통계에 따르면 사물인터넷(IoT) 장치의 수는 2020년 150억 개에서 2030년 290억 개 이상으로 두 배 가까이 증가할 것으로 예상된다.

IT 및 운영 기술(OT) 시스템 수가 증가하면 사이버 공격 표면이 확장된다. 이는 위험 관리와 네트워크 감사, 가시성을 어렵게 만들고 공격자가 방어를 우회할 수 있다.

AI멀티플(AIMultiple)은 위협과 공격자가 OT 네트워크를 자유롭게 통과하는 것을 방지할 수 있는 OT 네트워크 세그멘테이션에 대해 해결해야 할 5가지 과제를 제시했다.

OT 네트워크 세그멘테이션이란

OT 네트워크 세그멘테이션은 공격자와 무단 사용자가 운영 기술 네트워크의 중요하고 민감한 데이터 및 장비에 액세스하는 것을 방지하는 중요한 보안 전략이다.

효과적인 방어를 개발하려면 운영 체제에 대한 공격 유형과 방법을 이해해야 한다. OT 시스템에 대한 사이버 공격은 수처리 시설, 연료 파이프라인 시설, 공급망 및 전력망과 같은 중요한 인프라를 무력화할 수 있기 때문에 심각하고 매우 위험한 결과를 초래할 수 있다.

OT 네트워크 세그멘테이션은 사이버 공격의 가능한 영향 반경을 줄이고 더 빠른 사고 대응과 복구를 가능하게 한다. 이는 승인된 장치, 프로그램, 프로세스만 특정 영역에 들어갈 수 있도록 해 네트워크 액세스를 관리할 수 있다. 이 전략은 OT 보안을 강화하고 산업 환경에서 무단 액세스를 방지한다.

OT 네트워크 세그멘테이션이 없으면 프린터, 생산 시스템, PLC(프로그래밍 가능 논리 컨트롤러) 등 네트워크 내 손상된 단일 장치를 통해 해커가 전체 산업 프레임워크에 액세스할 수 있는 가능성이 있다. 그러나 OT 세그멘테이션을 사용하면 감염된 장치가 단일 네트워크 세그먼트로 제한돼 잠재적인 피해 정도가 크게 줄어든다.

퍼듀 엔터프라이즈 레퍼런스 아키텍처

ICS 설계, PERA(Purdue Enterprise Reference Architecture) 또는 퍼듀는 표준 ICS의 시스템을 레벨과 ‘영역’으로 분류한다. 각각은 ICS가 제공하는 별도의 기능 영역을 나타낸다.

계층 구조에서 아래로 이동함에 따라 기본 장치에 대한 다양한 수준의 신뢰가 나타난다. 조직 수준 내의 장치는 신뢰도가 낮은 반면 DMZ 엔터티는 중간 신뢰도를 갖는다. 레벨 0~3은 신뢰도가 더 높다. 이러한 제약은 설치된 소프트웨어와 하드웨어, 그리고 네트워크에 대한 물리적 액세스에 적용된다. 이는 각 산업 및 조직의 고유한 요구 사항에 따라 다르다.

• 레벨 0 : 시설에 들어가는 물리적 프로세스다. 센서, 펌프, 터빈 및 파이프와 같은 장치는 모니터링과 작동 용량을 제공한다.

• 레벨 1 : 물리적 프로세스를 인식, 모니터링, 제어하는 ​​지능형 장치다. PID(비례 적분 미분) 컨트롤러와 SIS(안전 계측 시스템) 컨트롤러가 포함된다.

• 레벨 2 : 제어 메커니즘은 물리적 프로세스를 감독하는 데 사용된다. 이 레벨은 HMI(인간-기계 인터페이스)와 엔지니어링 콘솔로 구성된다.

• 레벨 3 : 생산 작업 흐름을 관리하는 사이트 운영 시스템(예: 데이터 기록자 또는 도메인 컨트롤러)이다.

• DMZ(산업 비무장지대) : ‘브로커’ 서비스를 구현해 IT와 OT 시스템 간의 직접적인 연결을 금지한다. 이 추가 레벨에는 일반적으로 프록시 서버 , 데이터베이스 백업 서버 및 원격 액세스 서버가 포함된다.

• 레벨 4 : 물류 플랫폼은 제조를 지원하기 위해 현장에서 IT 관련 활동을 관리한다. 이 레벨에는 애플리케이션 서버 또는 ERP 시스템과 같은 시스템이 포함된다.

