산업제어시스템, 스크립트키디 놀이터 될라

파이어아이, '산업환경에 대한 6가지 파괴적 우려사항' 보고서 공개

수도, 가스, 발전소와 공장 시설에 구축된 산업제어시스템(ICS)의 취약한 보안 수준을 진단하고 개선방안을 제시한 보고서가 공개됐다. 인터넷에 공개된 장치 제조사의 제품설명서에 담긴 기본 계정과 패스워드를 그대로 쓰거나, 하드코딩해서 운영하는 환경의 취약점이 여전하다는 지적이 담겼다.

파이어아이는 지난 6일 '산업환경에 대한 여섯 가지 파괴적인 우려 사항 보고서'를 공개해 ICS의 주요 보안 취약점과 이를 완화하기 위한 조치 방법을 제시했다. 파이어아이코리아 윤삼수 전무가 전문지식 없이 공개된 툴로 공격을 시도하는 '스크립트키디(script kiddie)'의 위협에 노출돼 있다는 우려와 함께 보고서에 담긴 각 ICS 취약점의 특성을 설명하고 해외에서 발생한 관련 사고사례를 소개했다.

윤 전무는 "ICS 표적공격이 점차 잦아지고, 고도화되면서 사회혼란 및 국가 안보까지 위협하고 있지만, 아직도 많은 보안 담당자들이 ICS가 탐지되지 않는 보안위협에 취약하다는 사실을 제대로 인식하지 못하고 있다"면서 "전사에 걸쳐 활용 가능한 인텔리전스를 도입함으로써 조직원의 보안의식을 제고하여 위험 관리를 하고 경영진 및 보안 담당 전문가들이 정보에 기반해 보안대책을 수립할 수 있도록 지원하는 것이 중요하다"고 말했다.

보고서는 ICS에 사용된 인증되지 않은 프로토콜과 낙후된 하드웨어의 약점을 지적했다. 그리고 취약한 사용자 인증, 파일 무결성 검사, 윈도 운영체제(OS), 문서화되지 않은 제3자 소프트웨어(SW) 사용 관계에서 발생하는 문제를 설명했다.

윤삼수 파이어아이코리아 전무

ICS에서 인증되지 않은 프로토콜이 많이 쓰인다. 데이터가 신뢰할 수 있는 출처에서 온다는 걸 보장하는 기술이 없다. 네트워크에서 컴퓨터가 설정값을 바꾸거나 잘못된 측정값을 보내는 식으로 물리적 공정을 바꾸는 명령을 보낼 위험이 있다. 제품 손상, 설비 파괴, 직원 위협, 환경 파괴 우려가 생긴다. 이 위험을 낮추려면 우선 공정제어 네트워크에서 인증되지 않은 프로토콜을 모두 확인해 취약점 수준 파악, 사용중인 장비의 인증 지원여부 평가를 수행해야 한다.

낙후된 ICS 하드웨어는 수십년간 작동할 수 있다. PLC, RTU, VFD, 보호계전기, 플로우 컴퓨터, 게이트웨이 커뮤니케이터 등은 최신 네트워크기술의 위협 환경을 처리하기 어렵다. 동작이 단순하거나 처리 성능, 메모리가 부족해서다. 이런 약점을 파고드는 공격을 완화하려면 하드웨어 업그레이드, 또는 이런 하드웨어와 네트워크 연결을 최소화하도록 방화벽 규칙을 구성해야 한다.

ICS에서 사용자인증이 취약하면 공격자가 공정을 마음대로 조작할 수 있다. 사용자인증은 허용된 사람만 컴퓨터에 접근하거나 프로그램을 쓰도록 지원하는 기능을 의미한다. 그런데 낡은 제어시스템은 패스워드 사용방식 자체에 취약성이 있다. 하드코딩돼 있거나, 쉽게 해독 또는 복구되거나, 평문으로 전송되는 식이다. 이 공격 위협을 줄이려면 사용중인 ICS 장치 목록과 하드코딩된 패스워드가 알려진 장치의 목록을 대초하고, 장치 로그와 네트워크 트래픽 모니터링으로 이를 악용하는 시도가 있는지 파악해야 한다.

윤 전무는 "이쪽 연구자들이 ICS 장치 기본 계정과 패스워드, 하드코딩된 패스워드 목록을 확보해 공개적으로 관리하고 있고, 수많은 공급업체의 SW에 관련된 취약점도 수십가지가 공개돼 있는데다, 쇼단이나 와이어샤크 서비스로 ICS 설비의 위치, 프로토콜을 확인해 공격 표적을 찾아낼 수 있다"면서 "공개된 정보가 많아 과거 IT쪽 스크립트키디의 준동이 재현될 공산이 있다"고 언급했다.

ICS 장치가 다루는 데이터, 코드, 파일 등의 무결성 검사 기능에 결함이 나타날 수 있다. SW서명, 펌웨어 무결성, 제어논리 무결성 문제가 우려된다. SW서명이 제대로 안 돼 있으면 공격자가 사용자를 오도해 벤더가 제공하지 않은 SW를 설치하게 만들 수 있고, 합법적인 파일을 악성 파일로 대체할 수도 있다. 펌웨어가 무결성검사를 제대로 받지 않으면 공격자가 장치의 전체 작동을 제어할 수 있다. 제어논리 프로그램이 무결성검사를 제대로 거치지 않으면 공인되지 않은 사용자나 엔지니어링 SW로 만들어진 제어논리가 장비를 다루게 된다.

ICS 환경에서 공정작업자의 워크스테이션이나 도면을 처리하는 HMI 장비는 패치가 안 된 낡은 윈도OS로 구동되는 경우가 많다. 알려진 윈도 취약점에 노출될 우려가 크다. 산업환경이나 제어시스템에 특정한 지식이 없어도 접근해 공격을 시도할 수 있게 된다. 이 문제를 완화하려면 벤더의 지침에 따라 유지보수를 위한 작업중단 일정에 맞춰 업그레이드 또는 패치 적용을 수행해야 한다.

문서화되지 않은 제3자관계로 얽힌 SW도 ICS 환경의 문제를 야기한다. ICS 소유자는 SW의 제3자 구성요소 종속성을 추적하는 경우가 거의 없고, 벤더는 자신들이 쓰는 구성요소의 변화, 취약점 발생 및 해결 여부를 즉시 알지 못하기 때문이다. 이는 벤더가 자사 제품을 쓰는 ICS 소유자에게 문제를 제때 알리지 못한다는 뜻이다. 공격자가 이런 종속성을 파악하면 벤더가 파악하지 못한 SW의 취약점을 노릴 수 있다. 이를 완화하려면 ICS 소유자는 제품을 공급한 벤더에게 사용중인 제3자 SW 버전 목록, 패치 검증 등을 요청해야 한다.