제조 사이버 공격 예방을 위한 선제적 전략

제조업체는 공정을 안전하게 유지하기 위해 사이버 세계의 '블랙 햇'과 씨름해야 합니다

해킹당할지 여부가 아니라 언제 해킹당할지의 문제입니다.

사이버 보안 전문가들은 지난봄 전 세계적으로 폭발한 악명 높은 '워너 크라이(Wanna Cry)' 멀웨어를 포함한 최근 랜섬웨어 공격 물결을 인용하며 이렇게 말합니다. 이 멀웨어는 사용자의 데이터를 암호화하여 몸값을 지불하거나 시스템을 잠금 해제하는 방법을 찾을 때까지 데이터를 인질로 잡았습니다.

점점 더 교묘해지는 사이버 범죄자와 싸우기 위해 제조 작업은 사이버 보안 소프트웨어 솔루션과 공장 자동화 제어 및 네트워킹 장비의 '강화된' 하드웨어의 강력한 조합뿐만 아니라 최신 사이버 보안 표준과 모범 사례를 배포해야 합니다. 이러한 도구를 갖춘 제조업체는 공격을 예방하거나 발생 후 해결할 더 나은 기회를 가집니다.

"공격은 광범위하고 지속적입니다."라고 스폰 시큐리티 솔루션즈(텍사스주 오스틴)의 수석 보안 컨설턴트 티모시 크로스비(Timothy Crosby)는 말했습니다. 그는 많은 산업 시스템이 윈도우 XP, 윈도우 2003, 윈도우 2000을 포함한 구형 임베디드 운영체제를 사용하기 때문에 취약하다고 지적했습니다. "많은 임베디드 시스템은 패치할 수 없으며, 이러한 시스템을 패치할 수 없고 익스플로잇이 쉽게 구할 수 있기 때문에 정기적으로 표적이 될 것입니다. 전체적인 접근이 필요합니다. 은탄환은 없습니다."

신원 도용 리소스 센터(애리조나주 스코츠데일)와 사이버스카우트(캘리포니아주 샌디에이고)가 1월에 발표한 보고서에 따르면 데이터 유출이 2016년에 40% 증가했습니다. 유출 건수는 2016년 1,083건으로 역대 최고치를 기록했으며, 2015년 근래 최고치인 780건을 쉽게 넘어섰습니다. 도난은 광범위한 비즈니스, 교육, 정부/군사, 의료/건강, 은행/금융 기관을 강타했습니다. 8년 연속 해킹, 스키밍, 피싱 유형 공격이 데이터 유출 사고의 주요 원인으로, 전체 유출의 55.5%를 차지했으며 2015년 대비 17.7% 증가했습니다.

전체적 접근법 채택

워너 크라이 같은 최근 공격이나 2016년 등장한 페트야(Petya) 멀웨어로 인한 우크라이나의 주요 혼란은 유틸리티와 기타 정부 시설을 포함한 중요 인프라를 표적으로 삼았습니다. "공격이 발생하면 일반적으로 현장에서 번져 나갑니다."라고 UL LLC(일리노이주 노스브룩)의 수석 엔지니어 켄 모데스테(Ken Modeste)는 말했습니다. 우크라이나의 시설과 비교해 미국과 북미의 다른 시설은 FBI 및 기타 정부 기관의 더 많은 지원을 받아 중요한 운영을 복구할 수 있다고 그는 덧붙였습니다.

작년 UL은 네트워크 장치의 확산으로 인한 안전 및 성능 위험을 완화하는 UL 글로벌 사이버 보안 보증 프로그램(UL CAP)을 발표했습니다. UL CAP은 기업이 UL 2900 시리즈 사이버 보안 표준에 따라 보안 위험을 식별하고 산업 제어 시스템, 의료 기기, 자동차, 빌딩 자동화 및 기타 영역에서 위험을 최소화하는 방법을 제안하도록 돕습니다.

