취약점 발견하고 패치하는 것, 보안 위생 수준 향상시켜
ICS는 패치 위해 가동 멈추기 힘들고, 기기들도 매우 오래돼
[보안뉴스 문가용 기자] 정보보안 혹은 IT 보안은 지난 수십 년 동안 취약점을 발견하고 이를 패치하는 방식으로 명맥을 이어왔다. 그러므로 취약점 정보를 되도록 널리 공유하고, 빨리 패치함으로써 보안을 단단히 하는 게 당연한 원리인 것처럼 받들어져 왔다. 그러나 이는 완전히 타당한 것만은 아니다.
‘취약점 발견과 패치’의 순환이 보안 강화에 큰 효력을 발휘하지 못한다는 건 우리가 지금까지도 경험해오고 있는 것이다. 그렇다고 이를 전면 부정하자는 건 아니다. 잘만 돌아가면 취약점을 발견해내고 패치하는 선순환은 체질을 강하게 하는 보약처럼 IT 환경을 튼튼하게 만들어줄 것이 분명하다.
중요한 건 ‘잘 돌아가야’ 한다는 것인데, 이는 1) 패치 우선순위가 리스크 평가를 기준으로 알맞게 조정되고, 2) 충분한 실험을 통해 오류가 없는 패치가 배포가 되며 3) 사용자들이 즉각 이를 설치하고 적용하는 구조를 뜻한다. 이 구조가 성립되면 필요한 비용과 자원을 크게 아끼는 것이 가능하다. 물론 잘 돌아가면 말이다.
하지만 현실은 어떤가? 물 공급 시설, 석유, 가스를 통한 전력 공급 시설, 각종 생산 설비와 전력망을 떠받치고 있는 산업 제어 시스템(ICS) 네트워크를 패치한다는 건 불가능할 정도로 힘든 일이다. 이러한 시스템들은 대부분 윈도우를 기반으로 하고 있고, 따라서 패치를 한다고 했을 때는 ICS에 설치되어 있는 윈도우 패치를 의미하는데, 이는 일반 PC의 윈도우를 패치하는 것만큼 간단하지도 않고, 자주할 수도 없다. 순간이라도 멈추는 게 허용되지 않기 때문이다. 게다가 패치 후 오류라도 발생하면?
그렇기에 공장이나 설비 시스템의 윈도우를 패치하는 건 분기에 한 번은커녕 일 년에 한 번 있을까 말까한 일이 된다. 운영자 입장에서도 패치를 위해 ‘공장 가동을 확실히 멈추느니’ 운이 좋으면 일어나지 않을 사이버 공격에 대한 리스크를 감수하는 걸 택한다. 즉, 기회 비용 문제 때문에 패치를 할 수가 없는 구조라는 것이다. 게다가 ICS가 어떤 설비 장소에만 있는 것도 아니다. 예를 들어 석유 탐사정의 경우 항구에 정착하는 건 3~5년에 한 번 정도일 뿐이다. 이런 경우는 3~5년에 한 번, 중요한 패치부터, 서로 충돌하지 않게 해야 하는데, 이 또한 쉽지 않은 작업이다.
ICS에 의해 통제되는 기기 및 자산들 자체가 매우 오래된 것이라는 현실도 패치를 쉽지 않게 만드는 장애물이다. 대형 설비와 기기들은 20년도 넘게 같은 자리에서 같은 작업을 해가며 생존한다. 기기의 생애주기 자체가 패치를 전혀 염두에 두지 않고 계획된 것이라 패치라는 게 아예 되지 않는 경우도 많다. 아직도 XP와 NT 버전 윈도우를 사용하는 기계들도 많다. 그래서 산업 현장에서는 제로데이 공격이 많이 일어나기도 한다.
이렇게 오래된 기계들에는 패치 시스템만 없는 게 아니라 아예 보안 기능 자체가 없기도 하다. 2~30년 전, 기계 설계라는 분야에는 디지털 보안이라는 개념이 아예 존재하지 않았기 때문이다. 그러므로 사용자 인증 절차라든가, 비밀번호 입력이라든가, 물리적인 시스템의 운영 체계를 조작할 디지털 단위의 명령어를 입력하거나 수행하는 부분이 빠져 있다. 이런 부품들을 억지로 디지털 기술을 덧대어서 연결시킨 것이 대부분 산업 현장의 현실이다. 심지어 그 네트워크조차 평면적이고 기본적인 암호화 조치조차 부재해 불안전하다.
