디지털 트랜스포메이션이 발전소를 사이버 공격에 노출시키다: 알아야 할 것들

물리적 공정 모니터링 및 제어를 위한 운영 기술(OT)의 디지털 트랜스포메이션은 새로운 사각지대를 만들고 기존 사각지대를 확대해, 산업 제어 시스템(ICS)을 국가 단위 공격에 취약하게 만들었습니다.

우리는 이미 군사 무기로 인구 밀집 지역을 겨냥하는 것보다 발전소 침투를 우선하는 테러 공격을 목격했습니다. 2015년 12월 우크라이나 서부에서 발생한 전력망 공격으로 23만 명 이상이 최대 6시간 동안 암흑 속에 남겨졌습니다. 우크라이나는 러시아를 배후로 지목했습니다. 12개월 후, 수도 키예프 대부분에 영향을 주는 전력 시스템 공격이 다시 발생했습니다. 올해 6월에는 푸에르토리코의 전력 배급업체가 서비스 거부 사이버 공격을 받아 수십만 가구가 정전된 후 화재가 변전소를 휩쓸었습니다.

국가 단위 공격이 뉴욕 같은 대도시에서 수주간 정전을 일으키려 할 수 있다는 생각은 터무니없지 않습니다. 사실, 전문가들은 그런 수준의 일이 발생할 가능성이 있다고 생각합니다.

지멘스 후원으로 폰몬 연구소(Ponemon Institute)가 실시한 설문조사에서 OT 보안 전문가의 56%가 지난 12개월 동안 OT 환경에서 기밀 정보 유출이나 정전을 수반하는 공격을 최소 한 번 경험했다고 보고했습니다.

이러한 유형의 공격이 어떻게 이토록 빈번해졌을까요? 그리고 더 안전한 OT 환경을 조성하기 위해 무엇이 필요할까요?

제4차 산업혁명

유틸리티 기업들은 효율성과 생산성 향상을 위해 현대화하고 있습니다. 이러한 목표 달성은 이전에 사내에서 수동으로 수행되던 많은 프로세스를 디지털화하고 자동화하는 것을 의미합니다. 이 전환은 너무나 빠르게 일어나 보안이 뒷전으로 밀려났습니다.

산업 프로세스의 빠른 디지털 대개조, 즉 제4차 산업혁명으로 더 많은 시스템과 프로세스가 온라인으로 연결되고 있습니다. 이는 본질적으로 위협 행위자의 잠재적 진입점을 더 많이 만듭니다. 수많은 산업이 동시에 이를 수행함에 따라 더 치명적인 공격의 기회가 커지고 있습니다.

과거 ICS 구성 요소를 운영하는 데이터 센터와 메인프레임은 '에어 갭(air-gapped)' 상태였습니다. 즉, IT 시스템이 로컬 네트워크에 있었지만 인터넷에는 연결되지 않았습니다. 많은 시설이 이로 인해 시스템이 공격으로부터 안전하다고 잘못 생각했지만, 여전히 '배시 버니(bash bunny)' 공격 같은 온프레미스 공격에 취약했습니다. 이는 USB 장치를 통해 바이러스로 시스템을 감염시킬 수 있습니다.

이란 부셰르 원자력 발전소가 스턱스넷(Stuxnet) 웜으로 공격당했을 때가 바로 이 경우입니다. 플래시 드라이브를 통해 네트워크에 유입된 스턱스넷은 우라늄 가스 농축에 사용되는 원심분리기 등 네트워크상의 다른 자산으로 퍼져 나갔습니다.

더 많은 유틸리티와 OT 시설이 시스템을 온라인으로 연결하기 위해 경쟁하면서, 보안에 적절한 자원을 프로세스 단계 중 하나로 할당하지 않았습니다. 더 많은 레거시 장비가 연결되고 사물인터넷(IoT) 장치가 추가될수록 잠재적 위협 행위자의 공격 표면은 커집니다.

진화하는 위협 행위자

허술한 보안 문제를 확대하는 것은 위협 행위자가 조직을 악용하는 점점 더 창의적이고 정교한 방식입니다. 사실 그들이 항상 네트워크에 침투하는 것은 아닙니다.

폰몬 연구소 연구에 따르면, 내부자 위협이 OT 공격의 대다수를 차지합니다. 가장 주목할 만한 사례 중 하나는 1999년 당시 호주 마루치 샤이어(Maroochy)에서 발생했습니다. 하수관 관리하던 불만을 품은 직원이 사직했고, 직후 제어 시스템 소프트웨어 불법 복제본을 통해 시스템을 악용했습니다.

