|
최근 유럽의 에너지 회사 네트워크에서 정보를 빼내는 악성코드 ‘SFG’가 발견되면서 산업제어시스템(ICS) 보안 문제가 다시 화두에 올랐다. 에너지, 발전소, 댐 등 주요 시설의 운영 시스템은 폐쇄된 망에서 운영되고 있지만, 이 시스템에 대한 사이버 공격은 심심치 않게 일어난다. 지난 4월에는 독일 원자력발전소가 오래된 멀웨어로 가득차 있다는 사실이 발견됐으며, 2014년에는 우리나라 한국수력원자력에서 기밀문서가 유출된 사고로 큰 혼란이 빚어진 바 있다.
ICS는 보통 외부와 연결되지 않은 폐쇄망에서 운영되지만, 시스템 업그레이드나 원격제어를 위해 TCP/IP로 연결하게 되는 경우가 있다. IoT가 확대되면서 운영 편리성과 민첩성을 높이기 위해 인터넷으로 연결하는 상황도 늘어나고 있다.
ICS가 외부와 연결되면서 사이버 공격에 노출될 위험이 있으며, 이는 심각한 사회적인 문제로 확산될 수 있다. ICS를 공격해 사회 주요 기반시설을 마비시키는 사이버테러를 일으킬 수 있고, 사람들의 생명을 위협할 수 있다. 사이버 전쟁은 ICS/SCADA와 같은 중요 시스템을 공격하면서 진행될 것이다.
ICS 보안이 어려운 가장 핵심적인 이유는 ICS 운영조직(OT)이 보안 전문성을 갖고 있지 못하고, IT 보안 조직이 ICS 전문성을 갖지 못하기 때문이다. 기술의 문제보다 운영상의 문제가 더욱 크다는 뜻이다.
김계근 SK인포섹 컨설팅사업본부 이사는 “ICS는 서비스 연속성에 우선순위를 두고 있었기 때문에 보안에 소홀했던 것이 사실이다. 특히 ICS는 폐쇄망으로 운영되기 때문에 인터넷을 통한 사이버 공격으로부터 안전하다고 믿어 보안에 관심을 갖지 않았다”며 그러나 “ICS가 TCP/IP 연결을 하게 된 현실에서 보안 대책을 마련하지 않으면 안되는 시점이 됐다. ICS 공격은 서비스를 중단시키는 것에 그치지 않고 주요 시스템을 파괴하거나 사람들의 생명을 위협하는 심각한 사고로 이어질 수도 있다”고 경고했다.
| |
 |
|
|
▲김계근 SK인포섹 컨설팅사업본부 이사는 “ICS 보안의 가장 핵심적인 문제는, ICS 운영조직은 서비스 가용성에 중점을 두고 있으며 보안을 소홀히하고, IT 보안조직은 ICS에 대한 이해가 낮아 ICS에 맞는 보안 정책을 수립하지 못한다는 점”이라고 지적했다.
|
서비스 가용성 유지 위해서는 보안에 투자해야
ICS 보안의 기술적 요소를 따져보면 IT 보안과 크게 다른 점은 없다. 공격은 악성코드의 침입을 통해 이뤄지므로, 알려진/알려지지 않은 악성코드를 차단하고, 외부 C&C 공격을 제어하며, 허가되지 않은 페이로드 설치를 통제하고, 내부 시스템 모니터링을 통해 의심스러운 접근이나 정보유출을 감시해야 한다.
외주인력이나 원격제어 인력을 통제해 보안 위협을 발생시키지 않도록 하며, 정기적인 취약점 점검과 침투테스트를 통해 취약점과 공격가능성을 원천 제거한다. 운영인력과 관리인력의 보안의식 교육을 통해 보안을 습관화하면 된다.
그러나 이 같은 보안의 ‘모범답안’을 현실화 하는 것은 쉽지 않은 일이다. ICS는 쉽게 접근할 수 있는 시스템이 아니다. 제어시설은 한 번 구축하면 거의 바꾸지 않으며, 20년 이상 된 시스템도 변경 없이 사용하는 경우가 많다. 화학공장의 예를 들어보면 패치를 위해 시스템을 중단했을 때, 생산 파이프에 남은 원료가 굳어 파이프에 붙어버리고, 이를 분해하고 청소해 다시 가동시키기까지 일주일 이상 시간이 걸리며, 그동안 생산하지 못한 피해액이 몇 백억에 이르게 된다.
