기업 조직을 효과적으로 분할하고 산업용 네트워크 보안을 강화하기 위한 조치

인더스트 4.0’이나 산업용 IoT(IIoT)는 더 이상 새로운 용어가 아니다. 제조, 소매, 에너지, 자동차, 통신을 비롯한 모든 산업 분야에서 IIoT를 추구하는 시대다. 특히 제조업 분야가 IIoT 도입에 적극적이다.

한편 IIoT나 인더스트리 4.0 시스템을 도입하는 과정에서 중요한 과제 중 하나는 사이버 보안이다. 기존의 OT(Operational Technology) 시스템에서는 사이버 보안을 그리 중요하게 다루지 않았다. 이 때문에 OT를 인터넷에 연결하고 IT 시스템과 연결하려고 하는 과정에서 OT 시스템이 외부의 악의적인 공격을 받을 수 있는 취약 지점으로 부상하게 됐다. 그런데도 왜 OT 엔지니어들은 보안 문제를 간과하고 있는 걸까? 이것은 4가지 잘못된 믿음 때문이다.

이번 글에서는 4가지 잘못된 믿음이 왜 더 이상 오늘날처럼 고도로 연결된 세상에 적절하지 않은지, IT와 OT 네트워크가 어떻게 다르며, 성공적인 IIoT 또는 인더스트리 4.0 시스템으로 전환하기 위해서는 무엇이 필요한지 설명한다.

사진=게티이미지뱅크

오해 1: 우리 회사의 산업용 네트워크는 인터넷이나 물리적으로 격리돼 있지 않으므로 안전하다.

이 말은 10년 전에는 옳았다. 그런데 오늘날 많은 IIoT 디바이스가 IT 보안 층을 거치지 않고 곧바로 인터넷으로 연결되고 있다. 그렇다면 왜 그렇게 많은 IIoT 디바이스를 인터넷에 연결하는 걸까? 가장 큰 이유는, IIoT나 인더스트리 4.0 시스템 구현을 위해서는 다량의 데이터를 수집하고 분석해야 하기 때문이다. 이 과정에서 여러 곳에 분산된 데이터를 원격지 서버로 전송하기 위해 시스템을 인터넷으로 연결해야 한다.

만약 산업 제어 시스템(ICS)이나 산업용 네트워크가 인터넷에 연결돼 있지 않아도, 또 다른 취약점은 허가되지 않은 접근이 있을 수 있다는 것이다. 예를 들어서 외부 업체나 자동화 엔지니어가 정기적인 유지보수나 문제 해결을 위해 허가되지 않은 랩톱이나 USB 드라이브를 사용해서 시스템 업데이트를 할 수 있다. 이런 과정에서 ICS가 위험한 접근에 노출될 수 있으며, 결국 ICS 디바이스의 취약성을 높이게 된다.

 

오해 2: 해커들은 ICS, PLC, SCADA 시스템을 이해하지 못하므로 우리 회사 네트워크는 안전하다.

2010년부터 실제로 ICS 네트워크를 표적으로 한 정교한 사이버 공격이 감행돼 왔다. 그 예로 스턱스넥(Stuxnet, PLC 타깃)과 인더스트로이어(Industroyer, 회로 차단기 타깃)를 들 수 있다. 산업 제어 디바이스를 표적으로 한 멀웨어도 등장하고 있다. 해커들이 석유가스, 에너지, 제조업 같은 산업용 분야들로 공격의 초점을 옮기고 있다는 사실을 알 수 있다.

2010년부터 2018년 사이 주목할 만한 ICS 네트워크 공격

오해 3: 우리 회사 네트워크는 공격 목표로 삼기에 규모가 작아서 안전하다

네트워크에 대한 접근 권한을 가지고 있는 직원이나 외부 업체 직원 같이 신뢰할 수 있는 사용자들로부터 비롯되는 내부 침입이 있을 수 있다. 또 사람의 실수나 기계 오작동이 발생할 수도 있는데, 이런 함정들은 회사의 규모와 상관없으며 비록 고의적이지 않아도 기업에 상당한 금전적 손해를 끼칠 수 있다.

