Cappuccino sapiens

장마가 길어지면서 예상치 못한 집중호우로 인해 댐의 한계수용 수준마저 넘겨 버렸습니다. 급기야 8월 5일 부터 팔당댐과 의암댐을 시작으로 8월 9일 현재 청평댐, 춘천댐 등 거의 모든 댐이 댐방류를 하고 있습니다. 댐의 방류에 따라 인근 하류에 있는 마을과 농경지가 잠기고 주민들은 마을을 떠나 대피하고 있는 상황입니다.

정부의 적절한 통제와 조기 경보에 따라 신속하게 주민들이 대피함에 따라  사상자는 없었지만, 급격한 수위의 증가와 침수로 인해 재산적인 피해는 예상됩니다. 하지만, 최근 북한의 예고 없는 황강댐 방류와 같이 외부의 인위적인 요인과 홍수 관리시스템의 오류 또는 외부로 부터의 시스템 해킹 등이 발생할 경우 상당한 인명피해가 발생할 수 있습니다.

정부는 정보통신 시설 중 국가·사회적으로 중요한 시설에 대해 2001년도 부터 국가 주요정보통신 기반시설로 지정하여 관리하고 있으며, 2010년도 스턱스넷의 이란 원자력시설 공격 이후에는 제어시스템의 위험성에 대한 심각성을 인지한 후, 철도, 정수, 교통, 댐, 인공위성 등 OT (Operation Technology)시설에 대해서도 주요 정보통신 기반시설로 지정하여 관리하고 있습니다.

OT시설이 기존 수동제어 방식에서 전자제어 시스템으로 전환하고, 다시 최근에는 일반 IT기업 수준의 통신망과 IT시스템을 갖추게 됨에 따라, IT기업이 겪게 되는 동등 수준의 보안위협에 노출되어 있습니다. 특히나, 보안전문가가 부족하고 보안에 대한 대응체계 구축 및 운영경험이 상대적으로 적은 OT시설의 경우, 앞으로도 당분간은 사이버공격의 주요 타깃이 될 것으로 예상됩니다.

Ponemon 연구소에서 미국의 370개 오일 및 가스 보안전문가들을 대상으로 실시한 설문조사에 따르면, OT시설에 대한 보안전문가들의 근심이 어떤 것인지를 알 수 있습니다.

  - OT(Operation Technology)영역은 일반 IT영역보다 보안위협에 있어 더욱 심각

  - 공급망에 미치는 사이버 위험은 설명하기 어려울 정도

  - 많은 오일 및 가스회사들이 사이버공격과 보안사고에 대한 준비 부족

  - 가장 심각한 보안위협은 보안인식 부족과 내부자 위협

  - 사이버보안 대책은 변화하는 디지털화의 속도를 쫓아가지 못함
   (응답자의 35%만이 사이버보안에 대한 준비를 잘하고 있다고 응답)

2020년 상반기에 OT시설에서 발생한 주요 사이버공격과 멀웨어는 다음과 같습니다.

  - 1월, Ryuk 랜섬웨어 공격으로 30백만달러 손실, ICS 시스템 24~72시간 정지

  - 2월, ICS 프로세스 중단하는 EKANS 랜섬웨어 등장

  - 4월, 오일 및 가스 시설을 공격하는 Agent Tesla 스파이웨어 활동

오일 및 가스 시설을 포함한 OT시설에 대한 사이버 보안위협이 증가함에 따라, 보안을 강화하기 위한 투자가 무엇보다도 필요한 시기입니다. OT보안을 위해 필요한 요소는 다음과 같습니다.

  - 보안위험 분석 및 대책수립: OT보안전략 수립, 위험 및 취약점 평가, 보안대책 수립 및 이행

  - 가시성 확보: 모든 OT/ICS 장치 식별, N/W 및 보안구성 검토, 데이터 분석·분류, 데이터 접근 경로 확인

  - 데이터 보호 및 접근통제 강화: 데이터 및 단말 보호, OT 계정관리 및 접근 통제

  - 침해사고 분석 및 대응: OT SoC 구축 및 모니터링, 보안사고 대응 절차 자동화

< 참조 자료 >

 -  ICS 시스템의 프로세스 노리는 랜섬웨어, 에칸스 등장

 - April 2020’s Most Wanted Malware: Agent Tesla Remote Access Trojan Spreading Widely In COVID-19 Related Spam Campaigns

 - OT ICS/SCADA 보안위협에 따른 대응전략

철도, 전력, 원자력 등 기반(기간) 시설은 지멘스, 미쓰비시, Allen-Bradley, LS산전, 삼성전자 등 특정기업의 시스템을 사용하고 있으며, 제어공정의 특성상 한번 구축하면 10년에서 20년동안 사용하게 된다. 일반적으로 IT시스템이 3년에서 5년 주기를 갖는 것에 비해 상당히 긴 생명주기를 갖고 있다. 그렇다보니, 제어시스템이 IT시스템 및 인터넷과 연결될 경우, 기존 시스템 및 고유 프로토콜과의 호환성 뿐만 아니라 잠재적인 보안 취약점이 나타나고, 이로 인해 해킹피해를 당하기도 한다. 제어시스템 자체가 해킹당했을 경우에는 기반시설에 더욱 큰 피해를 주게된다. 2010년에 발생한 이란 원전시설의 스턱스넷이나, 최근에 발생한 일본 미쓰비시 전기의 해킹사건이 그러한 예이다. 한번의 해킹으로 피해규모가 큰 만큼 기반시설에 대한 보안위협분석, 운영보안, 보안모니터링 및 대응 등을 통해 보안을 강화할 필요가 있다.

※ IBM Operational Technology Security: Smart Factory with IBM Security

https://ibm.box.com/s/ug5k925r02ghlzc0o4dehn7aufzaosru