• 레벨 5 : B2B 및 B2C 서비스의 데이터 공유를 위한 기업 네트워크다.

이러한 영역은 도관을 사용해 상호 작용한다. 도관은 연결에 대한 가장 신뢰할 수 있는 영역과 동일한 중요도로 보호돼야 한다.

플랫 네트워크는 장치 간에 무제한 연결을 제공한다. OT 분할을 사용하는 네트워크 장치는 보안 장비, 방화벽 또는 라우터와 같은 경계 장치나 소프트웨어에 연결할 필요 없이 서로 상호 작용할 수 있다. 플랫 네트워크에는 트래픽을 모니터링하기 위한 보안 절차가 거의 없다. 분할된 네트워크는 다양한 기술(예: 방화벽 , 액세스 제어 항목(ACE), RBAC, 네트워크 보안 정책 관리)을 사용해 서브넷, 스위치, 라우터, 방화벽 및 보안 제품을 포함한 통신을 관리하고 모니터링한다.

OT 네트워크 세그멘테이션에 사용되는 기타 기술

차세대 방화벽(NGFW)는 보안 제어와 정책 시행을 설정하고, 무선 액세스 포인트(WAP)는 장치가 네트워크에 진입하려고 시도할 때 최종 사용자를 위한 액세스와 보안 제어 정책을 시행한다.

이더넷 스위치는 네트워크 사용자와 장치에 대한 가시성과 제어 기능을 제공하며, NAC(네트워크 액세스 제어)는 모든 네트워크 연결에 대한 가시성, 제어와 자동 반응을 제공한다. 브리지는 로컬 이더넷 LAN과 무선 LTE/5G WAN 연결 간의 통신을 구축한다.

기업은 분할된 네트워크 설계를 사용해 네트워크를 별개의 영역으로 분리한 다음 영역 간에 전달할 수 있는 내용을 관리하는 규칙과 정책을 엄격하게 규제하고 시행할 수 있다. 보안 관리자는 기업 요구에 따라 네트워크를 개별 부분으로 나누고 상호 연결성을 제한한다.

OT 네트워크 세그멘테이션이 공격 상황에 미치는 영향

공격자가 IT 워크스테이션에 액세스해 OT 리소스에 액세스를 시도하고 있다. 플랫 네트워크에는 보안이 없으므로 OT 리소스에서 작동하는 보안되지 않은 프로토콜 및 서비스에 쉽게 액세스하고 오용할 수 있다.

① 솔루션 시나리오 1 : 회사는 컴퓨터 시스템에서 OT 자산을 분리하기 위해 방화벽을 배포할 수 있다. 방화벽은 허용하도록 설정된 네트워크 연결을 제외한 모든 네트워크 연결을 제한한다. IT 워크스테이션은 방화벽을 통해 OT 영역의 웹 기반 제어 게이트웨이에 연결하도록 허용되거나 설정 도구에서 SCADA(감시 제어 및 데이터 수집)와 같은 프로토콜에 대한 액세스가 필요할 수 있다. 이제 공격자의 공격 표면은 작아졌지만 노출된 시스템의 취약점은 여전히 ​​다른 회사 시스템에 침입하는 데 사용될 수 있다.

② 솔루션 시나리오 2 : 회사는 IT 환경을 위한 단일 네트워크 연결과 OT 환경을 위한 또 다른 네트워크 연결을 사용하여 이중 홈 게이트웨이를 설정할 수 있다.

OT 네트워크에 대한 3가지 공격 유형

① 직접 공격 : 특정 OT 시스템에 피해를 입히는 것을 목표로 한다. 해커들은 원격 액세스를 사용해 피해를 입혔다. 시스템이 손상되면 공격자는 제어 메커니즘을 변경해 시스템 오작동을 일으키는 악성 소프트웨어를 주입할 수 있다. 트리톤 악성코드는 에너지 발전소의 안전 제어 콘솔에 대한 원격 제어를 훔쳤다. 당국은 안전 계측 시스템(SIS) 엔지니어링 워크스테이션(EWS)이 가장 먼저 해킹당한 사실을 발견했다. EWS는 SIS 프로세서와 직접 통신했다. 그 결과, 공격자는 특정 SIS 컨트롤러를 표적으로 삼는 컨트롤러에 바이너리 파일을 직접 업로드했고 SIS는 시스템을 중단시켰다.