 

오해 4: 우리 회사 산업용 네트워크를 보호하기 위해 방화벽을 구축하고 있으므로 안전하다.

방화벽은 기본적인 보호를 제공할 수 있으나 100% 효과적이지 않다. 더구나 대부분의 방화벽은 산업용 프로토콜(Modbus TCP, EtherNet/IP, PROFINET 등)에 최적화돼 있지 않으므로 적절히 구성하지 않으면 방화벽으로 인해 꼭 필요한 산업용 프로토콜을 차단하거나 ICS를 중단시킬 수도 있다.

한 마디로, 방화벽만으로는 ICS 네트워크가 완벽하게 보호된다고 보장할 수 없다. 그러므로 산업용 방화벽과 함께 중층적인 방어(심층 방어 접근법)를 사용해 주요 제어 장비, 생산 라인, 전체적인 공장을 보호해야 한다. 또한 산업용 디바이스에 대한 보안 업데이트를 수시로 진행해야 한다.

ICS 네트워크는 계층화된 방어 체계가 필요하다

산업용 네트워크와 IT 네트워크의 차이점

산업용 네트워크와 IT 네트워크는 우선하는 것이나 보호 대상이나 환경 조건이 다르다. 같은 기업 안에서 각기 다른 관리자들이 서로 다른 문제들을 결정하고 있기도 하다. IT 측에서는 CIO나 IT 아키텍트가 IT 네트워크와 사이버 보안을 담당하는 주요 결정권자들이다. 이들의 관점에서는 기밀성(Confidentiality)이 무엇보다 중요하다.

OT 측에서는 플랜트 관리자, COO, 제어 엔지니어가 주요 결정권자들이다. 이들의 관점에서는 조업과 시스템 가동이 무엇보다 중요하다. 따라서 IT와 OT의 통합을 성공적으로 수행하려면 IT와 ICS의 서로 다른 우선순위와 요구를 이해해야 하는데, [그림3]은 바로 이런 차이를 설명하고 있다.

이 과정을 잘 진행하지 못하면 IT와 OT 네트워크의 서로 다른 요구가 상충될 수 있다. 예를 들어 ICS(OT 네트워크)는 시스템 중단 시간을 최소화하는 것이 우선적이다. 생산 중단은 손해로 이어지기 때문이다. 하지만 IT 네트워크의 우선순위는 보안 침해와 데이터 소실 위험성을 최소화하기 위해 수시로 보안 패치와 시스템을 업데이트 하는 것이다. 그런데 수시로 보안 패치를 업데이트하는 것은 ICS에 바람직하지 않다. 매번 업데이트할 때마다 시스템 가동을 중단해야 할 수도 있기 때문이다.

과거에는 ICS 네트워크가 물리적으로 격리돼 있어서 사이버 공격을 거의 받지 않았다. 그래서 대부분의 기존 산업용 장비들은 보안 기능을 제대로 갖추지 않았다. 예를 들어서 PLC나 HMI로 디폴트 패스워드를 바꾸지 않고 쓰는 경우가 있는데, 이 경우 당연히 사이버 공격 취약해질 수밖에 없다. 반면에 IT 네트워크는 계정 관리나 권한 허가 같은 매우 성숙한 보안 기능들을 도입하고 있다. 하지만 기존의 OT 장비에 IT 보안 기능을 적용하는 건 쉽지 않다. OT 디바이스가 애초에 IT 기능을 취급할 수 있도록 설계되지 않았기 때문이다.

 

산업용 네트워크 보안을 위한 실천 가이드라인

산업 제어 시스템과 엔터프라이즈 IT 시스템의 차이에도 불구하고, 다수의 산업 협회에서 ICS와 IT 시스템을 연결하고 통합하기 위한 표준, 보안 가이드라인을 개발하고 있다. 특히 IIC(Industrial Internet Consortium), NIST(National Institute of Standards and Technology), IEC(International Electro technical Commission)에서 ICS 사이버 보안을 향상하기 위해 정의하고 있는 것을 간추리면 다음의 3가지로 요약할 수 있다:

산업용 네트워크 심층 방어 산업용 네트워크 보안 설정 교육, 정책, 모니터링을 통한 보안 관리 그리고 이를 바탕으로 ICS 사이버 보안을 위한 다음과 같은 실천 가이드라인을 제안한다.

