“OT 보안 솔루션의 부족한 가시성, IT 보안 기술로 보완”
[데이터넷] 인더스트리 4.0 시대에 접어들면서 OT 조직도 디지털 트랜스포메이션을 가속화하고 있다. 클라우드와 AI를 이용해 빠르게 발전하고 있는데, OT 조직은 보안은 우선순위에 두지 않고 있다. <네트워크타임즈>와 <데이터넷>의 ‘OT & ICS 보안 인사이트 2023’에서 OT가 직면한 위협을 분석하고 현실에 적용 가능한 보안 전략이 다양하게 소개됐다. ‘OT & ICS 보안 인사이트 2023’의 주요 내용을 소개한다. <편집자>
OT 보안 솔루션만으로 OT 환경 보호 못 해
OT 보안 솔루션의 경쟁력을 가르는 것 중 하나가 얼마나 많은 OT 프로토콜을 지원하느냐이다. 그런데 OT 망 내에 설치된 IT 시스템은 OT 보안 솔루션이 인지하지 못한다. 수백가지 OT 프로토콜을 식별·분석할 수 있는 솔루션이 있다 해도, IT 시스템을 타깃으로 한 멀웨어의 활동은 식별하지 못한다.
왕정석 스텔라사이버 한국지사장은 “OT 보안 솔루션과 관제 시스템에서는 모든 시스템이 정상적으로 동작하는 것으로 보이지만, IT 위협 탐지 솔루션을 적용하면 수많은 악성코드와 무단 연결된 여러 자산이 식별되는 경우가 많다. 특히 OT 타깃 공격에는 오래 전부터 IT 공격에 사용해 온 기술을 사용하기 때문에 IT 보안 기술로도 OT 환경의 많은 사고를 탐지하고, 예방할 수 있다”고 주장했다.
왕정석 지사장은 ‘OT 보안 위협의 변화와 보안 분석 요구 사항’ 세션에서 OT가 직면한 위협으로 ▲비표준화된 SCADA 프로토콜 ▲망분리된 SCADA 네트워크 침투 ▲네트워크 공격 탐지 ▲위험하거나 의심스러운 파일 ▲비정상적인 통신 프로세스, 포트, 데이터 전송 ▲IT에서 OT로 확장하는 침해시도 등을 들면서 IT 보안도 OT 보안을 위해 사용되어야 한다는 점을 강조했다.
그러면서 왕 지사장은 “OT 조직 보안 현황을 점검해보면, 거의 대부분의 OT 네트워크가 외부 인터넷과 연결돼 있다. 직원들이 무단으로 네트워크 공유기를 설치해 인터넷 서핑을 하고 OTT 동영상을 시청하고 있었다. 그러면서도 OT망은 안전하다고 생각하고 있었다”며 “이러한 진입지점을 이용해 공격자가 들어와 악성코드를 설치하고, 취약점을 스캐닝하며, 공격 서버와 통신한다. IT 침입을 위해 사용하는 공격방식은 OT 보안 솔루션이 인지하지 못하기 때문에 IT 보안 기술을 이용한 OT 보안도 고려해야 한다”고 밝혔다.
OT 지원 기능 강화한 XDR로 OT 보호
왕정석 지사장은 IT 보안 기술 중 XDR을 이용하는 방법에 대해 상세히 설명했다. XDR은 OT 망의데이터를 수집해 IT·보안 솔루션과 상관관계를 통합·분석할 수 있다. 디코더 없이 보안 센서만으로 OT 트래픽을 분석할 수 있으며, 위협 인텔리전스와 위협 헌팅을 사용해 진행중인 공격을 식별하며, 머신러닝을 이용한 상관관계 분석으로 지능형 회피 공격까지 찾아낼 수 있다. 사전에 정의한 플레이북을 이용해 위협에 수동·자동으로 대응할 수 있다.
스텔라사이버의 오픈XDR은 산업용 프로토콜을 포함한 4000여개의 프로토콜을 실시간 분석하며, 멀티 테넌트 기능으로 지사, 계열사, 사업장별 구분해 분석할 수 있다. AI를 이용해 방대한 데이터를 실시간 분석해 위협을 찾아내며, 에이전트 없는 DPI, IDS/멀웨어 탐지, DMZ 로그 수집, NDR, 자산 식별, 취약점관리, 레벨3 기기 로그 수집 등의 기능을 제공한다. 사이버 시큐리티 킬체인으로 각 공격 단계 위협을 파악, 대응할 수 있게 해 사이버 회복탄력성을 높인다. 마이터 어택 매핑으로 탐지된 위협에 적절한 방어 전략을 확보할 수 있게 한다.
실제로 OT 망에서 일어난 위협의 탐지 사례를 소개하면, 비지도 학습을 통해 OT 제어 PC에서 불필요한 트래픽을 탐지, 차단했다. 운영설비와 PLC의 취약점을 찾아 제거할 수 있게 했으며, OT 제어 PC에서 악성 도메인 접속을 확인해 차단했다.
왕 지사장은 “OT 현장을 점검하면 상당히 많은 내부자 보안위반 사례가 발생한다. 직원들은 보안에 대한인식이 없거나 잘 몰라서 무단으로 외부 인터넷에 연결해 영화를 보고 게임을 즐긴다. 이러한 위반은 OT 전용 모니터링 기술만으로는 식별할 수 없으며, IT와 OT 전반을 가시화하고 위협에 대응할 수 있는 시스템 구축이 필요하다”고 강조했다.
