ICS 보안 체크리스트

전통적인 사이버 보안에서 침해는 기업 데이터 시스템을 노출, 손상, 심지어는 가둘 수도 있습니다. .

전통적인 데이터 침해는 비용이 많이 들고 기업 IT 시스템을 약화시킬 수 있지만 산업 제어 시스템에 대한 사이버 공격은 미션 크리티컬 데이터 및 운영에 영향을 미칠 수 있습니다. 산업 제어 시스템이 원자력 발전소에서 정유소, 전력망, 공장 및 중장비에 이르기까지 모든 것을 제어한다는 점을 감안할 때 ICS 보안은 매우 중요합니다.

IT 시스템은 전통적인 기업 환경에서 소프트웨어의 하드웨어인 반면, 운영 기술(OT)이라고도 하는 산업 제어 시스템은 산업 프로세스를 운영 및/또는 자동화하기 위해 장치, 시스템 및 네트워크를 포괄합니다.

여기에서 업계 전문가가 사이버 보안 위험을 낮추는 데 도움이 되는 일련의 ICS 보안 원칙을 제공합니다.

1. 자산 이해하기

대부분의 산업 조직은 고급 사이버 보안 기술을 사용할 준비가 되어 있지 않습니다. 그들은 기본부터 시작해야 합니다. 트렌드마이크로의 인프라 전략 담당 부사장인 빌 말릭은 “대부분의 조직은 어떤 기술이 배포되었는지 모릅니다.

PAS의 최고 정보 보안 책임자인 제이슨 하워드-그라우(Jason Haward-Grau)는 운영 기술 자산이 종종 IT 자산과 다르다는 사실이 문제의 일부라고 말했습니다. 예를 들어 데이터 센터의 서버는 IT 자산입니다. 그러나 공장의 서버실에 있는 시스템은 "자산으로 연결되는 기능"이라고 덧붙였습니다. "PLC[프로그래머블 로직 컨트롤러], SCADA[감독 제어 및 데이터 수집] 또는 DCS[분산 제어 시스템] 시스템을 위한 제어 시스템을 실행할 것입니다."

따라서 서버, IP 주소 또는 네트워킹 스위치를 세는 것만으로는 전체 그림을 파악할 수 없습니다. Haward-Grau는 "공식 네트워크에 없는 [산업용] 시스템이 많이 있습니다. 또 다른 문제는 장비 노후화입니다. 그는 “많은 공장의 핵심에는 1960년대와 1970년대의 기술이 여전히 남아 있다”고 덧붙였다.

기업에서 취약성 평가를 수행하거나 자산 인벤토리를 설정하는 것은 일반적으로 간단하지만 OT 및 ICS의 세계에서 동일한 작업은 일반적으로 그렇지 않습니다. 딜로이트의 위험 및 재무 자문 파트너인 IoT 보안 리더인 Sean Peasley는 "OT 환경에서 인벤토리 확인을 수행하면 장치 또는 전체 환경이 다운될 수 있습니다."라고 말했습니다. 전문 ICS 보안 공급업체는 수동적으로 장치 목록을 만들 수 있다고 그는 말했습니다.

2. 프레임워크에서 도움말 보기

산업 기반 시설을 보호하는 것은 어려울 수 있지만 도움이 될 수 있는 표준이 늘어나고 있습니다. Peasley는 사이버 보안을 포함하는 공통 프레임워크를 보유함으로써 IT와 OT 간의 격차를 해소하고 산업 조직 전반에 걸쳐 "전체론적 ​​사고"를 촉진할 수 있다고 말했습니다.

Haward-Grau는 대부분의 ICS 표준 간에 상당한 중복이 있다고 말했습니다. “프레임워크로 시작하세요. 어느 쪽이든 상관없다"고 조언했다.

관련 표준 및 프레임워크는 다음과 같습니다.

<울>

사물 인터넷 보안을 위한 DHS 전략 원칙

ISA/IEC 62443

ISO/IEC 27001

산업 제어 시스템을 위한 MITRE ATT&CK 프레임워크

NERC CIP

NIST 사이버 보안 프레임워크, 산업 제어 시스템(ICS) 보안에 대한 NIST 가이드 및 IoT 기기 제조업체를 위한 NIST 권장 사항

UL 2900 표준

3. 사이버 재해 복구 계획 수립

사이버 보안 표준 문서는 밀도가 높은 경우가 많지만 결국에는 직원이 일반 영어로 사이버 보안에 대해 논의하고 사이버 악몽 시나리오에 대응하는 방법에 대한 계획을 제공할 수 있는 프레임워크가 있어야 합니다. “[With] 프레임워크에 대해 '어떻게 식별하고 보호합니까? 어떻게 탐지하고 대응하며 더 중요하게는 [사이버 공격]으로부터 복구할 수 있습니까?'” Haward-Grau가 말했습니다.