"우리가 테스트에 구축한 표준은 [기업의] 모범 사례에 기반합니다." 모데스테가 말했습니다. 장치에 내장되어 변경할 수 없는 하드코딩된 비밀번호 사용은 하지 말아야 할 예라고 그는 덧붙였습니다. "그것은 근본적인 결함입니다. 랜섬웨어는 피싱 방법으로 조직에 들어옵니다. 클릭하면 멀웨어가 전파되기 시작합니다. 그것이 랜섬웨어가 대부분의 경우 침입하는 방식입니다."

직원 사이버 보안 안전 교육은 사이버 공격을 저지하는 큰 열쇠입니다. "교육은 이 문제를 해결하는 기념비적인 방법입니다. 피싱은 주요 문제입니다. 악당들은 물리적 정찰을 합니다. 승산은 그들에게 있습니다."

최근 랜섬웨어 공격은 산업 환경의 취약성을 보여주었다고 지멘스 PLM 소프트웨어(텍사스주 플라노)의 플랜트 보안 서비스 책임자 헤닝 루도프(Henning Rudoff)는 말했습니다. "플랜트, 시스템, 기계, 네트워크를 사이버 위협으로부터 보호하기 위해 IEC 62443에 설명된 대로 전체적이고 최첨단의 산업 보안 개념을 구현하고 지속적으로 유지해야 합니다." 루도프가 말했습니다. "디지털화가 증가함에 따라 산업 보안은 점점 더 중요해지고 있습니다."

"산업 보안은 인더스트리 4.0으로 가는 지멘스 접근 방식인 디지털 엔터프라이즈의 핵심 요소입니다." 루도프가 언급했습니다. "이전에는 집중된 표적에 대한 전용 공격이었지만, 현재 랜섬웨어 공격은 광범위하며 산업 네트워크 운영자라면 누구에게나 영향을 미칠 수 있습니다."

지멘스는 전 세계적으로 CSOC(사이버 보안 운영 센터)를 창설하여 뮌헨, 리스본, 오하이오주 밀포드에서 보안 운영을 수행하며 산업 보안 전문가들이 전 세계 시설을 모니터링하여 보안 사고를 감지하고 적절한 대응 조치를 취하는 등 여러 전선에서 사이버 위협에 대처하고 있습니다(「클라우드에서 제조 데이터 보호」, Manufacturing Engineering, 2016년 7월 참조).

기업이 해커의 제조 작업 방해나 정부 시설 및 유틸리티 인프라 침투를 막기 위해 무엇을 더 할 수 있을까요? "플랜트 관리 수준부터 현장 수준까지, 접근 제어부터 복사 방지까지 모든 수준을 동시에 독립적으로 보호해야 합니다." 루도프가 말했습니다. "이것이 지멘스의 포괄적 보호 접근 방식이 모든 수준에서 방어를 제공하는 이유입니다. 심층 방어(defense in depth). 이는 산업 응용 분야 보안의 선도 표준인 ISA99/IEC 62443의 권고에 기반합니다."

이를 위해 지멘스의 제품과 솔루션은 더 안전하게 만들기 위해 지속적으로 개발되고 있다고 루도프는 덧붙였습니다. 자체 산업 제품에 대해 지멘스는 IEC 62443에 기반한 산업 전체 보안 개념(HSC)을 정의했다고 그는 말했습니다. "HSC는 개발 및 제조 환경의 무결성을 보호하고 기밀성을 지킵니다. HSC 조치는 제품, 솔루션, 서비스의 수명 주기에 따라 개발 및 생산 부서에서 정의되고 모니터링됩니다."

