계장기술(PROCON)

특별기고 중요 인프라 산업의 사이버 보안 점검을 위한 ISA/IEC 62443 기반의 체계적인 접근 방법 〈제1부>

페이지 정보

작성자 최고관리자 댓글 0건 조회 25회 작성일 20-10-14 13:03

본문

개 요

사이버 보안은 이미 수년 동안 논의되어 왔지만, 제조 및 발전 산업을 비롯한 산업 환경의 사이버 보안에 대한 관심이 집중되기 시작한 것은 최근의 일이다. 이는 부분적으로는 산업 환경에 대한 사이버 위협이 증가하고, 자동화 시스템이 확장되고 있기 때문인 것으로 풀이된다. 이와 관련하여 중요 인프라에 자주 사용되는 ISA/IEC 62443과 관련한 여러 표준이 논의되고 있다. 네트워크 자산을 보호하기 위해서는 산업 제어 시스템이 적절한 사이버 보안 기능을 갖출 수 있도록 상당히 복잡하고 많은 구성들을 수행해야 한다. 이 글은 수동으로 구성을 수행할 때 발생할 수 있는 부정확하거나 불완전한 구성 가능성을 줄일 수 있도록 네트워크 자산에 중점을 두고, 보안 구성에 대한 체계적이고 자동화된 접근 방식을 제시하고자 한다.


도 입

최근 몇 년 동안 에너지, 수처리, 병원, 교통과 같은 중요한 산업 및 인프라에 대한 사이버 공격이 증가하고 있다. 이러한 모든 분야는 전기가 반드시 필요하며, 전력 발전은 모든 국가의 주권에 있어 필수적이다. 그러나 불행히도 이는 사이버 공격의 우선 목표 중 하나가 되었다(ICS-CERT, 2017). 사이버 보안 구현은 IEC가 정리한 기본 사항으로, 각 측면에서 동일하게 우선순위와 관련성을 가지고 있는 ‘사람, 프로세스, 기술’ 목록을 비롯해 전체론적인 접근 방식을 취해야 한다. 이 글은 사이버 보안의 기술적 측면과 네트워크 인프라의 자산을 보호하는데 활용할 수 있는 기술에 대해 중점적으로 논의할 것이다. 보안 레벨 2(SL-2 : Security Level- 2, IEC 62443-4-2)의 IEC 62443 섹션 4에 따라, 해당 네트워크에 연결된 각 장치의 기존 기능을 검증하여 인적 오류를 방지하는데 도움이 되는 체계적이고 자동화된 구성 접근 방식을 제안하고자 한다.

 f455bba4573016ae9191c44a35a1e7c8_1602648190_7012.png

규범적 접근 방식

최근의 연구에 따르면, 규제적 관점에서 중요 인프라를 보호하는 최선의 접근법은 표준을 하이브리드(수직 및 수평) 방식으로 적용하는 것이다. 수평 표준은 ISA/IE C 62443과 같이 보다 광범위하고 유연한 스펙트럼이 특징이며, 다양한 중요 인프라에 적용할 수 있다. 수직 표준은 전기 부문의 NERC CIP와 같이 특정 분야에 중점을 둔다(IEC, 2018). 두 가지 유형의 표준을 모두 적용하면, 전체 사이버 보안 솔루션에 대한 절차적 견고성이 향상되기 때문에 하이브리드 방식이 권장된다. 각 규범적 시스템은 표준보다 구체적인 부분에 초점을 맞추기 때문에 이들의 접근 방식은 상반되기보다는 상호 보완하는 경향이 있어 고도의 다초점 접근 방식의 프로세스를 구현할 수 있다.

사이버 보안 구현(ARC, 2019)과 관련하여 기업들마다 성숙도가 다르기 때문에 모두에게 적합한 단일 접근 방식을 추천하는 것은 어렵다. 따라서 수평 표준으로 규범적 프로세스 구조를 시작한 다음, 각 부문에 특정 수직 표준을 보완하는 것이 합리적이다. 다른 방법보다 효율적이지는 않지만 두 방식 모두 똑같이 필요하며, 보완적이다(IEC, 2018).

이러한 접근 방식을 기반으로 모든 중요한 산업 프로세스에 적용할 수 있는 사이버 보안 가이드이자 ‘표준’으로 ISA/IEC 62443 제시하고자 한다. 이 표준의 섹션 4에는 구성요소가 준수해야 하는 모든 모범 사례와 요구사항 목록이 포함되어 있다. 사이버 공격이 발생할 경우, 구성요소가 제공할 수 있는 복원력 수준을 상세히 나타내는 여러 ‘보안 레벨’에 따라 복잡성의 수준은 다르게 정의된다.

각 보안 레벨은 해당 레벨이 보호할 수 있는 기술, 동기, 의도 및 리소스에 대한 명확한 정의를 가지고 있다. 표준이 이미 사전에 결정된 레벨의 모범 사례를 제시한다고 가정하면, 이 글에서 제시하는 자동 보안 검증 시스템은 이 표준이 정한 매개변수를 기반으로 한다. 보안 레벨 2(SL-2)는 중요한 인프라에 대해 최소한의 요구사항을 정의하고 있으며, 이러한 기능을 그래픽 인터페이스와 연결하여 무작위 대입(Brute Force), 네트워크 스캔 및 취약한 인증을 비롯한 가장 간단하면서도 일반적인 침입 시도를 처리할 수 있다.

