산업 제어 시스템은 흔히 ‘ICS (Industrial Control System, 산업 제어 시스템)’라고 부릅니다. 감시 제어 및 데이터 취득(Supervisory Control And Data Acquisition)을 뜻하는 SCADA와 붙여 ‘ICS/SCADA’로 통칭하기도 하며, 정보통신기반 보호법은 이를 국가안전보장•행정•국방•치안•금융•통신•운송•에너지 등의 업무와 관련된 전자적 제어•관리 시스템이라고 정의하고 있습니다. 

ICS/SCAD 보안 위협 및 사례

국내에서도 이미 2014년 한국수력원자력 해킹으로 ICS 보안 위협에 대한 인식이 높아져 있습니다. 망 분리 및 최신 보안이 적용된 것으로 알려진 한수원의 원자력 관련 내부망이 해킹되어 당시 사회적 이슈로 대두되었고, 북한과 대치 중인 우리나라의 경우 민감한 안보 관련 ICS 위협이 구체화, 현실화된 사례이기도 했습니다.

리서치앤마켓(Research and Market)에 의하면, 국내 ICS 보안 시장 규모는 연평균 48.8% 성장해 2020년에는 913억에 이를 것으로 전망하고 있습니다. ICS 기반의 4차 산업혁명에 따라 보안의 중요성과 함께 관련 시장도 크게 성장할 것으로 예상하고 있는 시점입니다.

ICS는 설치 구축 후 오랜 기간 운영되는 특성이 있고, 이로 인해 해당 산업 제어 시스템의 3분의 1 이상이 보안 취약점에 대해서 보안 패치가 존재하지 않는 상황입니다.

국내 ICS 보안 기술은 외부 경계 보호에만 치중하는 실정이고, 최근 Industrial IoT와 4차 산업혁명의 부각으로 관심이 높아지고 있습니다. 하지만 2017년 랜섬웨어 공격과 함께 해외의 피해 사례 등이 전파되며, PLC(Programmable Logic Control) 등의 산업용 시스템도 랜섬웨어에 감염될 수 있다는 것이 확인되고 있어 공격에 따른 피해의 심각성이 우려할 만한 수준이라고 할 수 있습니다.

2017년 새 정부의 에너지 효율화 정책 등 스마트 시티, 스마트 그리드와 같은 ICS 기술의 확대가 예상되고 미국, EU 등의 주요 국가에서는 이미 ICS 보안의 요구사항을 정의하고 표준을 주도하고 있는 상황입니다.

 ICS/SCAD 보안의 특징

SCADA 위협은 경영•기술 환경의 변화로 비즈니스 시스템과 통합되고 개방형 시스템으로 표준화가 진행 중인 상황입니다. 최초 폐쇄망으로 망 분리 설계되었지만, IoT의 발전과 함께 인터넷 연결점이 생겨나는 현실입니다. 이로 인해 주요 기반 시설이 공격당할 수 있는 위협 또한 점차 증가하고 있습니다.

그렇다면 ICS/SCADA 시스템은 기존의 IT 시스템과 어떠한 차이점이 있을까요?

Industrial IoT로 불리는 ICS/SCADA의 환경은 IoT 보안 환경과 유사하면서도 더 많은 제약점을 내포하고 있습니다. 최신의 IoT Device, System, N/W과는 달리 이미 수 십 년 전부터 설치 구축 운영 중인 Legacy 시스템 환경이 존재하고 있습니다. 또한 에너지, 발전(수력, 원자력, 송배전망 등), 수자원 관리와 같은 국가 기반 시설 인프라의 경우 보안 공격에 따른 기능 정지 시, 생명 및 국가 경제 마비에 이를 수 있는 파급력 큰 위협에 직면한 상황입니다.

‘14년도 한국수력원자력 발전의 해킹에 의한 원전도면 유출 및 망 침입 사례를 통해 SCADA 망에 대한 위협이 현실화 되었고, 최근 긴장이 완화되고 있기는 하나 아직도 상존하는 북한의 핵무기 및 전달 기술의 발전 및 비대칭 사이버 전력과 이전 공격 사례 등을 살펴볼 때, 그 어느 때보다 선제적인 ICS/SCADA 보안에 대한 기술 개발 및 대응이 필요한 시점이라고 할 수 있습니다.

ICS/SCAD Attack Surface분석

ICS 산업 제어 시스템에는 어떠한 취약점과 공격 경로가 존재하고 있을까요?