② 간접 공격 : 운영 기술에 직접적인 영향을 미치지는 않지만 서비스 중단, 환경 피해, 운영 프로세스 위험 등 큰 영향을 미칠 수 있다. 최근 사례로, 미국의 주요 정유 파이프라인 중 하나인 콜로니얼 파이프라인(Colonial Pipeline)에 발생한 랜섬웨어 공격이 있었고, 범죄 조직에 의해 랜섬웨어 관련 사고가 발생했다. 회사는 결국 운영을 중단해 기록적인 가격 상승과 공황 구매, 연료 부족 등의 사태로 이어졌다.

③ 스파이 공격 : 경쟁 회사나 정부 기관보다 우위를 점하기 위해 환경을 이용해 정보를 획득하고, 개인 정보를 유출하고, 사이버 간첩 활동을 수행할 수 있는 공격자를 포괄한다. 미국의 한 정부 계약자가국방 정보를 외국 정부에 전달하고 민감한 비밀이나 일급 비밀 정보를 공개한 간첩 행위를 한 혐의로 기소됐다.

OT 환경에 대한 사이버 공격의 영향

① 물리적 손상 및 안전상의 위험

OT 사이버 공격은 물리적인 영향을 미칠 수 있기 때문에 IT 공격보다 더 심각한 영향을 미친다. 2022년에는 산업 시스템에 대한 OT 관련 해킹이 57건 발생했다. 이는 2021년에 발생한 유사 공격 22건의 2.5배가 넘고, 2020년에 발생한 19건의 공격에 비해 3배가 넘는 규모다.

② 공급망 혼란

사이버 공격의 도미노 영향은 공급 네트워크에 심각한 영향을 미칠 수 있다. 한 회사의 OT 시스템에 대한 손상이 파트너와 공급 업체로 확산되어 전체 부문을 혼란에 빠뜨리고 핵심 서비스를 위험에 빠뜨릴 수 있다. 2022년에는 미국 내 1743개 기업이 공급망 사이버 보안 위협의 영향을 받았다. 이는 2017년 이후 가장 높은 수치이며, 영향을 받는 회사의 수는 전년 대비 거의 2배 증가했다.

③ 필수 서비스의 중단

사이버 공격자는 랜섬웨어와 안전하지 않은 제3자 연결을 활용하여 OT 시스템을 장악하는 경우가 많으며, 이로 인해 생산과 운영이 중단될 수 있다. 이로 인한 혼란으로 상수도가 오염돼 대중의 안전과 복지가 위협받을 수 있다.

④ 산업스파이 및 지적재산권 사기

운영 중단 외에도 OT 환경에 대한 사이버 공격은 독점 데이터와 개인 데이터를 훔치려는 경우가 많다. 침해로 인해 민감한 프로세스 데이터, 제조 프로세스, 지적 재산이 노출되어 경쟁업체에 불공정한 우위를 제공할 수 있다.

OT 네트워크 세그멘테이션의 5가지 과제

OT 네트워크 세그멘테이션은 새로운 것은 아니지만 특히 레거시 시스템을 사용하는 산업 환경에서는 시간이 많이 걸리고 비용이 많이 드는 프로세스다. 기업들이 OT 네트워크를 올바르게 분할할 때 직면할 수 있는 몇 가지 주요 과제들이 있다.

① 레거시 시스템

시스템이 5년 이상 유지되는 경우가 거의 없는 IT 설정과 달리 산업용 OT 환경은 수십 년의 수명 주기를 갖는 레거시 장치 및 시스템으로 구성된다. 이러한 맥락에서 레거시 산업 제어 시스템(ICS)은 보안을 고려해 설계되지 않은 경우가 많으며 OT 네트워크 분할 또는 최신 보안 조치 준수를 허용하는 데 필요한 기능이 부족할 수 있다.

20년 이상 된 레거시 시스템에는 오래된 취약점과 취약한 안전 조치가 포함될 수 있다. 예를 들어 공격자는 고유한 서체를 사용하여 오래된 윈도 2000 서버 시스템을 감염시켜 악성코드를 실행할 수 있다.