지멘스의 HSC에는 인식, 최첨단 기능, 프로세스 개선, 사고 처리, 제품/솔루션/서비스 보안 및 주변 IT 인프라 보안의 다섯 가지 레버가 있다고 루도프는 덧붙였습니다. "지멘스는 독일 TÜV[기술 검사 협회]로부터 디지털 팩토리와 공정 및 드라이브 부문의 개발 프로세스에 대해 IEC 62443 인증을 받았으며, 자사 개발 프로세스 보호에 대한 약속을 입증했습니다. 또한 PCS 7 같은 산업 시스템이 IEC 62443 표준에 따라 인증되었습니다."

가능한 한 빨리 제품 업데이트를 적용하고 항상 최신 제품 버전을 사용하는 것이 강력히 권장된다고 루도프는 말했습니다. "자체 산업 제품을 더 안전하게 만드는 것 외에도 지멘스는 자동화 제품에 대한 고급 보안 기능, 자체 네트워크 보안 제품 및 보안 서비스를 제공합니다. 예를 들어 S7 컨트롤러의 보안 기능에는 PLC 프로그램 블록의 노하우 보호, 복사 보호, 접근 보호, 통신 무결성이 포함됩니다. 지멘스의 네트워크 보안 제품[Scalance 및 Ruggedcom 라인 등]은 원격 액세스, 비무장 지대 구축, 보안 이중화, 셀 보호 등의 사용 사례를 지원합니다."

지멘스 플랜트 보안 서비스는 전체적 접근 방식을 나타낸다고 그는 말했습니다. 위협과 멀웨어를 조기에 탐지하고, 취약점을 분석하고, 포괄적인 보안 조치를 개시합니다. "지속적인 모니터링은 플랜트 운영자에게 산업 시설 보안에 대한 투명성을 제공합니다."

안전과 사이버 보안의 통합

랜섬웨어의 전 지구적 위협은 업계의 안일함을 끝냈습니다. "낫페트야(NotPetya)가 우크라이나의 중요 인프라를 성공적으로 표적으로 삼아 80개 이상의 국가에 영향을 미쳤으며, 가장 큰 타격을 입은 국가는 독일, 러시아, 영국입니다."라고 스폰 시큐리티 솔루션즈의 크로스비가 말했습니다. 그는 미국 기업의 49%가 전담 IT/데이터 보안 프로그램을 가지고 있다고 말했습니다. "유럽에서 본 가장 높은 비율은 영국 37%, 독일 34%였습니다. 낫페트야의 작동 방식을 고려할 때, 미미카츠 단계[해커가 사용하는 도구]에서 수집된 자격 증명을 이용한 다른 공격이 발생할 가능성이 있습니다. 트립와이어 설문조사에 따르면, 대부분의 조직은 5월과 6월 워너크라이와 낫페트야가 강타하기 전보다 훨씬 더 잘 준비되어 있지 않을 것입니다."

페트야/낫페트야 공격에서 광범위한 암호화 멀웨어는 영향을 받은 회사들에 분산 서비스 거부(DDoS)를 목표로 했다고 로크웰 오토메이션(위스콘신주 밀워키)의 최고 제품 보안 책임자 리 레인(Lee Lane)은 말했습니다. "그것은 머스크, 페덱스, 몇 개의 생명과학 회사 같은 기업에 실제 피해를 입혔습니다. 서비스 거부로 그들은 여러 서버를 동원하여 한 번에 표적을 공격합니다. 다른 스타일의 공격이지만 엄청난 영향을 미칠 것입니다. 그들은 들어와서 최종 표적이 운영할 수 없도록 만듭니다."

그러한 셧다운은 직접 영향을 받은 회사뿐만 아니라 연쇄 반응 효과도 있다고 그는 말했습니다. "당신의 제조 ERP[전사적 자원 관리] 소프트웨어 없이 무슨 일이 일어날지 생각해보십시오. 모든 주문, 모든 제조 계획, 어디로 출하하는지에 대한 정보가 사라질 것입니다."