그래서 최근 ICS 업체들은 혁신을 거듭하고 있다. 보안이라는 요소를 설계 단계에서부터 집어넣고, 엔지니어링 전문 기업들은 사이버 보안을 공장 설계의 가장 중요한 요소로 인식하기 시작했다. 하지만 그럼에도 현재 존재하고 있으며 각 지역 공동체와 나라에서 중추적인 역할을 하고 있는 시설들은 ‘겉의 단단함’에만 치중한 보안 원리를 고수하고 있다. 그러므로 안쪽만을 파고드는 해커들에겐 아무런 방해거리가 되지 않는다. 패치를 할 수 있고 없고, 어렵고 쉽고와는 전혀 상관이 없다. 지금 우리 사회의 주요 기반시설들은 보안 개념을 전혀 탑재하지 않고 있는 게 현실이며 위협의 근간이다.
그렇다면 어떻게 해야 할까? 먼저 강조하고 싶은 건 아무리 어렵고 비현실적으로 보일지 몰라도 취약점 연구와 패치는 반드시 있어야 한다는 것이다. 다만 패치로 모든 걸 해결하려는 자세는 버려야 한다. ICS 내의 모든 자산을 파악하고, 취약점들을 분석해 가장 치명적이고 위험한 것들부터 패치를 시작하라. 그러면서 서서히 덜 위험한 취약점들로 내려오며, 차례대로 패치하는 장기 계획을 세워야 한다.
중요한 건 시스템 패치 계획을 시작하기 전에 충분한 시간을 들여서 환경설정의 취약점들부터 해결하는 것이다. 산업마다 보안 표준이라는 게 있을 텐데, 이를 기준으로 잘못 구축되거나 활용되고 있는 요소들이 없는지 확인해서 올바로 잡는 것만으로 ‘보안적 위생(cybersecurity hygiene)’ 수준을 상당히 올릴 수 있다.
물론 ‘가동을 멈출 수 없어 패치가 불가능한 현실’을 위에서 언급했다. 패치 우선순위를 정하고 환경설정 오류를 수정한다고 해서 이 현실이 해결되는 건 아니다. 가장 현실적인 접근법은 전체 시스템의 단 한 부분이라도 업그레이드를 했을 때 전체 보안 수준이 어느 정도 올라가고, 리스크 수준은 얼마나 내려가는지를 정확하게 측정하고, 그 결과에 따라 현실적으로 가능한 패치부터 진행하는 것이다.
지금 ICS 시스템을 구성하고 있는 기기들의 상태, 관리하는 직원들 및 책임자의 보안 의식 수준을 봤을 때, 진정한 기반시설 보안의 업그레이드는 수십 년 후에나 가능한 일일 것으로 보인다. 하지만 우리에게 수십 년이란 시간이 허락될까? 사이버전이 심화되고 있는 때이고, 사이버전 수행자들의 주요 목표가 ICS인데 말이다. ‘취약점 연구와 패치’라는 전통의 접근법이 ICS 환경에서는 조금 다르게 적용되어야 하지는 않을까. 심각하게 고민해봐야 할 문제다. 지금의 보안 업계는 할 수 있는 걸 최대한 하고 있다는 것에 너무 만족해하고 있는 것 같다.
글 : 갈리나 안토바(Galina Antova)
[국제부 문가용 기자(globoan@boannews.com)]
ICS는 패치 위해 가동 멈추기 힘들고, 기기들도 매우 오래돼
[보안뉴스 문가용 기자] 정보보안 혹은 IT 보안은 지난 수십 년 동안 취약점을 발견하고 이를 패치하는 방식으로 명맥을 이어왔다. 그러므로 취약점 정보를 되도록 널리 공유하고, 빨리 패치함으로써 보안을 단단히 하는 게 당연한 원리인 것처럼 받들어져 왔다. 그러나 이는 완전히 타당한 것만은 아니다.
[사진 = iclickart]
‘취약점 발견과 패치’의 순환이 보안 강화에 큰 효력을 발휘하지 못한다는 건 우리가 지금까지도 경험해오고 있는 것이다. 그렇다고 이를 전면 부정하자는 건 아니다. 잘만 돌아가면 취약점을 발견해내고 패치하는 선순환은 체질을 강하게 하는 보약처럼 IT 환경을 튼튼하게 만들어줄 것이 분명하다.
