[연말기획-3] 스턱스넷이 우리에게 준 교훈

스카다 시스템의 보안 중요성 부각...근원적 대책 마련 시급

[보안뉴스 호애진] 국가 및 산업의 주요 기반 시설 공정을 감시하고 제어하는 스카다(SCADA) 시스템에 대한 보안 위협이 날로 커져가고 있다.

스카다 시스템은 폐쇄망 기반이기 때문에 과거에는 보안의 중요성이 간과됐었지만 인터넷이 연결되면서 다른 여타의 시스템과 같이 보안 위협에 노출됐고 이제는 타깃형 공격으로부터 위협을 받고 있다.

2010년 이란의 원전 시설을 불능화시키며 사이버 전쟁의 서막을 알린 고도의 표적 공격 ‘스턱스넷’이 그 시발점이었다.

스카다 시스템이 보안에 취약한 것은 대부분의 제어 시스템이 1980~90년대에 설치돼 보안을 염두에 두지 않고 설계됐으며 제어 시스템에 들어가는 소프트웨어에 다양한 취약점이 존재하기 때문이다.

또한 중단없는 운영을 해야 하는 특징으로 리부팅을 허용하지 않아 업데이트와 보안설정 활성화에 한계가 있으며 독자적인 프로토콜 형식과 변형된 장비, 임베디드 운영체제로 인해 최적화된 정보보호 솔루션이 미비하다는 문제점을 안고 있다.

이에 보안전문가들은 해킹 공격에 대응하기 위해선 △관리 및 모니터링 시스템 구축 △인터넷 사용 금지 △허가되지 않은 통신 장비 및 노트북 사용 차단 △USB 등 저장 매체 사용하기 전 백신 검사 △관리 시스템에 대한 보안성 진단 수행 △산업체 제어 소프트웨어에 대한 개발 보안 준수 및 취약성 검증 △내부 직원 및 유지 보수에 대한 보안 교육 및 권한 분리 체계 강화 등이 이뤄져야 할 것이라고 강조하고 있다.

스턱스넷과 유사한 악성코드 ‘듀큐’, 차세대 사이버 공격 전조?

지난 10월에는 스턱스넷과 유사한 악성코드 ‘듀큐(W.32 Duqu)’가 발견되면서 전세계적으로 긴장감이 돌았다.

그러나 사실 듀큐는 산업시설에 물리적 피해를 입혔던 스턱스넷과는 다르다. 듀큐는 산업용 제어 시스템 제조업체와 같은 조직에 침투해 설계문서 등 핵심 정보 자산을 수집, 향후 제3자에 대한 공격을 보다 쉽게 감행할 수 있도록 준비하는 데 목적을 두고 있기 때문이다. 하지만 스턱스넷 공격과 유사한 차세대 사이버 공격을 예고하는 전조라고 보는 시각이 우세하다.

이 악성코드는 보안 패치가 없는 제로데이 취약점을 이용하며 마이크로소프트 워드 문서를 경유해 설치함으로써 공격자들은 P2P 명령과 제어 프로토콜을 통해 안전지대에 있는 컴퓨터 시스템에 듀큐를 퍼뜨리는 것으로 밝혀졌다. 이에 MS는 보안 업데이트를 발표했으며 한국인터넷진흥원(KISA)에서 듀큐 전용 백신을 배포한 바 있다.

미 상수도 시스템 해킹과 한전 정전 사태...해킹인가 아닌가?

11월에는 미국 일리노이주에 있는 상수도 시스템이 해킹되면서 불안감이 고조됐다. 일리노이주 테러정보센터는 스프링필드시 외곽에 있는 상수도 시설 시스템이 해킹을 당했다고 밝히고 해커들이 몇달 전 시스템 내부 침입에 성공했으며 최근 펌프 시설을 공격해 망가뜨렸다고 설명했다. 또한, 같은 날 텍사스주에 있는 상수도 시스템도 해킹됐다. 한 해커가 스카다 시스템이 보안에 얼마나 취약한지를 알리기 위해 공격을 감행했던 것이다.

이후 미 국토안보부(DHS)는 FBI와 함께 일리노이주 상수도 시스템 해킹 사건에 대해 수사를 했지만 사이버 침입에 대한 정황증거를 찾지 못해 해킹이 아닌 것으로 잠정 결론 내렸다. 하지만 이 사건은 연이은 텍사스 해킹 사건에 더해 스카다 시스템에 대한 보안의 중요성을 부각시키며 기존 취약점에 대한 대책 마련이 시급하다는 것을 일깨우는 계기가 됐다.

우리나라 역시 9월 15일 발생한 전국적인 전력 공급 중단 사태가 외부 해킹으로 발생했을 가능성이 있다는 의견이 제기된 바 있다. 보안 소프트웨어 개발업체인 큐브피아는 해커가 센터 서버를 통해 한전 내부로 침투, 실제 전력 사용량이 많지 않은데도 전산상으로는 과부하에 걸린 것처럼 설정해 전기 공급을 중단시킬 수 있다고 주장한 것.

당시 한전은 사이버 테러로부터 보호하기 위해 전력망을 법에 의해 국가의 주요 정보통신 기반시설로 지정해 특별 관리하고 있기 때문에 해커가 전력망을 해킹하는 것은 불가능하다고 일축했으나 이는 아직까지 많은 의문점을 낳고 있는 상황이다.

제어 시스템 연구에 박차...대책 마련 강구 위한 노력 기울여

세계 각국의 보안 전문가들은 스카다 시스템에 대한 취약점을 꾸준히 발표하고 있다. 최근 미 정부는 스카다 시스템이 보안에 취약하다는 것을 시인, 해커들이 이를 충분히 해킹할 수 있다고 인정하고 지멘스를 비롯한 스카다 시스템 제조사에 주의를 당부하며 보안 강화 노력에 더욱 힘쓸 것을 권고하고 있다.

국내의 경우 아직까지는 피해사례가 없지만 스턱스넷 등장 이후로 행정안전부 등 주무부처들을 중심으로 국가기간시설에 대한 보안 점검과 대책 마련에 나서기 시작했다. 특히, 행안부는 내년 약 20억원의 예산을 투입해 제어시스템 보안을 위한 테스트베드를 만들 계획이다.

또한, 지식경제부는 에너지, 산업분야 공공기관에 대한 사이버 공격 시도에 대응하기 위해 공기업 및 민간 기업이 함께 참여하는 ‘제어시스템 정보보안 협의회’를 발족했다. 이를 위해 지경부는 우선 선제적 방어체계를 구축하고 보안 관리체계를 강화시키는 것은 물론 체계적인 보안업무 수행을 위해 기관별 정보보안 담당관(CSO)를 지정해 정보보안 전담인력을 IT인력의 8%로, 정보보안 예산은 선진국수준인 IT예산의 10%로 확충할 계획이다.

학계에서도 이에 대한 연구가 활발히 진행 중이다. 한국정보보호학회의 경우 ‘제어시스템 보안연구회’를 출범시키고 다양한 산업 분야에서 쓰이고 있는 스카다, DCS 등의 제어 시스템에 대한 사이버보안 연구를 전담해 수행하고 있다.

이렇듯 정부와 학계를 중심으로 스카다 시스템 보안 강화에 힘을 쓰고 있다. 그러나 실제 스카다 시스템을 활용하고 있는 국내 기관 및 기업들이 관련 보안 위협에 얼마나 경각심을 갖고 보안강화에 힘써나갈지는 좀더 두고 볼일이다.

[호애진 기자(boan5@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)