안녕하세요, 앤앤에스피입니다.
가을을 재촉하는 비가 내리는 8월의 마지막 날입니다.
8월 말 영국에서 발전소가 나흘간 멈췄습니다. 미국에선 상하수도 시설 30여 곳이 한꺼번에 사이버 공격을 받았습니다.
미국-이란 전쟁 등 지정학적 불안감은 사이버 세상에서도 계속되고 있습니다. 국가 지원 해커는 발전소·상하수도·교통·공장처럼 사회를 움직이는 CPS(Cyber-Physical Systems)를 노리고 있습니다.
CPS는 컴퓨터와 물리적 설비가 연결된 시스템입니다. 센서가 수집한 정보에 따라 PLC는 펌프와 밸브를 작동시키고, 발전설비와 생산라인을 움직입니다.
영국과 미국에서 연이어 발생한 이번 사건은 우리에게 한 가지 질문을 던집니다.
한국의 발전소와 수도시설, 공장도 이 공격에 안전할까?
영국 발전소와 미국 수도시설이 멈췄다
영국 언론은 8월 22일 한 발전소가 나흘간 가동이 중단됐다고 보도했습니다. 피해 발전소의 명칭과 정확한 위치는 안보상 이유로 공개되지 않았습니다. 다행히 영국 전체 전력 공급까지 영향을 미치지 않은 것으로 알려졌습니다.
미국에서는 7월 26일부터 27일까지 미네소타주 지역 상하수도 시설 30여 곳이 동시다발적인 사이버 공격을 받았습니다. 최소 4개 지역이 피해 사실을 공개했습니다. 미국 FBI와 환경보호청은 7월 27일 이후 최소 7개 주의 상하수도 사업자가 관련 사건을 신고했다고 밝혔습니다.
일부 피해 시설에서는 중앙 모니터링 시스템과 현장 설비의 통신이 끊겼습니다. 직원들은 물탱크와 펌프, 처리시설의 상태를 원격으로 확인하거나 제어할 수 없었습니다.
다행히 물이 실제로 오염됐다는 공식 발표는 없습니다. 그러나 운영자는 관리하던 설비를 볼 수도, 원격으로 제어할 수도 없었습니다.
PLC 비밀번호과 주소 등 설정 변경
미국 FBI와 환경보호청의 조사에 따르면 공격자는 인터넷에 노출된 PLC에 원격으로 접속했습니다.
PLC는 센서 정보를 받아 펌프를 가동하고, 밸브를 열고 닫으며, 생산설비를 움직이는 산업용 제어장치입니다. 공장과 발전소, 수도시설에서 실제 설비에 명령을 내리는 핵심 장비입니다.
해커는 록크웰 오토메이션의 MicroLogix 1100·1400 시리즈 PLC를 공격했습니다. 공격자는 PLC에 접속한 후 IP 주소와 비밀번호 등 장비 설정을 변경했습니다. 이 때문에 시설 운영자는 설비를 원격으로 확인하거나 제어할 수 없었습니다. 최소 한 곳에서는 PLC 프로젝트 파일이 변경된 정황도 발견됐습니다.
최신 악성코드나 알려지지 않은 취약점이 반드시 필요했던 것은 아닙니다. 공격자는 외부로 열린 장비, 취약한 비밀번호, 제대로 통제되지 않은 원격접속 경로를 악용했습니다.
여러 제조사 PLC로 공격 대상 확대
이번 위협은 특정 PLC 제조사만의 문제가 아닙니다.
미국 CISA·FBI·NSA 등은 7월 22일 '이란 연계 공격자들에 의한 PLC 공격' 공동 보안 권고를 내놨습니다. 공격 대상에는 산업현장에서 널리 쓰이는 여러 제조사 PLC가 포함됐습니다.
- 록크웰 오토메이션(Rockwell Automation)
- 슈나이더 일렉트릭(Schneider Electric)
- 지멘스(Siemens)
미국 정부는 8월 19일, 지멘스 S7 시리즈 PLC 위협 경도도 발령했습니다. 지멘스 S7은 제조, 발전, 수처리 등 세계 여러 산업현장에서 광범위하게 사용됩니다.
공격자는 특정 국가나 제조사 장비만 노리지 않습니다. 인터넷에 노출됐고, 보안 설정이 부족하며, 관리자가 내부 움직임을 제대로 확인하지 못하는 현장을 찾습니다.
이런 조건은 어느 나라에나 존재할 수 있습니다.
한국은 안전한가?
한국은 발전·에너지, 반도체, 자동차, 철강, 화학, 상하수도 등 산업시설의 디지털화와 자동화 수준이 높습니다. 스마트공장과 원격 유지보수가 확대되면서 제어망과 외부 시스템이 연결되는 접점도 늘고 있습니다. 과거 제어망은 외부와 완전히 분리된 폐쇄망으로 운영되는 경우가 많았습니다. 하지만, 지금은 다양한 이유로 연결이 만들어집니다.
대부분 업무 효율과 운영 편의를 위해 필요한 연결입니다.
문제는 연결이 있다는 사실보다 그 연결을 정확히 파악하고 통제하고 있는가입니다.
우리 현장은 다음 사항을 알고 있어야 합니다.
1️⃣ 제어망에 연결된 PLC를 모두 알고 있는가
2️⃣ 외부에 노출된 장비와 접속 경로가 있는가
3️⃣ 누가 언제 PLC에 접속했는가
4️⃣ 허용되지 않은 장비가 연결되지는 않았는가
5️⃣ 어떤 데이터가 제어망 밖으로 나가고 있는가
6️⃣ PLC 설정이나 제어 로직이 변경되면 알 수 있는가
7️⃣ 평소와 다른 통신이 발생했을 때 즉시 발견할 수 있는가
이 질문에 명확히 답하기 어렵다면 “망이 분리돼 있다”는 사실만으로 안전하다고 단정하기 어렵습니다.
제어망을 지키는 ‘문’과 ‘눈’이 필요
영국 발전소와 미국 수도시설 사건은 제어망 보안의 기본을 제시합니다.
첫 번째는 문을 통제하는 것입니다.
제어망과 업무망, 외부 시스템 사이에 어떤 연결이 있는지 파악하고, 허용된 서비스와 데이터만 안전하게 이동하도록 통제해야 합니다. 사용자가 알지 못하는 우회 경로나 비인가 연결이 생기지 않도록 관리해야 합니다.
두 번째는 내부를 살펴보는 것입니다.
공격자가 정상 계정이나 허용된 경로를 이용해 안으로 들어올 수도 있습니다. 따라서 제어망 안에서 어떤 장비가 연결되고, 무슨 명령과 데이터가 오가는지 지속해서 확인해야 합니다.
불필요한 연결은 닫고,필요한 연결은 안전하게 통제하며,제어망 안의 움직임은 지속해서 살펴보세요.
앤앤에스피는 제어망 경계의 안전한 연결부터 내부 자산 식별과 이상징후 탐지까지 지원합니다.
앤넷CDS로 제어망의 연결을 통제하고, 앤넷NDR로 제어망 내부의 움직임을 확인해 보세요.
의견을 남겨주세요