최근에는 아래의 이미지와 같이 전문 정보를 제공하는 다양한 웹 정보 사이트를 통해 기업, 전문 솔루션 업체, 보안 전문가들이 공개된 취약점을 기반으로 대응을 준비해 나가고 있습니다.

꼭 관련 전문가나 유관 회사가 아니더라도 독자 여러분의 업무 환경에서 우리 회사의 장비, 인프라, 기술과 관련해 어떠한 취약점이 있는지 알기 위해서 위의 사이트 등은 매우 유용합니다. 특히 ICS/SCADA와 관련해 다양한 정보 및 보고서를 정기적으로 제공해주고 있어 관련 분야의 전문가에게는 꼭 필요한 정보 소스가 되고 있습니다.

다음으로는 ICS/SCADA와 관련해서 어떠한 공격 경로들이 존재하는지 살펴보도록 하겠습니다. 아래 그림과 같이 ICS 산업 제어 시스템에는 다양한 보안 취약 경로들이 존재합니다.

1. 원격 유지보수 및 진단을 위한 연결점 (Remote maintenance and diagnostics connections)
2. 로그 장비 및 MES 서버 등을 업무사용자가 공유 하는 경우 (Historian and Manufacturing Execution Systems (MES) servers shared with business users)
3. 원격접속 모뎀 (Remote Access modems)
4. 시리얼 통신 연결 (Serial connections)
5. 무선 시스템 (Wireless systems)
6. 휴대 노트북 (Mobile laptops)
7. USB 기기 
8. PLC 프로젝트 파일 및 PDF 등의 파일 데이터 (Data files -such as PDF documents or PLC project files)

특히 이동형 저장 매체는 통제 시스템 및 중요 정보 접근 제어 시스템 등이 구축되지 않는 공장 제어 시스템의 경우 USB와 외부 저장 매체를 직접 연결해 중요 정보가 유출되는 상황이 발생하고 있습니다. 위 경로 외에도 안티바이러스 솔루션이 구축되지 않았거나 시스템 내 패치 관리가 제대로 되지 않아 악성코드 감염 및 이를 통한 중요 정보가 유출될 가능성 또한 매우 높습니다.

이 외에도 매각•폐기된 자산과 출력물을 영구 삭제 솔루션 및 디가우저(Degausser) 등을 통해 완전히 삭제하고 파기하지 않아 남아있는 정보가 복구되어 중요 정보가 유출되고, 이를 악의적으로 사용해 제어망에 접근하여 주요 정보를 유출하는 데 이용 될 수도 있는 상황입니다.

앞서 언급한 ICS/SCADA의 Attack Surface와 공격 경로를 분석하여 영역별 취약점 및 위협과 영향도를 요약해보면 아래와 같습니다.

실제로 NCCIC(National Cybersecurity and Communications Integration Center)에서 정기적으로 발간하는 보고서를 살펴보면, 최근 4년간의 공격 분석 결과 위에서 언급한 취약점을 기반으로 한 공격이 증가하고 있음을 살펴볼 수 있습니다.

2017 회계 연도 취약점 요약 (Fiscal Year 2017 Vulnerability Summary)
헬스케어 및 공중 보건 부문의 시장 성숙/성장으로 지난 2016년도에 비해 취약성이 400%나 증가하였고, 장비 제조업체들이 책임감 있게 취약점을 공개하고 완화 전략을 적시에 제공하는 데 적극적으로 참여하고 있음을 확인 할 수 있었습니다.

이러한 지속적인 노력으로 제조업체는 보안성이 향상된 더 우수한 품질의 제품을 만들 수 있습니다.

작년에 발견된 Key 재설치 – KRACK 취약점의 공개는 OT 환경에서 중간자 (man-in-the-middle) 공격의 새로운 위험을 야기했습니다.

OT 네트워크에 대한 위험은 계속 확대되고 있으며 정보자산 소유자는 OT 환경을 안전하게 유지하려는 노력을 계속해야 합니다. 이러한 노력을 통해서만 IT / IoT / OT 환경 간의 경계를 메울 수 있으며, 안전 할 뿐만 아니라 보안 기능을 갖춘 제품에 대한 요구 사항과 이러한 기대에 부응하여 공급 업체를 선택해야만 합니다.