 

실천 가이드라인 I: 네트워크 인프라 보안

보안적인 네트워크는 설계에서부터 시작된다. 그런데 안타깝게도 대부분의 자동화 네트워크는 수년 혹은 수십 년에 걸쳐서 조금씩 구축되고, 추가되고, 변경돼 왔다. 많은 PLC 네트워크와 디바이스는 플랜트 네트워크나 인터넷에 연결되도록 설계되지 않았으며, 보안 기능이 있더라도 그리 강력하지 않다. 플랜트를 중단 없이 가동하는 것을 더 중요했으므로 보안보다는 단순성을 염두에 두고 설계됐다.

산업용 보안 네트워크를 구축하기 위해 가장 먼저 고려해야 할 것은 ‘심층 방어(Defense-in-depth)’ 네트워크 설계다. 심층 방어 네트워크 설계는 네트워크를 국부적인 영역들로 분할하는 것부터 시작한다. 이런 각각의 영역은 산업용 방화벽을 사용해 격리되고 보호된다. 그런 다음 이들 각각의 영역 사이에 일종의 통로를 구축하는 것이다. 각 영역 사이에 데이터 통신을 필터링하고 관리하기 위한 방화벽 규칙들이다. 달리 말해, 심층 방어는 네트워크를 안에서부터 바깥으로 보호하는 것을 원칙으로 한다.

스마트 팩토리의 예를 보자. IT 네트워크와 OT 네트워크 사이에 방화벽을 구축하는 것이 중요한 과정은 맞지만, 이것만으로는 충분하지 않다. OT 네트워크 내에서 분산 제어 시스템(DCS)용의 컨트롤러 같은 중요한 자산에 대한 추가적인 방화벽을 설치해야 한다. 디바이스가 중요할수록 더 높은 수준의 보안이 필요하다. 이것이 심층 방어를 위한 기본 원칙이다. 허가되지 않은 자가 중요한 시스템에 접근하기 어렵게 만들면 만들수록 보안 침해에 대한 위험성을 최소화할 수 있다. 그러기 위해서는 전체적인 네트워크로 포괄적인 접근 권한을 부여하는 것이 아니라 용도에 따라 특정 구역으로 접근 권한을 제한해야 한다.

침입 방지 시스템(IPS)이나 침입 감지 시스템(IDS)은 산업용 네트워크 시스템용으로 나와 있는 첨단 시스템들이다. IPS/IDS는 네트워크 데이터를 모니터링해서 악의적인 활동을 잡아낼 수 있다. 또 이 시스템은 IT/오피스 네트워크에 일반적으로 사용되고 있다. 그리고 이를 ICS에도 적용할 수 있다. 산업용으로 갈수록 더 많은 애플리케이션이 윈도우 기반 컴퓨터로 실행하고 있기 때문이다.

네트워크 보안 설계를 위해 또 다른 중요한 문제 중 하나는 안전한 원격 액세스다. 가정에서 랩탑을 사용해 회사 네트워크에 액세스할 때 VPN 소프트웨어를 사용하는 것과 마찬가지로, 원격 모니터링이나 원격 유지보수를 위해서는 암호화된 VPN 접속을 사용할 수 있다.

 

실천 가이드라인 I: 네트워크 인프라 보안

ICS를 다수의 서브 시스템으로 분할하고 서브 시스템들 간의 데이터 통신 요구를 정의한다. 각 세그먼트 사이에 산업용 방화벽을 설치하고 데이터 통신 정책을 적절히 구성한다(보호하려는 서브 시스템으로 불필요한 데이터 통신 차단 등) 침입 방지 시스템(IPS)이나 침입 감지 시스템(IDS)을 설치하고 산업용 네트워크로 악의적인 활동을 모니터링한다. 원격 모니터링이나 원격 유지보수 액세스를 위한 VPN 접속을 구축한다.