② IT와 OT 시스템의 동기화

IT와 OT 네트워크는 정보와 데이터를 전송하기 위해 자주 상호 작용한다. 그러나 분할된 OT 네트워크와 조직 IT 아키텍처의 다른 구성 요소 간의 연결을 보장하는 것은 어렵다. 이러한 접근 방식에는 한 번도 공동으로 작업한 적이 없는 IT 팀과 OT 팀 간의 협업이 필요하며 이로 인해 노력이 복잡해지고 중복되거나 운영 비용이 증가하거나 보안 문제에 취약해질 수 있는 오류가 발생한다.

③ 오류가 발생하기 쉬운 OT 분할 방법

산업 환경에서 효율적인 OT 네트워크 세그멘테이션 전략을 구현하는 것은 까다롭고 오류가 발생하기 쉬우며 운영 및 유지 관리 비용이 많이 들 수 있다. 절차에는 정기적으로 특정 환경에 맞게 네트워크 정책을 조정하고 인적 오류에 대한 기반을 마련하는 작업이 포함된다.

④ 준수 기준 유지

중요 인프라 회사에는 여러 가지 복잡한 규제 프레임워크 및 요구 사항이 적용된다. 이러한 요구 사항을 준수하는지 모니터링하고 시행하려면 구체적이고 정교하게 맞춤화된 절차가 필요하지만, 많은 기업에서는 이러한 절차가 부족할 수 있다. 이로 인해 OT 네트워크 분할 방법이 다양해지고 회사 간 시행이 고르지 않게 될 수 있다.

⑤ 보안되지 않은 원격 액세스

대부분의 산업 환경은 내부자와 외부 당사자가 리소스를 관리할 수 있도록 원격 액세스에 의존하지만, 서비스 참여의 80%가 OT 네트워크 전반에 대한 가시성이 부족하기 때문에 일반적인 접근 방식은 안전하지 않고 비효율적이다.

제대로 관리되지 않으면 원격 액세스로 인해 OT 네트워크 분할 보호가 우회될 수 있으며 공격 표면이 늘어날 수 있다.

OT 네트워크 세그멘테이션을 가속화하는 핵심 요소

OT 네트워크 세그멘테이션 방식을 개선하려면 기술, 시스템 및 직원 기술을 통합해야 한다. 산업 기업은 기술 기반 강화와 가치 중심 OT 운영 보장이라는 원칙을 기반으로 OT 사이버 보안을 개선하기 위해 6가지 중요한 성공 요소를 활용할 수 있다.

OT 설정은 자산 중요성에 따라 위험을 효과적으로 완화할 수 있도록 향상된 기술 제어를 제공할 수 있다.

① 다른 네트워크와 자체 네트워크 모두에서 OT 네트워크를 분할한다. 지속적인 정보 수집, OT 네트워크의 원격 지원, OT 시스템과 ERP 시스템 간의 연결은 보안 구현을 통해 IT와 OT 설정 간의 안정적인 조정에 필요하다. 보안 기술은 자동화 공급 업체에 의해 올바르게 설계되고 승인돼야 한다.

② 소프트웨어 애플리케이션, 취약점 및 위험과 함께 공장에 어떤 리소스가 있는지 파악하는 것은 공장의 사이버 보안 상태에 대한 완전한 인식을 확립하고 해당 리소스가 얼마나 잘 보호되는지 결정하는 데 중요하다.

③ 보안 제어 및 업그레이드를 구현하는 것이 필요하다. 보안 제어 및 업그레이드를 얼마나 효과적으로 설정, 유지 및 관리하는지에 따라 보안 제어의 효율성이 달라진다.

④ IT 및 OT팀의 책임을 정확하게 정의한다. 기술 발전과 숙련된 노동력 부족으로 인해 OT와 IT 운영이 더욱 얽히면서 일부 장치에 대한 임무의 혼란이 발생할 수 있다. OT 및 IT 팀 전반에 걸쳐 사이버 보안 감독 및 운영 프레임워크를 강화하면 조정을 장려하는 동시에 공장 자원 확보를 위한 소유권, 역할 및 의무가 명확해진다.

⑤ 다양한 OT 자산은 중요도가 다르다. OT 자산의 위험 가치와 중요성을 결정하는 기술을 개발하면 회사는 회사의 탄력성과 공장 운영 연속성을 우선시할 수 있다.

⑥ 조직은 사이트, 기술, 장치 간의 차이로 인해 OT 프로세스를 표준화하는 데 어려움을 겪고 있다. 아키텍처 및 관리 표준을 매핑하면 새로운 OT 사이버 보안 조치를 더 쉽게 ​​배포할 수 있다.