악성 코드(랜섬웨어, DDoS, 또는 스턱스넷 코드처럼 휴면 상태에 있다가 활성화될 때까지 지연된 상태에 있는 제로데이 멀웨어)는 다양한 사이버 공격자가 사용합니다. "소위 '나쁜 행위자'가 많습니다. 록히드나 기타 방위 회사를 표적으로 삼는 국가부터 많은 사람이 놓치는 것: 내부자, 회사 내 직원까지." 레인이 말했습니다.

ISIS 같은 테러 단체와 핵티비스트도 전력망과 유틸리티 같은 중요한 인프라를 표적으로 삼고 있다고 그는 말했습니다. "최근 IBM 보안 인텔리전스 보고서에 따르면 2015년부터 2016년까지 공격 건수가 110% 증가했으며, 이는 보고된 것만 그렇습니다." 레인이 덧붙였습니다.

산업 자동화에만 집중하는 로크웰 오토메이션은 안전과 보안을 통합하는 하드웨어와 소프트웨어를 개발할 뿐만 아니라 산업 안전, 자동화, 사이버 보안에 대한 고객 컨설팅도 제공합니다. "올바른 사람, 프로세스, 올바른 도구가 제자리에 있어야 합니다." 레인이 말했습니다. "사이버 보안도 마찬가지입니다. 네트워크를 방어할 수 있는 사람이 있어야 합니다."

자산 식별 및 문서화는 핵심 출발점이라고 그는 말했습니다. "사이버 위협은 현실이며 증가하고 있으며 실질적 피해를 줄 수 있습니다. 자산의 중요도를 식별하고 평가해야 합니다." 국가표준기술연구소(NIST)의 사이버 보안 프레임워크 사용도 좋은 출발점이라고 레인은 덧붙였습니다.

로크웰은 팩토리토크 자산 관리자(FactoryTalk Asset Manager) 소프트웨어와 사이버 보안 보호를 위한 보안 기능 및 강화를 제공합니다. "자동화 시스템을 인수하기 전에 회사와 대화하여 보안 프로그램이 있는지 확인하십시오. 회사 전체에서 보안 기능과 강화가 어떻게 수행되는지 로드맵을 작성하십시오. 사이버 공격을 더 잘 견딜 수 있는 강화 기능이 있는 제품을 찾으십시오. 예를 들어 데이터 폭풍에 맞으면 통신 시스템이 그냥 종료되거나 절전 모드로 가나요?"

일부 안전장치에는 로크웰의 컨트롤로직스(ControlLogix) 제어 시스템처럼 하드웨어 변경을 감지하여 멀웨어 존재를 작업자에게 알리고 시스템을 종료하거나 문제를 해결할 수 있게 하는 것이 포함됩니다. "PLC를 비밀번호로 보호할 수 있습니다. 컨트롤에 키 스위치가 있습니다. 각 PLC에는 포트와 키포트 스위치가 있습니다." 레인이 말했습니다. 시스템은 복구에 도움이 되는 아카이브 기능도 제공합니다. 이러한 상황으로부터 자동 또는 제어된 복구는 고급 사이버 보안 도구의 핵심 기능입니다.

"오늘날 우리는 수년간 제조업에 있었던 안전 시스템을 가지고 있습니다. 사이버 침해가 발생하면 그 많은 안전 시스템에 의존할 수 없습니다." 레인이 말했습니다. "두 가지를 결합하는 것이 중요합니다. 올바른 관행입니다. 안전과 보안은 전통적으로 분리되어 있었습니다."

UL CAP 프로그램은 사용자에게 사이버 위협과 싸우기 위한 지침과 도구를 제공합니다. 작년 UL은 UL CAP 표준의 초판을 발표했고 현재 35개 제품을 테스트하고 있다고 모데스테는 말했습니다. "그들은 안티멀웨어 도구를 가지고 있고 랜섬웨어 도구를 추가하기 시작했습니다." 그가 말했습니다. 부트 레코드나 파일 시스템 관리의 무단 변경을 방지하는 운영체제 제어 등이 중요하다고 그는 말했습니다. "점점 더 많은 도구가 나오고 있으며 많은 다른 제품에 센서가 배치되고 있습니다."

