Triton 악성코드가 여전히 산업 안전을 위협하는 이유: Schneider Electric 전문가 분석

2017년 말, Triton(Trisis라고도 함)이라는 정교한 사이버 공격이 중동 시설의 안전 셧다운 시스템을 겨냥했습니다. 2017년 11월 사이버보안 회사 Dragos에 의해 발견된 이 악성코드는 치명적인 고장을 유발할 수 있었습니다. 잠재적으로 인명 피해와 유해 화학 물질 방출을 초래할 수 있었습니다. 다행히 Triton이 Triconex 안전 시스템을 비활성화하려는 시도가 역효과를 내어, 억제하려던 비상 셧다운을 활성화시키고 공격을 드러냈습니다.

Dragos는 배후 그룹을 "Xenotime"으로 명명하고 향후 파괴적 또는 와해적 공격을 감행할 수 있다고 경고합니다. 이 사건은 안전 계장 시스템(SIS)을 표적으로 삼으려는 다른 공격자들에게 위험한 청사진을 제공하기도 합니다.

Schneider Electric은 침묵 대신 투명성을 선택했습니다. 사이버보안 및 시스템 아키텍처 디렉터 Andrew Kling은 설명했습니다: "일정 수준의 개방성이 필요하다는 것을 알았습니다. 공격의 진정한 본질이 이해되자 우리는 그 심각성과 업계 전반의 행동 촉구를 깨달았습니다." Kling은 Triton 1년 후: 지속적인 업계 전반의 사이버 회복탄력성 구축을 저술해 교훈을 공유했습니다.

[IoT 보안 서밋 – 클라우드에서 엣지, 하드웨어까지 전체 IoT 스택 보안 방법 학습. 지금 티켓 구매.]

Triton을 구별하는 점은 안전 계장 시스템을 공격하도록 설계된 최초의 알려진 악성코드라는 것입니다. Kling은 말합니다: "이건 일회성 레거시 익스플로잇이 아니었습니다. 전략적 이득을 위해 안전 통제를 의도적으로 약화시키려는 시도였습니다. 무시하는 것은 용납할 수 없습니다."

산업계는 Triton과 산업 안전 시스템에 대한 광범위한 위협을 얼마나 인지하고 있습니까?

Andrew Kling: "산업 인지도는 100%여야 합니다. 모두 즉시 행동해야 합니다. 우리는 Triconex 컨트롤러용 전용 악성코드 탐지 서비스를 운영하며 모든 고객에게 제공하고, 추가 침해는 탐지되지 않았습니다. 이는 안전 디바이스에서 직접 악성코드를 탐지하는 최초의 서비스입니다."

Schneider Electric은 업계 교육에서 어떤 역할을 합니까?

Kling: "우리는 집단적 대응을 촉구합니다. 고객, 서비스 제공업체, OEM, 네트워크 벤더가 프로세스 제어만큼 안전 시스템을 치열하게 우선시해야 합니다. 표준 위원회를 통해 동료들과 협력해 교훈을 공유하고 모범 사례를 장려합니다. 투명성이 핵심입니다. 공격 세부사항과 사용된 기법을 설명해 다른 이들이 스스로 방어할 수 있게 합니다."

공격자에 대해 무엇을 알고 있습니까?

Kling: "기여도는 불분명합니다. 국가 개입 추측이 존재하지만 구체적 증거는 부족합니다. 우리가 아는 것은 공격자들이 안전 시스템 아키텍처, 임베디드 프로세서, 독점 프로토콜에 대한 전문 지식을 보유했다는 것입니다. 그들의 악성코드는 여러 버그를 포함해 의도치 않게 안전 셧다운을 유발했으며, 이는 제한된 리소스나 테스트를 시사합니다. 그럼에도 필요한 기술 세트는 비범한 것이며 고도로 동기 부여된 적대자임을 나타냅니다."

사이버 리스크를 우려하는 산업 조직을 위한 조언?

ISA99의 IEC 62443 워킹 그룹 멤버로서 Kling은 조달을 IEC 62443 사이버보안 표준에 맞추라고 권장합니다. "새 안전 또는 공정 제어 시스템 입찰 시 IEC 62443 준수를 명시하세요. 산업 자동화에서 보안이 무엇을 의미하는지 정의하는 수백만 명의 전문가 작업이 있습니다. 인증된 제품과 납품 파트너를 선택함으로써 사이버보안 전문가가 되지 않고도 그 집단적 전문성을 활용할 수 있습니다."

Schneider는 NCCIC/ICS-CERT 같은 미국 정부 기관과도 협력해 운영 기술(OT) 보안 모범 사례가 커뮤니티 전반에 공유되도록 합니다. OT 사이버보안 커뮤니티는 긴밀하게 연결돼 있으며, 새로운 위협에 대응하기 위해 정기적으로 협력합니다.