1. 제어시스템 보안 중요성 증가

전력, 원자력, 가스, 상하수도, 운송, 제조 등의 운영 중단은 타 정보 시스템과는 비교할 수 없을 정도의 큰 피해를 일으킬 수 있기 때문에 산업제어시스템에서 사이버 보안 사고에 의한 피해가 발생하더라도 운영은 지속되어야 한다. 제어시스템은 일반 IT 시스템과 다르게 외부 네트워크와 분리되어 폐쇄적으로 운영되어야 하고, 356일 24시간 상시 작동할 수 있는 가용성이 필수이며, 안전과 신뢰성에 초점을 맞추어진 특수한 통신 프로토콜을 사용하여 일반 IT 시스템에서 사용하는 보안 시스템을 적용하기 힘들다. IT 시스템과 제어시스템 차이를 비교하면 [표 1]과 같다.

미국 ICS Cert 보고에 의하면, 제어시스템의 보안 취약점도 지속적으로 발견되고 있으며, 이를 이용한 최근 국외 제어시스템 사이버 사고 신고 건수가 2011년 140건에서 2016년 290건으로 100% 이상 증가했다.

전 세계적으로 제어시스템 보안에 대한 중요성이 높아지면서 시장조사기관의 발표에 따르면, 글로벌 제어시스템 보안 시장은 연평균 성장률(CAGR) 6%의 높은 성장세로 2024년까지 140억 달러까지 성장할 것으로 예측하고 있다.

카스퍼스키 ICS CERT에서 2020년에 발표한 제어시스템 취약점 건수는 2011년 139건에서 2019년 509건으로 급격하게 증가하고 있다. 하지만 제어시스템 보급률, 제조사 등을 고려하면 전체 CVE 중 10% 정도가 제어시스템 취약점이어야 하므로, 공개된 제어시스템 관련 취약점은 실제 취약점 규모의 1%에 불과하다고 예측하고 있다.

폐쇄망 형태로 운영되는 제어시스템에 대한 사이버 공격이 불가능하고, 별도의 사이버 보안의 고려가 필요하지 않다는 과거의 관행적 인식은 2010년 스턱스넷이라는 제어시스템 대상 악성코드가 나타나면서 완전히 무너졌다. 스턱스넷은 이란의 핵시설 내 원심분리기 1,000여 대를 물리적으로 파괴하면서 사이버 공격에 의한 물리적 피해가 발생할 수 있음을 입증하였다. 또한 Duqu, Frame, Shamoon, Mahdi 등의 제어시스템 대상 악성코드가 지속적으로 출현하였고, 국가기관이 이러한 악성코드 제작에 참여한 것으로 밝혀지면서 국가 간 사이버 전쟁이 본격적으로 시작되었음을 언론을 통하여 알려지게 되었다.

국외 국가 기반 시설 및 민간 산업 시설에 대한 사이버 공격과 랜섬 공격에 의한 해외 사례가 확대되면서 제어시스템 보안 중요성에 대한 인식이 높아지게 되었다. 2021년에는 미국 최대 송유관 회사인 콜로니얼 파이프라인에 랜섬 공격으로 한동안 미국 동부지역 연료 공급이 마비가 되었다. 국외 보안 전문가들은 국가 기반 시설 혹은 현대 산업 시설에 있는 근본적인 보안 취약점인 IT 시스템과 제어시스템 간에 완벽하게 망 분리가 이루어지지 못한 부분이 사이버 공격자에게 표적이 되고 있다고 분석하고 있다.