원자력발전소, 댐, 교통시스템 등 사회기반시설은 24시간, 365일 중단 없이 가동돼야 하기 때문에 사회기반시설 취약점 점검 의무화에 맞춰 연 1~2회 취약점 점검을 시도할 뿐이다.
김계근 이사는 “ICS가 ERP 등 IT 시스템과 연결돼 생산과 운영 효율성을 높이고 있는 상황에서 사이버 공격 위협을 간과할 수 없다. 사이버 공격으로 시스템이 파괴되거나 중단되면 서비스 연속성도 중단된다. 서비스 때문에 보안을 소홀히 해서는 안된다는 뜻”이라며 “ICS에 맞는 보안관리체계를 만들어 진화하는 사이버 공격에 대응해야 한다”고 말했다.
“산업별 보안 컨설팅 모범사례 만들 것”
SK인포섹은 ICS 보안 취약점 진단 컨설팅 방법론을 개발해 ICS 정보보호 컨설팅 사업을 진행하고 있다. 이 방법론은 ISO27001에서 제안한 ICS 보안 베스트 프랙티스를 기반으로 수립한 것이다.
SK인포섹의 표준 보안컨설팅 방법론(ISCM) 프로세스에 ICS를 위한 분석-평가-설계-구현-이행의 5단계로 구성했으며, ▲반도체 등 생산/제조 공정관리 분야(Discrete process) ▲에너지/화학 공정관리 분야(Continuous process) ▲상하수도/공공발전 분야인 SCADA 시스템 등 산업분야별 시스템에 특화된 보안 분석 프레임워크를 갖추고 있다.
▲PLC, HMI 등 제어시스템에 대한 시나리오 기반의 모의해킹 기준 및 절차 ▲산업제어 영역에 사용되는 IT시스템에 대한 기술적 점검 기준 ▲정보보호관리체계의 국제 표준인 ISO27001의 에너지 유틸리티 분야 모범사례인 ISO27019를 적용한 관리/물리 진단 기준 등을 갖추었다.
김 이사는 “ICS는 각각의 시스템마다 특징이 있기 때문에 단일한 표준을 만들 수 없다. 다만 산업별로 특성을 반영한 보안 베스트 프랙티스가 국제 표준처럼 사용되고 있으므로, 여기에 SK인포섹의 컨설팅 방법론을 결합해 보다 체계적이고 현실적으로 보안 컨설팅을 진행할 수 있도록 한다”고 말했다.
운영인력·보안인력, ICS 보안 전문성 높여야
SK인포섹의 ICS 보안 컨설팅은 에너지·유틸리티·발전 분야에 가장 폭넓게 적용될 수 있을 것으로 기대하고 있으며, 해외 수출도 가능할 것으로 전망하고 있다. 최근 전 세계적으로 사회주요기반시설에 대한 사이버테러와 사이버 스파이가 확산되고 있어 ICS 보안을 위한 대책 마련이 시급한 상황이다.
김 이사는 “이 방법론에는 SK인포섹이 그동안 ICS/SCADA 보안 컨설팅을 수행한 경험이 녹아들어있다. SK인포섹은 지속적으로 산업별 모범사례를 만들어나가면서 ICS 보안 컨설팅을 고도화 해 나갈 예정”이라고 덧붙였다.
그는 “IoT는 전 세계가 인터넷에 연결될 수 있는 환경이다. 모바일 앱으로 모든 것을 통제하고 제어할 수 있다. 공격자가 ICS를 통제할 수 있게 된다면 같은 취약점을 가진 모든 시스템을 통제할 수 있다”며 “서비스 가용성과 보안성을 보장하기 위해서는 체계적인 정보보호 대책이 필요하다”고 강조했다.
이어 그는 “기술적으로 완벽한 보안은 불가능하다. 보안 정책을 단계별로 고도화해 사이버 공격이 성공하기 어렵게 만들어야 공격 위험을 낮출 수 있다. 보안 시스템을 구축하는 것도 중요하지만, 운영인력과 IT 인력이 ICS 보안 전문성을 갖춰 지속적으로 보안 수준을 제고하도록 노력하는 것도 매우 중요하다”고 말했다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