 

실천 가이드라인 II: 디바이스 보안 하드닝

산업용 네트워크 보안을 위한 또 다른 실천 가이드라인은 디바이스 보안이다. 이것을 디바이스 하드닝(Device hardening)이라고도 한다. 이것은 ICS로 연결되는 네트워크 스위치, 라우터, 여타 장비를 보호하는 것을 말한다. 이를 위한 기법들로는 사용자 인증, 데이터 무결성과 기밀성 보호, 네트워크 액세스 제어 같은 것을 들 수 있다. 이는 일상적인 개인용 디바이스를 사용할 때 이미 적용되고 있는 것들이다.

예를 들어 온라인으로 은행 계좌나 신용카드 계좌에 접근하기 위해서는 강력한 패스워드가 필요하다. 그리고 로그인을 시도해서 실패하는 횟수가 특정한 횟수에 도달하면 자동으로 접속이 차단되고 직접 창구에 방문해서 신원을 확인해야 한다. 이것이 사용자 인증의 기본 개념이다.

또한 접속이 보안에 취약한 상태일 때 웹 브라우저 메시지를 통해 알려주는 것을 들 수 있다. 사용자가 액세스하려는 대부분 사이트가 HTTPS를 사용한 암호화된 웹 세션을 요구하거나 권장하기 때문이다. 이것은 데이터 무결성과 기밀성을 보호하기 위한 것이다.

다른 예로는 새로운 디바이스로 로그인하거나 등록된 이메일 어드레스나 등록된 휴대전화로 문자 메시지를 통해서 디바이스를 인증하는 것을 들 수 있다. 이것은 인증과 액세스 제어에 해당한다.

개인용 디바이스에서는 이런 기법들이 일상화됐으나, 산업용 디바이스의 중요 시스템 중 보안 기능이 거의 갖춰지지 않은 사례는 흔히 볼 수 있다. 공장에서 출하될 때 그대로의 디폴트 사용자 명과 패스워드를 사용하는 경우도 적지 않다.

앞에서 언급한 보안 기능들과 함께 또 다른 중요 문제는 취약성 관리다. 컴퓨터에 설치되는 윈도우 업데이트는 취약점이 발견될 때마다 패치를 해서 이를 교정한다. 이것은 거의 모든 소프트웨어와 디바이스 업체들에 해당하는 문제이므로, 취약점이 발견됐을 때 패치를 얼마나 신속하게 할 수 있는지 보고 업체를 선택하는 것이 어느 때보다 중요하다.

 

실천 가이드라인 II: 디바이스 보안 하드닝

산업용 이더넷 스위치, 라우터, 무선 액세스 포인트, 셀룰러 라우터 같은 네트워크 장비로 디폴트 패스워드를 사용하고 있지 않은지 확인한다.

  • 최소한 8개 문자로 이루어져서 추측하기 어려운 강력한 패스워드를 선택한다.
  • 접속 차단 기능을 사용한다.
  • 액세스 제어 리스트를 사용한다. 이 기능은 산업용 네트워크 디바이스로 디바이스 IP나 MAC 어드레스를 미리 등록하고 액세스 제어 규칙에 부합하는 디바이스만 네트워크를 사용할 수 있도록 하는 것이다.
  • 웹 콘솔을 통해서 산업용 디바이스를 원격적으로 액세스할 때 VPN이나 HTTPS 세션을 사용해서 통신을 암호화한다. 그럼으로써 로그인 계정 ID나 패스워드 같은 민감한 데이터를 훔치는 것을 막을 수 있다.
  • 장비 업체가 디바이스 보안 패치와 업데이트를 어떻게 신속하게 할 수 있는지 확인한다.

 

실천 가이드라인 III: 보안 관리와 교육

세 번째 실천 가이드라인은 보안 관리와 네트워크 보안 모니터링이다. 여기에는 ICS를 사용하는 엔지니어들이 새로운 보안 정책들을 준수하도록 교육하고 훈련하는 것도 포함한다. 사이버 보안 정책을 따르도록 교육하는 부분은 특히 중요할 뿐만 아니라 어려운 일이기도 하다. 보안 정책을 충실히 따르도록 보조하기 위해 ICS 보안 정책을 조금 더 효율적으로 관리할 수 있는 전문적인 소프트웨어 툴에 투자하는 방법도 생각해 볼 수 있다.

