사용자 인증
원격제어를 사용하는 사용자를 식별하고 인증하기 위해 2단계(2-Factor) 인증이 될 수 있도록 구성.

(2) 방화벽 보안정책
사전에 원격접속 권한을 받은 사용자가 접속 가능한 설비 및 시스템 IP에 접근할 수 있도록 방화벽 보안 정책 적용.

(3) 로그 관리
원격접속 권한을 받은 사용자의 보안 위협 이상징후 발생 시 로그를 확인하고 원격접속 캡처 및 녹화화면을 분석해 보안 위협 차단 가능.

(4) 동시 접속
설비 PC 환경에 따라 동시 접속자 수를 설정하도록 구성. 접속자 PC에서 현재 접속 PC 사용자를 확인할 수 있고 동시접속 시 제어권은 1명에게만 할당되게 구성.

물리적 보안
(1) 화면 잠금
사용자가 원격접속을 통해 작업 진행 시 현장에 외부인이 있을 경우, 설비 모니터를 통해 중요한 정보가 노출될 수 있음. 이러한 보안 위협을 방지하기 위해 모니터 신호 차단 및 모니터 화면에 검은색 레이어로 표시하는 방법으로 구성

(2) 자동/강제 세션 종료
원격접속 이후 일정 시간이 지나 움직임이 없는 경우, 자동 세션 종료를 시킴. 강제 종료 권한을 가진 관리자는 접속해 있는 특정 사용자를 강제 종료할 수 있도록 구성해 원격 세션의 물리적 보안 강화 구성

아직까지 많은 제조업체 공장들이 FA망 내 낙후된 설비를 사용하고 있고, 작업자들이 현장에 직접 방문해 유지 보수를 진행하고 있습니다.

최근에는 설비 PC의 프로그램 설치 없이 HDMI 케이블과 USB(키보드, 마우스)케이블만으로 원격제어가 가능한 솔루션이 나오기도 했습니다. 유무선 기능을 모두 지원해, IP만 부여한다면 어떤 설비든 원격접속이 가능해 장비 모니터링 및 유지 보수할 수 있게 됐습니다. 하지만, 원격접속이 편리해진 만큼 보안도 함께 강화돼야 합니다. 더 나아가, 근무지에 상관없이 안전하게 업무를 볼 수 있도록 스스로가 보안 인식을 가지는 것이 무엇보다 중요합니다.

● 보안 컨설팅부터 구축/운영/관제 등 LG CNS의 통합보안 서비스가 궁금하다면?

[참고] 그림 2 – LG CNS 교육자료_시스템보안 및 서버접근제어 그림 3 – SSL VPN을 이용한 폐쇄망 내부의 원격유지보수 개선사례 논문 자료 그림 4 – KISA(한국인터넷진흥원) 윈도우 원격데스크톱프로토콜(RDP) 사용 주의 권고

글 ㅣ LG CNS 사이버보안서비스팀 박진한 책임