OT 사이버 보안의 위험 요소 평가:자동화 엔지니어를 위한 가이드

흔히 “인터넷은 나쁜 동네다”라고 말합니다. 그리고 그것이 사실인 것처럼 보이지만 자동화 엔지니어가 알아야 할 자동화 및 제어에 사용되는 컴퓨터 시스템에 영향을 미칠 수 있는 다른 많은 위험과 위협이 있습니다.

운영 기술(OT)은 산업 장비, 프로세스 및 인프라를 모니터링하고 제어하는 데 사용되는 물리적 하드웨어 및 소프트웨어를 의미합니다. 이는 자동화 엔지니어로서 우리가 매일 작업하는 항목입니다.

이 기사에서는 OT 사이버 보안의 위험 요소와 이러한 위험을 줄일 수 있는 방법을 자세히 살펴보겠습니다.

에너지 플랜트, 댐, 풍력 발전 단지와 같은 중요 인프라와 중요 제조 공장은 시스템이 직면하고 있는 많은 위협을 인식해야 합니다. 예를 들어, 고의로 네트워크를 바이러스로 감염시키는 불만을 품은 직원으로부터 위협이 발생할 수 있습니다.

위협은 인터넷과 같은 외부 소스에서 발생할 수 있습니다. 이러한 각 위협 유형은 공장의 OT 인프라에 심각한 피해를 줄 수 있습니다.

귀하의 시스템은 어떤 위험으로부터 보호해야 합니까? 다른 사람들이 하는 일을 하거나 사이버 보안 하드웨어 및 소프트웨어를 무심코 사용하는 것만으로는 안전을 보장할 수 없습니다.

사이버 보안에 대한 체계적인 접근 방식은 위험을 제거하고 시스템을 보다 친근한 환경으로 만드는 데 필수적인 필수 단계입니다.

OT 사이버 보안 위험 평가의 기본 사항

OT 위험 평가는 위협과 취약성을 식별, 평가 및 우선순위를 지정하기 위한 체계적인 프로세스로 정의됩니다. IT 환경과 다른 OT 환경에는 고유한 몇 가지 특성이 있습니다.

그 중에는 레거시 시스템의 보급, 연중무휴 가용성 요구 사항, 제조 공정을 구성하는 기계, 액추에이터, 센서에 대한 물리적 통합 등이 있습니다.

위험 평가에는 운영, 엔지니어링, IT 및 관리 인력을 포함하여 영향을 받는 모든 이해관계자가 참여해야 합니다. 앞서 언급한 바와 같이 위험 평가가 성공하려면 체계적인 접근 방식을 따라야 합니다.

이제 이 평가와 관련된 5단계를 살펴보겠습니다.

자산 식별 및 인벤토리

보험 회사가 귀하의 주택 보험에 가입하도록 요청할 때, 그들은 집에 무엇이 있는지 알고 싶어합니다. 이를 통해 손실될 수 있는 것이 무엇인지, 즉 손실이나 손상 위험이 있는 것이 무엇인지 알고 싶어합니다. 사이버 보안의 위험 평가에서도 마찬가지입니다.

모든 OT 자산의 인벤토리를 작성하고 매핑하는 것이 첫 번째 중요한 단계입니다. PLC, SCADA 시스템, HMI 스테이션과 같은 하드웨어를 포함한 모든 것이 인벤토리에 나열되어야 합니다. 이 인벤토리에는 OT 시스템에 설치된 모든 소프트웨어 및 펌웨어가 포함되어야 합니다.

이러한 자산은 본질적으로 물리적인 것처럼 보이지 않을 수 있지만 위험에 처해 있으며 해커가 감염시키기 가장 쉬운 자산입니다.

스위치나 케이블 같은 네트워크 장비도 포함해야 합니다. 공급업체 액세스를 위해 제공되는 데이터 포트나 원격 유지 관리를 위한 연결과 같은 외부 연결도 잊지 마세요.

위험 평가 팀이 "위협 환경"을 완전히 이해하려면 완전한 목록이 중요합니다.

공급업체 액세스를 위해 제공되는 데이터 포트와 같은 누락된 항목은 악의적인 행위가 아니더라도 시스템 감염의 쉬운 경로가 될 수 있습니다.

위협 및 취약성 식별

모든 자산을 나열하면 공격을 받을 수 있는 모든 항목을 알 수 있습니다. 다음으로, 시스템이 유발할 수 있는 위협의 유형을 식별해야 합니다.

이러한 위협은 계정에서 자금을 빼내거나 사용자 인증 요구 사항을 우회할 수 있는 네트워크 스위치를 실수로 잘못 구성하는 등 내부자에 의한 내부 위협일 수 있습니다.

인터넷 소스, 맬웨어, 해커 또는 공식 및 조리법과 같은 귀중한 자산을 사용하는 국가 행위자로부터 외부 위협이 발생할 수도 있습니다.