내부자 위협이 항상 악의적인 직원은 아닙니다. 부주의한 사용자는 피싱 공격에 당하거나, 약한 비밀번호를 사용하거나, 해커에게 접근권을 주는 링크를 클릭합니다. 또 다른 일반적인 경로는 네트워크에 문을 열어 악용으로 이어지는 서드파티나 계약업체입니다. 카세야(Kaseya) 공급망 공격에서 랜섬웨어 갱단 레빌(REvil)은 소프트웨어 업데이트를 통해 수백 개 기업에 접근했습니다. 서드파티는 일반적으로 안전하지 않으며, 기업은 그들이 안전하다고 가정해서는 안 됩니다.

가트너(Gartner)는 OT 보안에 대해 강경한 입장을 보이며, 산업 조직이 적절한 통제 프레임워크를 정의하는 데 어려움을 겪고 있다고 경고했습니다. 가트너는 또한 2025년까지 공격자들이 "OT 환경을 무기화해 인간을 성공적으로 해치거나 죽일 것"이라고 경고합니다.

너무 많은 기업이 지난 수십 년간 자신들의 프로세스에 깊이 뿌리내려, 헤드라인의 해킹, 침해, 공격을 자신들에 대한 위협으로 보지 않습니다. 그들은 자신의 생각에 '고장 나지 않은 것'을 고치려 하지 않습니다. 사실, 그것이 고장 나기 전까지는 고장 날 가능성조차 보지 못합니다.

OT 보안을 위한 새로운 접근법

기업은 네트워크에 대한 적절한 가시성과 개별 자산 수준까지의 포괄적인 이해가 필요합니다. 이 자산과 사용자가 서로 및 전체 네트워크와 어떻게 연결되는지 포함해서 말입니다. 종종 마침내 네트워크 세부 사항을 파고드는 기업들은 자신들이 몰랐던 '유령 자산'을 발견합니다. 이것들은 악용되기 전에 잡아내야 할 보안 문제입니다.

기업이 스스로를 더 잘 보호하기 위해 취할 수 있는 첫 번째 조치는 포괄적인 보안 교육을 통해 직원들에게 적절한 보안 위생을 교육하는 것입니다. 너무 자주 보안에 빛을 비추는 기업들이 빠른 슬라이드 몇 장으로 어설프게 교육하고, 직원들에게 방금 배운 것의 중요성에 대한 후속 조치를 취하지 않습니다.

최우선 순위는 항상 OT 기계의 효과성과 기능성이지만, 공격받고 있다면 무슨 소용이 있겠습니까? 직원들에게 무엇을 봐야 할지, 공격이 얼마나 흔해졌는지 교육하는 것이 큰 도움이 될 수 있습니다.

2021년 3월, 플로리다주 올즈마의 수자원 시스템이 해킹당해 위협 행위자가 수산화나트륨 수치를 위험한 수준으로 높였을 때, 한 관찰력 있는 엔지니어가 상황을 파악하고 변화에 주목해 단순한 오작동이 아닌 공격임을 신속히 인식해 재난을 막았습니다.

10월에는 이란 전역의 주유소가 강제 폐쇄됐습니다. 이란은 사이버 공격 탓으로 돌렸고, 이란인들에게 연료 가격을 보조하는 정부 발행 전자 카드가 표적이 됐다고 밝혔습니다.

이러한 공격으로부터 보호하기 위해 기업은 네트워크에 대한 완전한 가시성이 필요합니다. 연결되어 있고 취약한 모든 자산을 볼 수 있게 해줍니다. 하지만 그것은 첫 단계일 뿐입니다. ICS 기계에 대한 알림을 보안 조치뿐만 아니라 생산성 위험 신호에도 제공하는 포괄적인 OT 보안 도구가 있습니다. 적절한 보안 통제는 일상 운영에 영향을 주거나 네트워크에 상당한 변경을 가하지 않으면서 OT 네트워크에 대한 가시성과 대응 역량을 제공합니다.

수동 기술은 민감한 OT 네트워크에 어떤 방식으로도 영향을 주지 않고 활동을 모니터링할 수 있는 반면, 파괴적인 '인라인(in-line)' 플랫폼과는 다릅니다. 올바른 수동 플랫폼은 높은 처리량을 수용하고 최소한의 오탐율을 보장할 수 있습니다.

새로운 도구 활용이 입증된 프로세스를 바꾸기 꺼리는 경력 OT 임원들에게는 벅찰 수 있지만, 회사와 소비자 모두에 광범위한 피해를 입힐 잠재적 공격에 대한 두려움 속에 사는 것보다 준비하는 것이 낫습니다.

엘라드 벤메이르(Elad Ben-Meir)는 스카다펜스(SCADAfence)의 CEO입니다.