OT 사이버보안 위험 요소 평가: 자동화 엔지니어를 위한 가이드

"인터넷은 나쁜 동네다"라는 말이 자주 인용됩니다. 이것이 사실처럼 보이지만, 자동화 엔지니어가 알아야 할 다른 많은 위험과 위협이 있으며, 이는 자동화 및 제어에 사용되는 컴퓨터 시스템에 영향을 미칠 수 있습니다.

운영 기술(OT)은 산업 장비, 공정, 인프라를 모니터링하고 제어하는 데 사용되는 물리적 하드웨어와 소프트웨어를 말합니다. 이는 우리가 자동화 엔지니어로서 매일 작업하는 항목들입니다.

이 글에서는 OT 사이버보안의 위험 요소를 심층적으로 살펴보고 이러한 위험을 줄이는 방법을 알아보겠습니다.

에너지 플랜트, 댐, 풍력 발전소와 같은 중요 인프라뿐만 아니라 중요 제조 플랜트도 시스템이 직면한 다양한 위협을 인식해야 합니다. 예를 들어, 위협은 고의로 네트워크에 바이러스를 감염시키는 불만 품은 직원에게서 올 수 있습니다.

위협은 인터넷과 같은 외부 소스에서도 올 수 있습니다. 이러한 각 위협 유형은 플랜트의 OT 인프라에 심각한 피해를 줄 수 있습니다.

시스템이 어떤 위험을 방지해야 할까요? 단순히 남들이 하는 것을 따라 하거나 무작위로 사이버보안 하드웨어와 소프트웨어를 사용하는 것만으로는 안전을 보장할 수 없습니다.

체계적인 사이버보안 접근 방식은 위험을 제거하고 시스템을 더 안전한 환경으로 만드는 데 필수적인 단계입니다.

OT 사이버보안 위험 평가의 기초

OT 위험 평가는 위협과 취약점을 식별, 평가, 우선순위화하는 체계적인 프로세스로 정의됩니다. IT 환경과 다른 OT 환경만의 몇 가지 고유한 특성이 있습니다.

이 중에는 레거시 시스템의 만연, 24/7 가용성 요구 사항, 제조 공정을 구성하는 기계, 액추에이터, 센서와의 물리적 통합이 있습니다.

위험 평가는 운영, 엔지니어링, IT, 관리 인력을 포함한 모든 이해관계자가 참여해야 합니다. 앞서 언급했듯이 이 위험 평가는 성공을 위해 체계적인 접근 방식을 따라야 합니다.

그러면 이 평가에 포함된 5단계를 살펴보겠습니다.

자산 식별 및 인벤토리

보험 회사가 집을 보장해달라는 요청을 받으면 집 안에 무엇이 있는지 알고 싶어 합니다. 그래야 무엇을 잃을 수 있는지, 즉 무엇이 손실이나 손상의 위험에 있는지 알 수 있기 때문입니다. 사이버보안의 위험 평가도 마찬가지입니다.

모든 OT 자산의 인벤토리화와 매핑이 첫 번째 중요한 단계입니다. PLC, SCADA 시스템, HMI 스테이션 등의 하드웨어를 포함해 모든 것을 인벤토리에 나열해야 합니다. 이 인벤토리에는 OT 시스템에 설치된 모든 소프트웨어와 펌웨어도 포함되어야 합니다.

이 자산들은 물리적이지 않아 보일 수 있지만, 위험에 노출되어 있으며 해커가 가장 쉽게 감염시킬 수 있는 자산입니다.

스위치와 케이블 같은 네트워크 장비도 포함해야 합니다. 그리고 벤더 접근을 위해 제공된 데이터 포트나 원격 유지보수용 연결 같은 외부 연결도 잊지 말아야 합니다.

완전한 인벤토리는 위험 평가 팀이 소위 "위협 환경"을 완전히 이해하는 데 필수적입니다.

벤더 접근용 데이터 포트 같은 누락된 항목은 악의적이지 않더라도 시스템 감염의 쉬운 경로가 될 수 있습니다.

위협 및 취약점 식별

모든 자산을 나열한 후에는 어떤 항목이 공격받을 수 있는지 알게 됩니다. 다음으로 우리 시스템이 직면할 수 있는 위협 유형을 식별해야 합니다.

이러한 위협은 계정에서 자금을 횡령하거나 사용자 인증 요구 사항을 우회하도록 네트워크 스위치를 의도치 않게 잘못 구성하는 등 내부자의 내부 위협일 수 있습니다.