위 보고서 Summery와 같이 ICS 산업 제어 시스템에 대한 취약성이 급속하게 증가하고 있고, 지속적인 노력을 통해서만 안전한 OT 환경을 유지 할 수 있으며, 제조사의 보안에 대한 제공이 이제 제품 선정의 기준으로 바뀌어 가고 있음을 살펴볼 수 있습니다. 

ICS 산업 제어 시스템 보안 대응 방안

그렇다면 ICS 산업 제어 시스템의 위협과 공격에 대응하는 방안에는 어떤 것이 있을까요?

먼저 KISA에서 발간된 스마트공장 중요 정보 유출 방지 가이드를 참고해서 기본적인 보안 대응 방안을 준비해야 하는데요. 자세한 내용은 아래 콘텐츠를 참고하시기 바랍니다.

● 스마트팩토리 보안 위협, 어떻게 이겨낼까? http://blog.lgcns.com/1711 

이번 원고에서는 폐쇄망 관점의 설계 측면에서 기존 ICS 산업 제어망의 네트워크와 관련 ICS망과 기업 네트워크 연결 시 보안 고려사항을 아래와 같이 권고합니다.

• 네트워크가 연결되어야 하는 경우, 최소한의 연결만을 허용하고, 반드시 문서화한다.
• ICS 네트워크 및 장치에 대한 물리적인 접근을 통제한다.
• ICS 데이터 스토리지 및 통신에 대해 암호화 또는 암호화 해시함수와 같은 보안 기법을 적용한다.
• 실현 가능한 신뢰성 및 보안성을 갖춘 네트워크 프로토콜 및 서비스를 사용한다.
• ICS에 설치되기 전에, 실제 시스템 운영 조건과 유사한 환경의 테스트 시스템에서 모든 패치를 테스트한 후, 보안 패치를 신속하게 적용한다.
• ICS 장비뿐만 아니라 네트워크 장비, 보안 장비, 스토리지 장비 등에 탑재된 펌웨어 또는 소프트웨어에 보안 취약점이 있을 경우에도 테스트 시스템에 필드 조건과 유사한 환경에서 패치 테스트를 한 후에 보안 패치를 적용한다.
• 작업을 수행하기 위해 필요한 ICS 사용자 권한을 최소한으로 제한한다.
• ICS 네트워크와 기업 네트워크의 사용자들을 위한 인증 메커니즘, 자격증명을 별도로 구분하여 사용한다.
• ICS의 중요 영역에 대해 감사 추적 및 모니터링을 수행한다.
• ICS망과 회사 내부망의 연결은 일반적으로 허용하지 않지만, 만약 연결이 필요할 경우 방화벽과 DMZ를 통해서 연결하고 단방향 통신을 적용하여 내부망에서 ICS망으로 접근하지 못하도록 권고한다.

LG CNS에서도 ICS 산업 제어 시스템의 한 영역인 스마트팩토리와 관련하여 전문 인력, 체계적인 위협분석 및 컨설팅과 함께 안전한 OT 환경, 그리고 4차 산업혁명을 위한 보안에 대한 솔루션 및 전문 컨설팅 체계를 준비하고 있습니다.

ICS/SCADA 환경에서의 안전한 보안을 위해 산업 및 보안에 대한 표준화 노력, 그리고 보안 전문 업체 및 보안 솔루션 회사들의 지속적인 노력과 협조가 중요하며, LG CNS도 국내 IoT 관련한 민관 협의체 참여 및 가이드 제정 분야에서 전문 회사로 참여하고 있습니다.

ICS/SCADA 산업 제어 시스템은 국가 및 사회 전반에 걸칠 주요 기반 시설로써 사이버 공격으로 인해 기능 마비 시 국민의 생명, 재산, 국가 경제에 혼란 초래할 수 있는 중요한 인프라입니다. 그리고 한국은 현재 전 세계적으로 높은 수준의 제조업을 영유하고 있으며, 4차 산업혁명의 주도적 추진을 통해 새로운 혁신•도약을 이루고자 노력하고 있는 기로에 서 있는 시점입니다.

ICS, SCADA, Industrial IoT, 그리고 4차 산업혁명의 변혁 시기에서 변화의 촉매로서 안전한 전환을 이루기 위하여 LG CNS는 IoT 및 ICS/SCADA 보안 전문 인력과 기술 및 솔루션을 개발•제공•Leading 하여 국가 경제 발전 및 변화의 한 축으로서 일익을 담당하고자 합니다.

글 l LG CNS 보안컨설팅팀