ICS 를 타겟으로 하는 사이버 전쟁 방어전략

전세계는 사이버 상에서 치열하게 전쟁중에 있습니다. 사이버상 공격은 사회기반시설을 제어하는 ICS를 주 타겟으로 하고 있는데 ICS 는 IT 보안에 매우 취약한 실정입니다. 이유는 인터넷과 분리되어 있기 때문에 IT 보안을 소홀히 하고 있습니다. 하지만 관리자의 업무 편의를 위해 또는 각종 소프트웨어 업데이트를 위해 일부는 인터넷에 연결되어 있는데 이 구간에 대한 보안 관리가 전혀 이루어지지 않고 있어 공격위협에 취약합니다.
ICS 는 산업 공정, 기반 시설, 설비를 바탕으로 한 작업공정을 감시하고 제어하는 컴퓨터 시스템을 말하며 ICS 시스템에는 주로 HMI, PLC 등의 SCADA 시스템이 사용됩니다.
이 시스템은 국가주요시설, 통신, 에너지 시설, 국가보안 시설, 제조 공장의 시스템 등에 사용되는데 이는 가장 높은 수준의 보안이 요구 됩니다. 그렇기 때문에 화이트리스트 기반의 엄격한 보안 통제를 하게 됩니다. 하지만 물리적 망분리가 되어 있는듯 하지만 어쩔수 없이 인터넷에 연결된 접점을 통해 보안 취약점이 발견되고 있는데 아래와 같습니다.

인증되지 않은프로토콜
많은 ICS 프로토콜은 인증 없이 작동돼 공격자가 네트워크상의 컴퓨터가 설정값을 변경하거나 HMI에 부정확한 측정값을 보내는 등 물리적 공정을 변경하는 명령을 보낼 수 있다. 이로인해 올바르지 않은 공정운영을 초래할 수 있으며, 제품을 손상시키고, 설비를 파괴하며, 직원에게 해를 가하고, 환경을 파괴시킬 수 있습니다. 소스 인증은 일반적으로 검증과 암호화키의 사용을 통해 수행되는데 공격을 완화하기 위해서는 공정 제어 네트워크에서 사용중인 인증되지 않은 프로토콜을 모두 확인해 취약점 수준을 파악하고 현재 사용 중인 장비가 인증 옵션을 지원할 수 있는지 평가하는 등의 노력이 필요합니다.

낙후된 하드웨어
ICS 하드웨어는 수십 년간 운영될 수 있습니다. PLC, RTU, VFD, 보호 계전기, 플로우 컴퓨터, 게이트웨이 커뮤니케이터 등의 하드웨어는 지나치게 단순히 작동하거나 처리 능력 및 메모리가 부족하기 때문에 최신 네트워크 기술을 둘러싼 위협 환경을 처리하지 못할 수 있습니다. 공격을 완화하기 위해 하드웨어를 업그레이드 하거나 낙후된 하드웨어와 네트워크 연결을 최소화하도록 방화벽 정책을 구성해야 합니다.

취약한 사용자 인증
ICS 에서는 일반적으로 암호화를 사용해 사용자를 인증합니다. 레거시 제어 시스템의 사용자 인증 취약성에는 흔히 하드코딩된 암호, 쉽게 해독되는 암호, 쉽게 복구할 수 있는 형식으로 저장된 암호, 그리고 일반 텍스트로 전송된 암호가 있습니다 .공격자는 이러한 암호를 쉽게 취득해 공정을 마음대로 조작할 수 있습니다. 공격을 최소화 하기 위해서 내부의 ICS 장치 목록과 하드코딩된 암호가 있다고 알려진 장치 목록과 대조해서 암호의 취약성을 악용하려는 시도가 있는지 장치의 로그 및 네트워크 트래픽을 모니터링 합니다.

취약한 무결성 검사
ICS 소프트 웨어 무결성 검사는 소프트웨어 서명, 펌웨어, 제어논리 등의 영역에서 암호화 검증을 통해 수행되는데, 이과정이 취약한 경우가 많습니다. 소프트웨어 서명은 공인된 소스에서 제공됐다는 사실을 검증하는데 사용되며, 소프트웨어 공급업체는 자체 인증서를 생성하거나 인증기관에 의뢰해 클라이언트가 소스를 확인할 수 있게 합니다.
소프트웨어 서명이 없으면 공격자가 사용자를 오인해 벤더가 제공하지 않은 소프트웨어를 설치하도록 할 수 있습니다. 또한 공격자가 합법적인 파일을 악성파일로 대체할 수도 있습니다.
펌웨어는 PLC 또는 RTU 와 같은 내장된 장치가 해당 기능을 수행할 수 있도록 해주는 코드로, 일반적으로 소프트웨어보다 변경하거나 업데이트하기가 더 어렵습니다. 공격자가 펌웨어를 업로드할 수 있게 되면, 장치의 전체 작동을 제어할 수 있습니다. 제어 논리는 PLC와 같이 프로그래밍 가능한 컨트롤러에서 실행된 공정제어 프로그램이다. 적절한 제어 논리 무결성 검사가 부족하다는 의미는 PLC에서 공인사용자가 공인 엔지니어링 소프트웨를 사용해 논리를 생성했는지 검증하지 않고 논리를 승인한다는 의미입니다. 이러한 사용자는 설정 값을 변경하고 장비를 제어할 수 있습니다.

취약한 윈도우 운영 체제
엔지니어링 워크스테이션과 HMI는 패치되지 않은 오래된 윈도우 운영 체제를 실행할 때 알려진 취약점에 노출시키는 경우가 많습니다. 경우에 따라서는 공격자들이 제어 시스템의 특정 지식 없이도 산업 시스템에 엑세스 할 수 있습니다. 공격을 완화하기 위해 ICS 벤더 지침에 따라 유지보수 다운타임에 업그레이들 하거나 패치 적용이 필요합니다.

문서화 되지 않는 제3자 관계
ICS 자신의 소유자들은 그들이 운영하는 ICS 소프트웨어에서 제3자의 종속성을 문서화하고 트래킹하는 경우가 거의 없습니다. 많은 ICS 공급 업체는 사용하는 타사 구성 요소를 즉시 알지 못하기 때문에 고객에게 취약성을 알리기 어렵습니다.
이러한 종속성을 파악한 공격자는 제조사 입장에서 자사가 소유하고 있는지 조차 알지 못하는 소프트웨어를 표적으로 삼을 수 있습니다.
공격을 완화하기 위한 조치로는 ICS 벤더에게 오픈 소스 소프트웨어를 비롯한 자사의 제품에 사용된 제3자 소프트웨어 및 버전의 목록과 상호운용성을 보장하기 위해 제3자 소프트웨어에 대한 패치 검증에 대한 요청이 필요합니다.
[출처 : 파이어아이]

흔히 망분리 자체로만 보안이 완성되었다고 말하는 경우가 종종 있습니다. 하지만 분리가 되었다 하더라도 업무의 편의상 또는 불가피하게 인터넷과 연결된 지점이 반드시 이기 마련입니다. 이런 지점 까지도 지속적인 모니터링과 장비의 패치, 업그레이드 등을 통해 관리가 이루어져야하며 방화벽 등의 정책을 수시로 확인하고 취약점 발견 즉시 정책 변경을 통해 외부 침임을 차단해야 합니다.
방문해 주셔서 감사합니다.