위협은 인터넷 소스, 멀웨어, 해커, 가치 있는 자산(배합법, 레시피 등)을 노리는 국가 행위자 등 외부에서 올 수도 있습니다.

종종 잊히는 것은 레거시 OT 하드웨어 및 소프트웨어에서 발생할 수 있는 일반적인 취약점들입니다. 예를 들어 패치 부족, 약한 인증, 안전하지 않은 프로토콜 등이 있습니다.

영향 분석

이제 위협 환경을 알았으니 공격으로 인해 시스템이 침해되었을 때의 결과를 평가해야 합니다.

이러한 결과는 인원이나 환경에 대한 안전 위험, 생산 중단, 운영 중단, 재정적 손실, 평판 손상, 규제 및 컴플라이언스 위반 등 다양한 형태를 취할 수 있습니다.

시설이 직면할 수 있는 결과는 고유한 상황에 따라 달라지며 위에 나열된 것 외에도 많은 다른 위험이 포함될 수 있습니다.

가능성 평가

다음 단계가 가장 어렵습니다. 이러한 결과가 실제로 발생할 가능성을 판단하는 것입니다.

시스템 취약점 악용 확률을 결정하려면 인터넷 위협에 대한 노출 예측, 알려진 익스플로잇과 적대적 역량 식별, 그리고 중요하게는 자신과 유사한 시스템에 영향을 준 사고 이력을 분석해야 합니다.

예를 들어 Stuxnet은 특정 공급업체의 하드웨어를 공격한 만연하고 치명적인 바이러스였습니다. Colonial Pipeline 공격은 운영 중단과 동부 해안 전역의 심각한 연료 부족을 초래한 랜섬웨어 사이버 공격이었습니다. 여러분의 작업에 무슨 일이 일어날 수 있고, 그 가능성이 얼마나 될까요?

위험 매트릭스

마지막 단계는 각 위험 요소에 대한 위험 매트릭스를 구성하는 것입니다. 위험 매트릭스는 일반적으로 사이버보안 침해의 영향을 해당 침해가 발생할 가능성에 대비해 나열합니다. 여기 영향과 가능성 임계값을 낮음, 보통, 높음으로 설정한 예시 매트릭스가 있습니다.

위험 평가 팀은 매트릭스의 각 칸에 위험을 가장 잘 배분할 책임이 있습니다. 팀은 높은 발생 확률과 보통 영향이 높은 위험으로 분류될 수도 있다고 판단할 수 있습니다. 순위는 전적으로 고유한 상황에 따라 달라집니다.

왜 이 매트릭스를 만들까요? 즉각적인 완화가 필요한 위험(모든 높은 위험 항목)과 연기할 수 있는 위험(낮은 위험 항목)을 쉽게 식별할 수 있게 해줍니다.

기업은 사이버보안 예산이 한정되어 있으므로 가장 높은 위험 문제부터 해결해야 합니다.

OT 위험 평가의 과제와 고려 사항

이 과정은 보통 쉽지 않습니다. 레거시 시스템 패치의 모든 제약 조건을 이해하는 것이 어려울 수 있습니다. 일부 위협의 본질에 대한 가시성이 제한적일 수 있습니다.

일부 위협의 범위를 평가하는 데 필요한 모든 데이터를 얻는 데 조직적 장벽이 있을 수 있습니다. 알려지지 않은 공급망 및 서드파티 위험이 있을 수 있습니다.

효과적인 OT 위험 평가를 위한 모범 사례

이러한 제약 사항을 극복하고 효과적인 위험 프로필을 개발하기 위한 모범 사례가 있습니다. 가장 중요한 것은 모든 이해관계자가 평가에 참여하고 협력하는 것입니다.

이 과정을 돕기 위해 NIST CSF 및 IEC 62443과 같은 위험 평가 과정을 안내하는 많은 표준과 프레임워크가 있습니다.

효과적인 사이버보안 위험 평가 프로그램의 핵심은 현재 데이터를 사용해 평가를 주기적으로 업데이트하는 것입니다.

결론

OT 사이버보안 위험 평가는 내부 및 외부 위협에 대한 효과적인 방어를 구축하는 기초입니다. 모든 이해관계자를 프로세스에 참여시킴으로써 위협과 발생 가능성에 대한 가장 완전한 그림을 결정하고 위험 매트릭스에 표시할 수 있습니다.

위험 매트릭스에서 사이버보안 방어 수단 채택에 대한 적절한 결정을 내릴 수 있습니다. OT 위험이 진화함에 따라 시설은 선제적으로 지속적인 위험 평가를 OT 사이버보안 프로그램의 기초로 수행하는 것이 중요합니다.

‍