2. 제어시스템 보안 기술 동향

가. 전력제어시스템 보안 표준화 동향
전력제어시스템과 관련한 보안 표준들은 [그림 4]와 같이 분류된다. 우선 보안 요구사항과 관련된 표준, 실제 구축과 관련된 표준, 가이드라인이 되는 표준으로 나눌 수 있다. 또한 사용자 기준으로 나눌 때 벤더에게 필요한 표준, 구축 사업자에게 필요한 표준, 운영 기관에 필요한 표준으로 나눌 수 있다. 또한 전력제어시스템 보안 표준에는 전력제어시스템에 국한된 표준, 전력제어시스템과 연동되는 정보시스템에 해당되는 표준, 산업 자동화와 관련된 표준도 포함된다.
최근 전력제어시스템 보안의 중요성이 커지면서 관심이 높아지고 있는 IEC 62443은 산업제어시스템 사이버 보안을 견고하게 하기 위한 표준으로 미국 ISA 99 위원회에서 작성한 ISA 62443을 기반으로 작성되었으며, IEC TC65 WG10의 주관으로 관리되고 있다. IEC 6 2443에서는 스마트 팩토리, 전력제어시스템, 생산제어시스템 등 전반적인 산업제어시스템을 대상으로 하며, 특정 대상을 구분하지 않는다. 또한 하드웨어, 소프트웨어, 통신 네트워크, 사용자를 포함하는 산업제어시스템 보안 프로세스를 구축하는 것을 목표로 한다.

또 IEC 62443은 용어, 개념 및 모델을 설명하는 일반(General) 분야, 산업제어시스템을 보유하는 조직의 보안 정책 및 관리시스템 요구사항을 기술하는 정책 및 절차(Policy &Procedure) 분야, 산업제어시스템에 대한 보안 요구사항을 다루는 시스템(System) 분야, 산업제어시스템 구성요소를 다루는 업체에 대한 요구사항을 다루는 구성요소(Component) 분야로 구성된다. 4개의 분야로 나뉘어 있으며, 각 분야는 모듈 방식의 세부 사항으로 구성된다.
IEC 62443 표준은 산업제어시스템 설비 운용, 유지보수, 엔지니어링을 수행하는 IACS의 모든 실무자, 제조사, 사이버 보안 담당자 및 연관된 정부 조직을 대상으로 작성되었으며, 산업제어시스템 구성원 간의 상호 이해 및 협력을 통해 높은 수준의 보안을 이루어내는 것을 목표로 한다.
IEC 62351은 전력제어시스템 운영 관련 정보 보호를 위한 표준으로 제어시스템 관련 표준인 IEC 60870-5, IEC 60870-6, IEC 61850, IEC 61970, IEC 61968에 대한 네트워크 통신 보안을 정의한 표준이다. 본 표준은 전력 시스템, 에너지 관리시스템, SCADA 같은 시스템을 위한 정보 교환 기준을 개발하는 IEC TC57 내 전력 시스템에서의 데이터 통신 보안 기준을 개발하는 WG15의 주관으로 관리되고 있다.
전력산업에서 시스템의 설계와 운영에 있어 안전, 보안, 신뢰성은 항상 중요한 문제였으며, 자연재해, 고의적인 목적을 가진 공격, 부주의로 인한 사고 등으로 인해 정보 보안이 점점 더 중요해짐에 따라 IEC 62351 표준 개발이 요구되었다. IEC 62351 표준은 대표적으로 전력제어시스템에 대한 네트워크 통신 보안을 다루며, 기본적인 전력제어시스템에 대한 보안, 통신 프로토콜에 대한 보안, 전력제어시스템 운영 방안 등의 내용을 다루고 있다.
IEC 62351 표준은 디지털 서명을 통한 데이터 전송 인증, 인증된 접근제어, 도청 방지, 재생 및 스푸핑 공격 방지, 침입 탐지 등의 보안 목표를 가진다. IEC 62351-1 표준은 주로 전력 시스템 운영에 적용되는 다양한 측면의 보안을 소개한다. IEC 62351-3에서 IEC 62351-6까지의 표준은 IEC TC57 통신 프로토콜에 대한 보안 표준을 명시하며, 선택된 프로토콜과 파라미터에 따라 다양한 수준의 프로토콜 보안을 제공하는데 사용될 수 있도록 구성되었다. IEC 62351-7 표준은 End-to-End와 같은 전력 시스템 운영 네트워크에 대한 전반적인 관리 강화에 대해 구성되었다. 그 외 IEC 62351 표준은 정보 보안의 다양한 영역을 다루기 위한 내용으로 구성되었다.