패치 부족, 취약한 인증, 안전하지 않은 프로토콜 등 레거시 OT 하드웨어 및 소프트웨어에서 발생할 수 있는 일반적인 취약점은 종종 잊혀집니다.

영향 분석

이제 우리의 위협 환경을 알았으므로 공격으로 인해 실제로 시스템이 손상된 결과를 평가해야 합니다.

이러한 결과는 직원이나 환경에 대한 안전 위험, 생산 중단, 운영 중단, 금전적 손실, 평판 손상, 규제 및 규정 준수 위반 등 다양한 형태로 나타날 수 있습니다.

귀하의 시설이 직면할 수 있는 결과는 귀하의 고유한 상황에 따라 다르며 다른 많은 위험이 포함될 수 있습니다.

가능성 평가

다음 단계는 가장 어려운 단계입니다. 이러한 결과가 실제로 실현될 가능성을 판단하는 것입니다.

시스템 취약점의 악용 가능성을 판단하려면 인터넷 위협에 대한 노출을 예측하고, 알려진 악용 및 적의 기능을 식별하고, 가장 중요하게는 시스템과 같은 시스템에 영향을 준 사고 기록을 확인해야 합니다.

예를 들어, Stuxnet은 특정 공급업체의 하드웨어를 공격하는 만연하고 쇠약해지는 바이러스였습니다. Colonial Pipeline 공격은 동부 해안 전역에 걸쳐 운영을 중단하고 심각한 연료 부족을 초래한 랜섬웨어 사이버 공격이었습니다. 귀하의 작업에 어떤 일이 일어날 수 있으며, 그러한 일이 발생할 가능성은 얼마나 됩니까?

위험 매트릭스

마지막 단계는 각 위험 요소에 대한 위험 매트릭스를 구성하는 것입니다. 위험 매트릭스에는 일반적으로 위반이 발생할 가능성에 대한 사이버 보안 위반의 영향이 나열되어 있습니다. 다음은 영향 및 가능성에 대한 임계값을 낮음, 중간, 높음으로 사용하는 예시 매트릭스입니다.

위험 평가 팀은 매트릭스의 각 사각형에 대한 최상의 위험 할당을 결정하는 일을 담당합니다. 귀하의 팀에서는 중간 정도의 영향으로 발생 가능성이 높은 경우에도 높은 위험에 해당한다고 판단할 수 있습니다. 순위는 전적으로 귀하의 고유한 상황에 따라 달라집니다.

이 행렬을 생성하는 이유는 무엇입니까? 이를 통해 모든 고위험 항목과 같이 즉각적인 완화가 필요한 위험과 위험이 낮은 항목과 같이 연기할 수 있는 위험을 쉽게 식별할 수 있습니다.

기업은 사이버 보안에 대한 예산이 제한되어 있으므로 가장 위험한 문제를 먼저 해결해야 합니다.

OT 위험 평가의 과제 및 고려사항

이 과정은 일반적으로 쉬운 일이 아닙니다. 레거시 시스템 패치에 대한 모든 제약 조건을 이해하는 것과 같은 항목은 어려울 수 있습니다. 일부 위협의 성격에 대한 가시성은 제한적일 수 있습니다.

일부 위협의 범위를 평가하는 데 필요한 모든 데이터를 확보하는 데 조직의 장벽이 있을 수 있습니다. 알려지지 않은 공급망 및 제3자 위험이 있을 수 있습니다.

효과적인 OT 위험 평가를 위한 모범 사례

이러한 제약 중 일부를 극복하고 효과적인 위험 프로필을 개발하기 위한 모범 사례가 있습니다. 가장 중요한 것은 모든 이해관계자가 평가에 참여하고 협력하는 것입니다.

이 프로세스를 지원하기 위해 NIST CSF 및 IEC 62443과 같은 위험 평가 프로세스에서 팀을 안내하는 다양한 표준과 프레임워크가 있습니다.

효과적인 사이버 보안 위험 평가 프로그램의 핵심은 현재 데이터를 사용하여 정기적으로 평가를 업데이트하는 것입니다.

결론

OT 사이버 보안 위험 평가는 내부 및 외부 위협에 대한 효과적인 방어를 구축하기 위한 기반입니다. 프로세스에 모든 이해관계자를 참여시킴으로써 위협과 발생 가능성에 대한 가장 완전한 그림을 파악하고 위험 매트릭스에 표시할 수 있습니다.

위험 매트릭스를 통해 사이버 보안 방어를 채택하기 위한 적절한 결정을 내릴 수 있습니다. OT 위험이 진화함에 따라 시설에서는 OT 사이버 보안 프로그램의 기초로서 사전 예방적이고 지속적인 위험 평가를 수행하는 것이 중요합니다.

‍