OT와 IT 보안의 차이

IT 보안 관행을 OT에 그대로 적용하면 도움이 되기보다 해가 되는 경우가 많습니다. 두 영역은 서로 다른 목표를 최적화하고, 서로 다른 기술을 사용하며, 서로 다른 방식으로 장애가 발생합니다. OT 영역에 진입하는 실무자는 몇 가지 반사적인 대응 방식을 버려야 합니다.

이 과정에서는 OT 보안을 독자적인 분야로 만드는 우선순위, 제약 조건, 위협을 IT 보안과 비교합니다.

IT는 CIA 3요소인 기밀성, 무결성, 가용성을 우선합니다. OT에서는 그 우선순위가 사실상 뒤집힙니다.

• 가용성 우선 — 공정은 계속 가동되어야 하며, 가동 중단은 위험하거나 막대한 비용을 초래할 수 있음
• 무결성 두 번째 — 측정값과 명령을 신뢰할 수 있어야 함
• 기밀성 마지막 — 센서 값은 거의 비밀이 아님

무엇보다 중요한 것은 IT가 공유하지 않는 우려인 안전입니다. 인간의 생명과 환경을 보호하는 일이 모든 것보다 우선합니다.

OT에서는 공정이 예기치 않게 작동하게 만들 수 있는 보안 통제 조치가 위협보다 더 나쁠 수 있습니다. 잘못된 순간에 터빈을 정지시키거나 밸브를 닫는 자동 동작은 사람을 다치게 할 수 있습니다.

• 보안 변경 사항이 안전 기능을 절대 훼손해서는 안 됨
• 보안 담당자뿐 아니라 엔지니어도 변경 사항을 승인해야 함
• SIS는 독립적이고 신뢰할 수 있는 상태로 유지되어야 함

이 때문에 자동 격리와 같은 공격적인 IT 전술은 OT에 신중하게 맞춰 적용해야 합니다.

IT에서는 즉시 패치를 적용하는 것이 절대 원칙입니다. OT에서는 여러 제약이 따릅니다.

• 패치를 적용하려면 몇 달에 한 번 예정된 플랜트 가동 중단이 필요할 수 있음
• 공급업체 인증으로 승인되지 않은 패치가 금지될 수 있음
• 잘못된 패치 하나로 생산이 중단되거나 안전 입증 체계가 무너질 수 있음

패치 적용이 느리기 때문에 OT에서는 빠르게 업데이트할 수 없는 시스템을 보호하기 위해 보완 통제에 더 크게 의존합니다. 여기에는 네트워크 분할, 모니터링, 접근 제어가 포함됩니다.

OT 장비는 수십 년 동안 작동합니다. 장비를 교체하려면 물리적 생산 라인을 다시 구축해야 하기 때문에, 공급업체 지원이 오래전에 끝난 제어기와 운영 체제가 여전히 생산 환경에서 사용되는 경우가 흔합니다.

• 사용할 수 있는 패치가 없는 지원 종료 OS 버전
• 최신 보안 에이전트를 실행할 수 없는 하드웨어
• 네트워크가 격리되어 있다고 가정했던 시대에 설계된 프로토콜

존재하기를 바라는 것이 아니라 실제로 존재하는 것을 보호해야 합니다.

많은 산업용 프로토콜은 신뢰할 수 있고 물리적으로 격리된 네트워크를 위해 만들어졌기 때문에 기본적으로 인증이나 암호화가 없습니다. 이러한 네트워크에서는 제어기에 연결할 수 있는 모든 장치가 제어기에 명령을 내릴 수 있습니다.

• 명령을 보낸 사람의 신원을 증명하지 않아도 명령이 수락됨
• 트래픽이 평문인 경우가 많아 쉽게 위조할 수 있음
• 레거시 버전에서는 수정 가능한 버그가 아니라 설계상의 가정임

보호는 누가 네트워크에 연결할 수 있는지를 통제하는 데서 비롯되며, 이 내용은 뒤에서 다룹니다.

IT에서는 취약점 검사가 일상적입니다. OT에서는 공격적인 스캔이 취약한 장치를 충돌시킬 수 있습니다. 일부 PLC는 예상하지 못한 트래픽을 받으면 오류가 발생하거나 중지되며, 운영 중인 공정에서는 이것이 위험할 수 있습니다.

• 능동형 스캔보다 수동 네트워크 모니터링을 우선함
• 능동 도구는 먼저 실험실이나 유지보수 기간에 시험함
• 생산 네트워크에 접근하기 전에 운영팀과 조율함

OT에서 지켜야 할 원칙은 평가가 사고로 이어져서는 안 된다는 것입니다.

제어 루프는 엄격한 타이밍에 따라 작동합니다. 지연 시간이나 지터가 추가되면 공정이 불안정해질 수 있습니다.

• 인라인 보안 장치가 유해한 지연을 유발해서는 안 됨
• 무거운 에이전트가 실시간 작업에서 CPU를 과도하게 차지할 수 있음
• 네트워크 변경으로 타이밍이 엄격한 통신이 중단될 수 있음

보안은 공정에 필요한 결정론적 특성의 범위 안에 맞아야 하며, 이 때문에 IT에서는 쉽게 적용할 수 있는 해결책을 사용하지 못하는 경우가 많습니다.

가장 본질적인 차이는 OT 사고가 물리적이고 현실적인 영향을 미친다는 점입니다. 침해된 IT 서버는 데이터를 유출하지만, 침해된 OT 시스템은 탱크를 넘치게 하고, 터빈을 손상시키며, 물을 오염시키거나, 작업자를 위험에 빠뜨릴 수 있습니다.

이로 인해 위험의 수준이 높아지고 위험 평가 방식도 달라집니다. 최악의 결과는 재정적 손실이나 평판 손상에 그치지 않고 인명 손실로 이어질 수 있습니다. OT의 위협 모델링에서는 데이터뿐 아니라 물리적 영향과 안전 영향도 고려해야 합니다.

OT에는 고유한 위협 양상이 존재합니다.

• 핵심 기반 시설을 전략적으로 마비시키려는 국가 행위자
• 데이터 절도가 아니라 물리적 마비를 목표로 하는 공격자
• 표적이 아니었던 IT 랜섬웨어도 OT로 번져 운영을 중단시킬 수 있음

결과가 심각하고 공격자에게 충분한 자원이 있을 수 있으므로, OT 방어는 예방과 함께 복원력과 탐지를 강조합니다.

목표는 IT 보안을 포기하는 것이 아니라 조정하는 것입니다.

• 침입형 스캔과 신속한 패치 적용보다 수동 모니터링과 네트워크 분할을 우선함
• 기밀성보다 안전과 가용성을 우선함
• 모든 보안 결정에 공정 엔지니어를 참여시킴
• 패치할 수 없는 시스템에는 보완 통제를 사용함

이러한 원칙이 이어지는 프로토콜 및 아키텍처 학습의 기반이 됩니다.

실제 의사 결정에 뒤집힌 우선순위를 적용해 보십시오.

OT 보안이 독자적인 분야인 이유를 배웠습니다.

• 우선순위가 뒤집혀 안전과 가용성이 먼저이고 기밀성이 마지막임
• 패치 적용에는 제약이 있으므로 보완 통제에 의존해야 함
• 레거시 장비와 설계부터 안전하지 않은 프로토콜은 현실의 조건임
• 능동형 스캔과 침입형 에이전트가 취약한 실시간 장치에 피해를 줄 수 있음
• 사고에는 물리적 결과가 따르므로 모든 결정에 공정 엔지니어를 참여시켜야 함

다음 주제: 구체적인 프로토콜과 그 취약점입니다.