핵심 인프라 보호

개별 OT 장치와 프로토콜은 스스로를 방어하지 못하는 경우가 많으므로, 중요 인프라의 보안은 주로 구조를 통해 구현됩니다. 즉, 네트워크를 어떻게 구역으로 나누는지, 무엇이 무엇과 통신하도록 허용되는지, 전체 환경을 어떻게 모니터링하는지가 중요합니다.

이 수업에서는 지금까지 학습한 구성 요소와 프로토콜을 중심으로, Purdue 모델을 기반으로 한 계층형 방어를 구축합니다.

Purdue 엔터프라이즈 참조 구조는 ICS를 계층별 레벨로 구성하여 기업 IT와 공정 제어를 분리합니다.

• 레벨 0 — 센서와 작동기
• 레벨 1 — PLC, RTU, 컨트롤러
• 레벨 2 — SCADA, HMI, 감독 제어
• 레벨 3 — 현장 운영, 이력 데이터 저장소, EWS
• 레벨 4~5 — 기업 IT 및 업무 네트워크

이 모델의 가치는 트래픽을 통제해야 하는 명확한 경계를 정의한다는 데 있습니다.

가장 중요한 경계는 IT(레벨 4~5)와 OT(레벨 0~3) 사이에 있습니다. 두 네트워크가 직접 통신하지 않도록 전용 산업용 DMZ(레벨 3.5)를 그 사이에 둡니다.

• 데이터 중개 서버와 복제된 이력 데이터 저장소를 DMZ에 둡니다
• OT 데이터는 통제된 중개 시스템을 거쳐 IT로 외부 방향으로 흐릅니다
• IT에서 발생한 침해(예: 랜섬웨어)가 컨트롤러에 도달할 수 있는 직접 경로를 없앱니다

이 한 가지 구조적 결정만으로도 가장 흔한 확산 경로를 차단할 수 있습니다.

IT와 OT를 분리하는 것에서 더 나아가, IEC 62443 표준이 권장하는 방식에 따라 OT 자체를 통제된 연결 통로로 이어지는 구역으로 나누십시오.

• 기능과 중요도에 따라 자산을 구역으로 그룹화합니다
• 구역 사이의 연결 통로에는 필요한 트래픽만 허용합니다
• 침입이 전체 공장으로 확산되지 않고 한 구역에 머물도록 합니다

한 셀이나 생산 라인이 침해되어도 다른 셀이나 라인에 도달할 수 없어야 합니다.

표준 방화벽은 IP와 포트를 기준으로 필터링하지만, OT에는 산업 프로토콜을 이해하고 의도된 동작을 강제할 수 있는 방화벽이 필요합니다.

안전 계장 시스템은 가장 강력하게 격리해야 합니다. 이 시스템의 역할은 공정을 안전한 상태로 전환하는 것이며, 여기에 도달한 공격자는 마지막 방어선까지 무력화할 수 있습니다.

• SIS를 제어 시스템과 분리되고 격리된 네트워크에 둡니다
• 안전 컨트롤러에 대한 EWS 접근을 엄격하게 제한합니다
• 안전 로직을 읽거나 변경하려는 권한 없는 시도를 모두 모니터링합니다

유명한 공격 사례가 SIS를 직접 표적으로 삼았습니다. 따라서 무결성 보호를 절대 양보해서는 안 됩니다.

공급업체와 엔지니어의 원격 접근은 침입이 발생하는 흔한 경로입니다. OT에 직접 연결되는 단순한 VPN 대신 중개되고 모니터링되는 접근 방식을 사용하십시오.

• OT 시스템을 인터넷이나 RDP에 직접 노출하지 않습니다
• MFA를 사용하는 DMZ의 접속 중계 호스트를 통해 연결합니다
• 필요한 시점에만 최소 권한의 시간 제한 세션을 부여합니다
• 감사를 위해 세션을 기록합니다

공급업체의 원격 유지보수는 항상 켜 두지 말고, 필요할 때만 활성화한 후 다시 비활성화해야 합니다.

볼 수 없는 대상을 보호할 수는 없지만, 취약한 OT를 능동적으로 검사해서도 안 됩니다. 수동 기법을 사용하십시오.

• 관찰한 트래픽을 바탕으로 완전한 자산 목록을 구축하고 유지합니다
• 정상적인 통신의 기준선을 설정한 후 그 차이를 경보로 알립니다
• 새 장치, 예상하지 못한 쓰기 동작 또는 권한 없는 호스트를 탐지합니다
• 공정 맥락을 이해하는 SOC에 OT 경보를 전달합니다

구역 경계에 배치한 수동 센서는 운영을 방해하지 않으면서 가시성을 제공합니다.

물리적으로 분리된 네트워크라고 해서 안전한 것은 아닙니다. 여러 주요 ICS 사고가 USB 드라이브와 침해된 공급업체 장비를 통해 분리된 영역을 넘어 발생했습니다.

• 전용 검사 키오스크에서 이동식 매체를 통제하고 검사합니다
• 공급업체의 노트북이 연결되기 전에 검증합니다
• 컨트롤러의 펌웨어와 업데이트 출처를 확인합니다
• 이전 과정에서 배운 엄격한 기준으로 OT 공급망을 관리합니다

사람과 물리적 진입 지점이 네트워크 경계보다 더 중요한 경우가 많습니다.

공정을 중단하는 것 자체가 위험할 수 있으므로 OT의 현실을 고려하여 대응을 계획해야 합니다.

• 공정 엔지니어와 함께 OT 전용 대응 절차서를 마련합니다
• 제어 장치에 장애가 발생했을 때 공정을 운영할 안전한 수동 대체 절차를 정의합니다
• PLC 로직과 구성의 오프라인 백업을 보관합니다
• 대응 중에도 안전이 유지되도록 운영 담당자와 함께 반복 훈련합니다

계속 운영하거나 안전하게 중단할 수 있는 능력인 복원력은 예방만큼 중요합니다.

프레임워크를 활용하면 이러한 관행을 감사 가능한 프로그램으로 전환할 수 있습니다.

• IEC 62443 — 산업 자동화 보안의 핵심 표준(구역, 연결 통로, 보안 수준)
• NIST SP 800-82 — OT 보안 지침
• 에너지, 수자원 및 배관망 분야의 규정

구조(Purdue, DMZ, 네트워크 분할), 모니터링, 접근 제어 및 대응을 지속적으로 평가하는 프로그램으로 통합하십시오. 일회성 프로젝트로 끝내서는 안 됩니다.

일반적인 공격 경로를 차단하도록 구조를 적용해 보십시오.

OT 환경을 위한 계층형 방어를 구축했습니다.

• Purdue 모델은 통제해야 할 레벨과 경계를 정의합니다
• 산업용 DMZ는 IT와 OT 간의 직접적인 트래픽을 차단하고, 구역과 연결 통로(IEC 62443)는 침입을 한정합니다
• 프로토콜 인식형 방화벽은 허용된 명령을 강제하고, SIS는 격리된 상태로 유지합니다
• 중개형 원격 접근, 수동 모니터링 및 이동식 매체 통제로 주요 경로를 차단합니다
• IEC 62443 및 NIST 800-82의 지침에 따라 OT를 고려한 대응과 복원력을 계획합니다

과정을 완료했습니다. 이제 산업 제어 시스템을 분석하고 방어할 수 있습니다.