나. 제어시스템 보안 기술개발 동향
CyberX는 OT(Operational Technology) 자산을 자동 식별, 분류 및 네트워크 토폴로지 자동 생성과 OT 보안 기능을 제공할 뿐 아니라 산업용 프로토콜을 분석하고 가시성을 제공하는 솔루션을 개발하였다. CyberX의 솔루션은 탐지(Detect), 대응(Response), 예측(Predict), 예방(Prevent)의 단계에 모두 동작이 가능하고, 제어시스템 이상행위 분석에 대한 전용 클라우드 샌드박스를 보유함으로써 더 빠르고 정확하게 위협을 탐지할 뿐만 아니라, 설비 운영에 영향을 주지 않도록 신속한 구축이 가능하다는 장점이 있다.
Claroty는 국가 기반 시설 및 산업용 제어시스템을 사이버 공격으로부터 보호하고, 사회적으로 중요한 인프라의 안전성과 신뢰성을 도모하는 것을 목표로 하고 있다. Claroty의 주력 제품인 Continuous Threat Detection (CTD)은 가시성, 지속적인 위협 및 취약점 모니터링, I CS 네트워크 심층 분석 기능을 지원한다. Claroty CTD는 복잡한 대규모 산업용 네트워크의 안전과 보안성 및 안정성을 유지할 수 있도록 설계되어 있으며, 기본 운영 프로세스에 영향을 미치지 않으면서 사이버 복원력을 개선하기 위한 솔루션이다.
DarkTrace의 제어시스템 보안 솔루션은 비지도 학습 머신러닝을 이용해 학습 없이 네트워크에서 이상행위를 탐지한다. 사전 학습 없이 탐지하기 때문에 기존 보안 기술을 우회하는 신종 위협까지 지능적으로 차단할 수 있으며, IT 및 제어시스템 프로토콜까지 머신러닝으로 분석해 이상행위를 찾아낼 수 있다. DarkTrace의 자가 학습 기술은 OT, 제어시스템 및 산업용 IoT 전반에서와 마찬가지로 ‘정상’ 상태를 학습하여, 새로운 사이버 위협을 실시간으로 탐지하도록 지원한다.

Nozomi Networks의 제어시스템 보안 솔루션은 자산을 탐지하고 식별하여 자동으로 목록화하고, 산업제어 네트워크 구조를 자동으로 분석하여 실시간 모니터링을 함으로써 상황에 대한 문제 원인과 원점 파악으로 효과적으로 대응 가능 및 대응시간 단축을 목적으로 한다. 제어시스템 네트워크에 특화된 인공지능과 보안 패턴을 통합한 실시간 분석 엔진을 사용하여 제어 영역 내의 이상 통신 자산 상태, 변화 요인 등 이상 징후를 자동 탐지할 수 있다.

Indegy는 제어시스템 보안에 특화된 보안업체로, 사이버 위협이나 악의적인 공격, 치명적인 보안 위협 요소로부터 제어시스템을 안정적으로 보호하고 관리하기 위한 제어시스템 보안 전용 솔루션을 개발하였다. Indegy 보안 솔루션은 제어시스템 네트워크에 대한 가시성과 제어 기능을 제공함으로써 사이버 위협, 악의적인 내부자 위협 또는 작업 시 의도하지 않는 실수로 인한 산업 시스템의 운영 중단 사고를 방지한다.
3. 발전제어시스템 보안 기술 동향

2019년 5월 정부(산업통상자원부, 국가정보원), 발전사(한국수력원자력, 한국남동발전, 한국중부발전, 한국서부발전, 한국남부발전, 한국동서발전, 한국지역난방공사), 전력 ICT 전문 기관인 한전KDN이 업무협약을 체결하여 발전소 제어시스템과 보안 모니터링에 대한 표준 모델을 개발하기 위해서 ‘발전제어시스템 보안 모니터링 모델 수립’이라는 공동연구과제를 추진하였다.