예를 들어 어떤 산업용 네트워크 관리 소프트웨어는 네트워크 디바이스들을 스캔하고 장비 목록을 제공할 수 있다. 이를 확인함으로써 어떤 것이 잘못된 위치에 있는지 쉽게 식별하고 제거할 수 있다. 또 어떤 툴은 새로운 디바이스들을 지정된 보안 설정으로 일괄 구성하고, 디바이스들이 적절히 구성됐는지 시각적으로 검사하고, 사고가 발생했을 때 네트워크를 복구할 수 있도록 구성 파일을 백업할 수도 있다.

또 다른 중요한 기능은 실시간 이벤트 통보와 로그다. 이 기능은 여러 번의 로그인 시도 실패, 방화벽 규칙 위반, 디바이스 구성 변경 같은 보안 사건이 발생했을 때 이를 사용자에게 알려줄 수 있다. 로그 기능을 활용해 취약성을 잡아내고 피해가 발생하기 전에 조처할 수 있게 된다. 실제로 IT 네트워크 관리를 위해서는 보안 정보와 이벤트 관리(SIEM) 시스템이 매우 중요한 요소로 꼽힌다. 그러므로 어떤 산업용 네트워크 관리 시스템은 ICS를 기존 SIEM 시스템과 통합하기 위한 API(RESTful API 등)를 제공하거나 주요 네트워크 프로토콜(SNMP 등)를 지원하기도 한다.

 

실천 가이드라인 III: 보안 관리와 교육

시스템을 설계하고 가동하고 유지보수하는 작업자들이 준수하도록 보안 정책을 개발한다. 여기에는 외부 업체 직원들도 포함된다. 시스템 엔지니어들이 사이버 보안의 중요성을 인식하고 새로운 정책들을 숙지하도록 교육하고 훈련한다. 엔드포인트, 장비, 네트워크 디바이스를 보호하기 위한 보안 정책을 개발한다. 장비와 네트워크 디바이스로 보안 구성을 모니터링하고 백업하기 위한 보안 모니터링 툴을 도입한다. 산업 제어 시스템 장비, 산업용 네트워크 디바이스에 관한 이벤트 로그를 기록하고 백업한다. 기존 IT SIEM 시스템과 통합을 지원하는 ICS를 사용한다(RESTful API나 SNMP를 지원하는 시스템).

 

맺음말

IIoT 또는 인더스트리 4.0 시스템을 성공적으로 도입하려면 ICS를 최신 엔터프라이즈 네트워크와 매끄럽게 통합하면서 효과적인 사이버 보안을 구축해야 한다. 그러기 위해 먼저 OT 네트워크와 산업용 디바이스들이 더 이상 사이버 공격에 안전하지 않다는 사실을 인식해야 한다. 또한 IT와 OT 부서의 각기 다른 요구를 이해하고 조율해야 한다.

거대 기업 조직을 효과적으로 분할하고 산업용 네트워크 보안을 강화하기 위한 조치를 취해야 한다. 이러한 것들로는 심층 방어, 산업용 네트워크 보안 설정, 교육과 모니터링을 포함하는 보안 정책 관리를 들 수 있다. 산업용 네트워크의 사이버 보안 완성은 기업 내 몇몇 사람들만의 노력으로는 이뤄질 수 없다. 산업용 네트워크의 사이버 보안을 달성하고 모든 것이 연결되는 인더스트리 4.0로의 성공적인 전환을 위해선 모든 직원의 역할과 참여가 요구된다.

 

글 | 알비스 첸 (Alvis Chen) MOXA 프로젝트 매니저

- 이 글은 테크월드가 발행하는 월간 2019년 9월호에 게재된 기사입니다.

이 기사를 공유합니다
저작권자 © 테크월드뉴스 무단전재 및 재배포 금지
이 기사와 관련된 기사