대기 중인 위협

어떤 경우 사이버 공격은 침입 후 한참 지나서야 발견되어 해결을 더 어렵게 만듭니다. 사이버 공격자들은 2015년 시스코 라우터의 펌웨어에 멀웨어를 성공적으로 설치했고, 국가안보국(NSA) 시스템에도, 심지어 군용 애플리케이션에 설치된 전자 부품에도 설치했다고 PFP 사이버시큐리티(버지니아주 비엔나)의 공동 창업자 겸 CEO 스티브 첸(Steve Chen)은 말했습니다. 정식 명칭은 파워 핑거프린팅(Power Fingerprinting Inc.)입니다.

PFP의 사이버 보안 시스템은 장치 모니터링, 무선 주파수(RF)를 이용한 신호 처리, 빅데이터 분석, 런타임 탐지 및 복구 도구를 사용합니다. 버지니아 공대에서 라이선스받은 기술을 사용하여 PFP 사이버는 일부 정부 계약을 따냈고 작년에 이전에 라이선스받은 두 개의 특허 외에 네 개의 새로운 특허를 받았습니다.

"우리는 시그니처 탐지 대신 이상 탐지를 사용합니다." 첸이 말했습니다. "다음 과제는 멀웨어를 더 빨리 탐지하는 것입니다. 소위 탐지 갭은 일반적으로 약 200일입니다. 우리는 공격 탐지와 복구를 할 수 있다고 믿으며 이를 입증했습니다."

PFP는 7월 라스베이거스에서 열린 블랙햇 USA 컨퍼런스에서 시스템을 시연했습니다. "공격을 예방할 수는 없습니다. 공격당할 것이라고 가정해야 합니다." 첸이 말했습니다. 회사에는 내부 장치 내부에 있는 모델과 외부에 있는 모델 두 가지 배포 모델이 있다고 덧붙였습니다.

"내부에 있으면 이상을 탐지하고 자동으로 복구할 수 있습니다." 첸이 말했습니다.

PFP는 클라우드 기반 소프트웨어와 서비스, 또는 온프레미스 소프트웨어를 사용하여 IoT 장치를 위한 보안 플랫폼을 제공하는 것을 목표로 하며, RF 스캐닝 기술로 멀웨어를 탐지하고 복구합니다. 회사의 PFP 대시보드는 파트너가 제공하는 SaaS(서비스형 소프트웨어) 플랫폼에서 사용됩니다.

"우리는 스턱스넷이 무엇인지 모방하려 합니다." 첸이 말했습니다. "보이지 않습니다."

멀웨어 탐지 외에도 이 시스템은 제품을 배송하는 상자를 열지 않고 위조 칩 탐지에 사용될 수 있다고 첸은 말했습니다. "이 경우 고객은 블라인드 테스트를 할 수 있습니다. 메모리 칩을 소프트 스캔합니다." 이는 대량으로 해외에서 제품을 구매하는 회사에 상당한 비용을 절약할 수 있다고 그는 덧붙였습니다.

"이것에 대한 특허 출원 중입니다. 같은 프로세스, 같은 수학, 같은 솔루션을 사용합니다." 첸이 말했습니다. "이 경우 전원이 켜지지 않은 장치에 에너지, 무선 주파수를 가합니다."

첸은 결국 PFP의 기술을 반도체 제조업체에 라이선스하기를 희망합니다. 회사의 사이버 보안 키트는 현재 기업 및 정부 애플리케이션을 대상으로 하지만, 펌웨어 임플란트 공격의 표적이 된 시스코 라우터용 안테나를 내놓는 것이 목표입니다.

"가정용 사용자를 위해 휴대용 스캐너를 내놓을 계획이었습니다." 첸이 말했습니다. "세상은 더 안전해질 것입니다. 지금 모든 IoT 장치에 보안이 없습니다."