업무망, 인터넷망에는 보안 관제를 시행하고 있지만, 운영 중인 제어시스템에 대해서는 보안 관제 시행이 현실적으로 어렵기 때문에 상기 공동연구과제에서는 다음과 같은 사항을 고려하여 과제를 수행하였다. 첫째, 운영 중인 제어시스템의 가시성을 확보하고, 사이버 공격을 인지할 수 있는 데이터를 정의하고, 이를 안전하게 확보할 수 있는 방안이 마련되어야 한다. 둘째, 제작사별로 상이한 제어시스템 네트워크에 대한 보안 모니터링 네트워크를 구성할 수 있는 방안이 수립되어야 한다. 셋째, 제어시스템에 적합한 보안 모니터링 세부 구축 모델이 수립되어야 한다. 넷째, 국내외적으로 발전제어시스템 보안 모니터링을 시행하지 못했기 때문에 이에 대한 현장 검증 및 실증이 필요하다. 발전제어 보안 모니터링 모델 수립 공동연구과제의 연구 개요는 [그림 11]과 같다.

공동연구에서는 [그림 12]와 같이 발전소 내의 제어망 패킷을 수집하여 화이트리스트 기반의 이상 징후를 탐지하고, 알려진 이상 징후에 대해서는 블랙리스트 기반으로 탐지한다. 운영 중인 발전제어시스템에 가용성과 안전성을 고려하여 패킷을 수집하기 위해 미러링 방식으로 수집하고, 발전소 제어망 내부에 별도의 Security Zone을 구성하여 제어시스템의 로그를 수집하고, 로그 수집으로 인한 제어시스템에 미치는 영향을 최소화하였다. 제작사별로 보안 모니터링 네트워크를 구축할 수 있도록 제작사와 협력하여 보안 모니터링 네트워크를 구성하였고, 보안 모니터링과 관련된 발전소의 운영정보를 수집하여 제어망 패킷의 이상 징후 정보, 제어시스템 로그 정보와 상관분석을 통하여 발전제어 보안 모니터링을 할 수 있도록 하였다. 또한, 발전사 사이버안전센터(단위 사이버안전센터)-산업통상사이버안전센터(부문 사이버안전센터)-국가사이버안전센터의 삼중 보안 모니터링 체계가 가능하도록 발전제어시스템 보안 모니터링 체계를 수립하였다.

4. 결 론

제어시스템 보안 취약점이 급격하게 증가하고 있고, 국내외 제어시스템에 대한 사이버 공격으로 인한 피해 사례도 지속적으로 신고되고 있다. 제어시스템은 운영 중단은 타 정보 시스템과는 비교할 수 없을 정도의 큰 피해를 일으킬 수 있기 때문에 이를 안전하게 보호하는 보안 기술과 함께 제어시스템 회복력에 대한 연구도 진행 중에 있다.

제어시스템 보안의 중요성이 높아지면서 국내외 제어시스템 보안 기술 표준화가 활발하게 진행되고 있으나, 제조사별 상이한 제어시스템 구성과 폐쇄적인 특성으로 제어시스템 전용의 보안 기술 개발은 쉽지 않다. 일반 IT 시스템에 적용된 보안 솔루션을 제조사와 협력하여 제어시스템 실행 가능성을 검증하고, 제어시스템에 적용하는 보안 솔루션과 제어시스템 가시성 확보와 화이트리스트 기반의 이상 징후 및 이상행동을 식별하는 제어시스템 전용 보안 기술을 탑재한 보안 솔루션이 개발되어 시장 진입을 확대하고 있다.

제어시스템 보안 시장이 확대되기 위해서는 제어시스템 환경에 적합한 제어시스템 전용 보안 기술 개발과 표준화가 지속적으로 진행되어야 하고, 이를 위해서는 제어시스템 전문가 및 전문 기관의 보안 인식이 강화되어 적극적인 협조가 이루어져야 한다. 또한 제어시스템 사용기관, 정책기관, 정보보호 업체 등 다양한 이해 당사자 간의 인식 변화와 적극적인 협력이 필요하다고 사료된다.

kjckdn71@gmail.com