또한 상위 레벨(각각 ‘테러리즘’과 ‘국가 공격’에 해당되는 레벨 3 및 4)로 간주되는 보다 정교한 공격에 대해서는 훨씬 더 많은 리소스 조합(소프트웨어 및 하드웨어)이 필요하며, 개발 시간 훨씬 더 오래 소요된다.


체계화의 중요성

구성을 구현하기 위해 체계적이고, 자동적인 접근 방식을 주로 사용하는 것은 일관성 유지는 물론, 구성의 일관되고 신뢰할 수 있는 반복성을 보장하는데 필수적이다. 이 접근 방식은 의도성 여부와 상관없이 인적 요인을 사이버 사고의 주요 원인으로 간주하기 때문에 프로세스 상에서 사람의 간섭을 줄이는 데 중점을 두고 있다(ICS-CERT, 2017).

일반적으로 이러한 유형의 프로세스에서는 사람들이 더 많은 실수를 범하는 경향이 있기 때문에 반복적인 활동에서 구성을 자동으로 수행하는 것이 훨씬 중요하다(Dekker, 2017). 따라서, 반드시 필요한 경우에만 수동으로 구성이 수행되도록 함으로써 실수 가능성을 크게 줄일 수 있다. 또한, 각 장치의 보안을 설정하는 담당자는 적절하게 설정 작업을 수행할 수 있는 기술적 능력을 갖추어야 한다. 담당자가 적절한 수준의 전문성을 갖추게 되면, 구성이 부정확하게 수행될 가능성을 줄일 수 있다.

이러한 문제를 더욱 악화시키는 것은 사람의 실수로 인한 취약점을 발견하는 것이 어렵다는 점이다. 기업들은 탐지를 위해 자체적으로 시행하는 검사 프로세스에 의존하는 경우가 많기 때문에 이를 100% 신뢰하기 어렵다. 이러한 유형의 문제는 검사 프로세스가 완전히 수동인 경우 기하급수적으로 확대되는 경향이 있다(Dekker, 2017). 또한 불행히도 직원들이 네트워크를 방해하려는 의도적인 시도가 있을 수 있다. 이는 우발적이든, 고의적이든 모두 내부자 위협에 해당한다(Adams, M ; Makramalla, M, 2015). 따라서, 사이버 보안 조치는 악의적인 의도를 가진 사람들이 정상적인 운영을 방해할 수 있는 모든 것을 식별하고 방지할 수 있어야 한다.

‘무엇을 구현할 것인가’ 하는 방법론뿐만 아니라 방법, ‘어떻게’ 구현할 것인지에 대해서도 주의를 기울이는 것이 중요하다. 구성을 구현하기 위한 체계적이고 자동화된 접근 방식을 취함으로써 이러한 위험을 상당히 줄일 수 있으며, 네트워크의 안정성과 보안을 향상시킬 수 있다.

이 글은 사람에게만 의존하는 접근 방식과 달리 자동적이고 체계적인 접근 방식을 지지하는 많은 주장을 제시하고 있지만, 그렇다고 해서 사람이 프로세스에서 완전히 배제되어야 한다는 의미는 아니다. 그 대신 기술과 인간 사이의 최적의 상호작용 지점을 찾는 것이다.


추천 목록

표준의 첫 번째 섹션(IEC 62443-1-1)에서는 식별 및 인증 제어, 사용자 제어, 시스템 무결성, 데이터 기밀성, 제한된 데이터 플로우, 이벤트에 대한 적시 대응 및 리소스 가용성과 같은 사이버 보안에 대한 7가지 기본 요건을 소개하고 있다.

또한, 이 표준은 각 보안 레벨에 대한 몇 가지 시스템 요구사항과 적합성을 규정하고 있다. 보안 레벨이 높을수록 보다 많은 기능과 구성이 요구되고, 복잡성이 높아진다. 마찬가지로 레벨이 낮으면 필요한 기능도 줄어든다. 따라서, 표준에서 설정한 보안 레벨(SL)은 목표에 따라 요구사항을 다르게 구현해야 한다. IEC 62443-3-3의 부록 B는 요구사항과 보안 레벨 간의 관계를 명확하게 함으로써 모든 장비에 대해 각 보안 레벨에 따라 완벽하게 검사 가능한 목록을 만들 수 있다.


인적 요인

체계적인 구성 및 검증 시스템은 표준에서 정의한 위협 유형으로부터 자동화 시스템을 방어하는 것을 목표로 하지만, 다른 장점도 가지고 있다.

앞에서 언급했듯이, 매우 중요한 문제는 사람이 자동화 시스템에 취약성을 유발시킨다. 주요 취약점은 구성 프로세스(실행만 해당), 의사결정 프로세스(인지적 의사결정), 하이브리드 프로세스(결정과 실행의 조합) 등이다.

사이버 보안 조치를 구현할 때는 결정이 필요하다. 신경과학에서도 의사결정 과정과 상호작용이 인간의 뇌에서 어떻게 발생하는지 명확하게 규명되지는 않았지만, 복잡성이 서로 다른 프로세스를 수행하면, 인간의 뇌에서 서로 다른 강도의 노력이 발생한다는 것이 일반적 견해다(HR Heekeren et al., 2004). 따라서, 모든 사이버 보안 조치를 구축하기 위해서는 의사결정을 위한 인간 두뇌의 역학관계도 고려해야 한다.

다음 호(2부)에서는 인간이 자동화된 사이버 보안 시스템과 어떻게 상호작용하는지 간단히 살펴보고, 발생 가능한 어려움에 대해 알아본다.


Felipe Sabino Costa  
Moxa Brazil Tecnologia,
Säo Paulo, SP

www.moxa.com