4. 사이버 보험에 투자

사이버 공격은 종종 발생하기 때문에 사이버 보험은 매우 중요합니다. 그러나 보험에 가입하는 것은 간단하지 않습니다. Haward-Grau에 따르면 레거시 산업 장비는 일반적이므로 특정 기술보다 산업 프로세스를 보장하는 것이 더 합리적입니다. “패치할 수 없는 항목이 있으면 사이버 보험사는 보상 통제를 찾을 것입니다.”라고 그는 말했습니다. 강력한 사이버 보안 프로그램이 설치되어 있어도 보험 정책에 주의해야 할 다른 제외 사항이 있을 수 있습니다.

5. '최소 권한' 수용

사이버 보안에서 "최소 권한" 개념은 조직이 핵심 활동을 구성하지 않고 IT 시스템과 사용자 간의 액세스 제어를 제한해야 한다고 조언합니다.

방화벽은 이 목표를 달성하기 위한 전통적인 IT 기반 전략이지만 OT 보안에서도 중요합니다. Malik은 "맬웨어가 생산 시설 전체에 어떻게 확산될 수 있는지 고려하고 방화벽을 설정합니다."라고 말했습니다. 잠재적인 간섭을 방지하려면 허용되는 프로세스를 화이트리스트에 추가하십시오.

AssetLink Global의 CEO인 David Goldstein은 방화벽보다 "최소 권한"에 더 많은 것이 있다고 말했습니다. 예를 들어 Goldstein은 "응용 프로그램에 필요하지 않은 방향으로 트래픽을 제한합니다. 모니터링만 하는 경우 제어 기능을 비활성화하는 등의 작업을 수행합니다."

원격 액세스는 또 다른 걱정거리입니다. Malik은 "유지 관리 작업에 고유한 ID를 사용합니다. “산업 환경에서 IP 네트워크를 통해 기술에 액세스할 때 각 사용자의 고유한 인증이 필요합니다.”

ICS 환경에서 일반 PC를 사용하는 것도 위험합니다. “잠궈. 설치를 비활성화하고 컴파일러를 제거하고 알 수 없거나 불필요한 프로세스를 비활성화하십시오.”라고 Malik은 말했습니다.

6. 버그 바운티 프로그램 고려

시스템 취약점을 식별한 개발자에게 보상을 제공하는 버그 현상금 프로그램은 산업 분야를 포함하여 최근 몇 년 동안 인기를 얻었습니다. Malik은 “버그 현상금 프로그램은 미래 지향적인 IoT 및 산업용 IoT 공급업체의 특징입니다.

Haward-Grau는 “전체 디지털화 여정은 플랜트 운영 방식을 변화시킬 것입니다. "IIoT 장치와 5G를 도입하기 시작하면 버그 현상금이 필요합니다."

하지만 그렇다고 해서 모든 경우에 버그 현상금에 우선순위를 두는 것이 합리적이지는 않습니다. 패치가 적용되지 않았거나 오래된 운영 체제를 실행하는 수십 년 된 장비와 워크스테이션이 있는 조직은 버그 현상금 프로그램의 결과가 압도적임을 알게 될 것입니다.

7. 제3자 위험 관리

Peasley는 제3자 위험 관리 프로그램이 OT 영역에서 점점 더 중요해지고 있다고 말했습니다. 그러나 확장된 공급망에서 위험을 관리하는 것은 종종 어려운 일이라고 그는 강조했습니다. “대기업의 경우 수천 개의 서로 다른 제3자, 제4자, 제5자가 고려해야 할 수 있습니다. "하위 구성 요소에 무언가를 내장하는 공급 업체이든 ... 소프트웨어 제품, 이 모든 것을 고려해야 합니다.”라고 Peasley가 덧붙였습니다.

8. 안전 프로그램에서 영감 얻기

많은 산업 조직은 수십 년 동안 안전 프로그램을 시행해 왔습니다. 이제 사이버 보안 위협이 안전 관련 위협을 유발할 수 있으므로 "보안에 대해 유사한 사고 방식을 가져야 합니다"라고 Peasley는 말했습니다.

아이디어는 근거를 얻었습니다. 예를 들어 American Institute of Chemical Engineers는 전통적으로 화학 공학 시설의 인적 오류, 장비 고장 등의 위험에 초점을 맞추는 기존의 프로세스 위험 분석에 사이버 보안 고려 사항을 통합할 것을 권장합니다.

잠재적인 재해로부터 산업 시설을 보호하는 한 가지 전략은 안전 계장 시스템을 사용하는 것입니다. 그러나 그러한 시스템 자체는 손상에 취약할 수 있다고 Malik은 말했습니다. Malik에 따르면 보안 기능을 기존 안전 계장 시스템에 개조하는 것은 바람직하지 않습니다. 그는 “사이버 보안을 위해 설계된 적이 없는 플랫폼 위에 인프라를 구축할 것”이라고 말했다.

Haward-Grau는 안전 계장 시스템이 불완전하다는 점을 인정하면서도 이것이 중요한 방어 수단이라고 강조했습니다. “운영을 확장하기 시작하고 더 많은 것을 연결함에 따라 더 효과적인 안전 계장 시스템에 대한 필요성이 조금도 사라지지 않을 것입니다. 그것들이 더 중요해질 것입니다.”