중요한 건 ‘잘 돌아가야’ 한다는 것인데, 이는 1) 패치 우선순위가 리스크 평가를 기준으로 알맞게 조정되고, 2) 충분한 실험을 통해 오류가 없는 패치가 배포가 되며 3) 사용자들이 즉각 이를 설치하고 적용하는 구조를 뜻한다. 이 구조가 성립되면 필요한 비용과 자원을 크게 아끼는 것이 가능하다. 물론 잘 돌아가면 말이다.
하지만 현실은 어떤가? 물 공급 시설, 석유, 가스를 통한 전력 공급 시설, 각종 생산 설비와 전력망을 떠받치고 있는 산업 제어 시스템(ICS) 네트워크를 패치한다는 건 불가능할 정도로 힘든 일이다. 이러한 시스템들은 대부분 윈도우를 기반으로 하고 있고, 따라서 패치를 한다고 했을 때는 ICS에 설치되어 있는 윈도우 패치를 의미하는데, 이는 일반 PC의 윈도우를 패치하는 것만큼 간단하지도 않고, 자주할 수도 없다. 순간이라도 멈추는 게 허용되지 않기 때문이다. 게다가 패치 후 오류라도 발생하면?
그렇기에 공장이나 설비 시스템의 윈도우를 패치하는 건 분기에 한 번은커녕 일 년에 한 번 있을까 말까한 일이 된다. 운영자 입장에서도 패치를 위해 ‘공장 가동을 확실히 멈추느니’ 운이 좋으면 일어나지 않을 사이버 공격에 대한 리스크를 감수하는 걸 택한다. 즉, 기회 비용 문제 때문에 패치를 할 수가 없는 구조라는 것이다. 게다가 ICS가 어떤 설비 장소에만 있는 것도 아니다. 예를 들어 석유 탐사정의 경우 항구에 정착하는 건 3~5년에 한 번 정도일 뿐이다. 이런 경우는 3~5년에 한 번, 중요한 패치부터, 서로 충돌하지 않게 해야 하는데, 이 또한 쉽지 않은 작업이다.
ICS에 의해 통제되는 기기 및 자산들 자체가 매우 오래된 것이라는 현실도 패치를 쉽지 않게 만드는 장애물이다. 대형 설비와 기기들은 20년도 넘게 같은 자리에서 같은 작업을 해가며 생존한다. 기기의 생애주기 자체가 패치를 전혀 염두에 두지 않고 계획된 것이라 패치라는 게 아예 되지 않는 경우도 많다. 아직도 XP와 NT 버전 윈도우를 사용하는 기계들도 많다. 그래서 산업 현장에서는 제로데이 공격이 많이 일어나기도 한다.
이렇게 오래된 기계들에는 패치 시스템만 없는 게 아니라 아예 보안 기능 자체가 없기도 하다. 2~30년 전, 기계 설계라는 분야에는 디지털 보안이라는 개념이 아예 존재하지 않았기 때문이다. 그러므로 사용자 인증 절차라든가, 비밀번호 입력이라든가, 물리적인 시스템의 운영 체계를 조작할 디지털 단위의 명령어를 입력하거나 수행하는 부분이 빠져 있다. 이런 부품들을 억지로 디지털 기술을 덧대어서 연결시킨 것이 대부분 산업 현장의 현실이다. 심지어 그 네트워크조차 평면적이고 기본적인 암호화 조치조차 부재해 불안전하다.
그래서 최근 ICS 업체들은 혁신을 거듭하고 있다. 보안이라는 요소를 설계 단계에서부터 집어넣고, 엔지니어링 전문 기업들은 사이버 보안을 공장 설계의 가장 중요한 요소로 인식하기 시작했다. 하지만 그럼에도 현재 존재하고 있으며 각 지역 공동체와 나라에서 중추적인 역할을 하고 있는 시설들은 ‘겉의 단단함’에만 치중한 보안 원리를 고수하고 있다. 그러므로 안쪽만을 파고드는 해커들에겐 아무런 방해거리가 되지 않는다. 패치를 할 수 있고 없고, 어렵고 쉽고와는 전혀 상관이 없다. 지금 우리 사회의 주요 기반시설들은 보안 개념을 전혀 탑재하지 않고 있는 게 현실이며 위협의 근간이다.
그렇다면 어떻게 해야 할까? 먼저 강조하고 싶은 건 아무리 어렵고 비현실적으로 보일지 몰라도 취약점 연구와 패치는 반드시 있어야 한다는 것이다. 다만 패치로 모든 걸 해결하려는 자세는 버려야 한다. ICS 내의 모든 자산을 파악하고, 취약점들을 분석해 가장 치명적이고 위험한 것들부터 패치를 시작하라. 그러면서 서서히 덜 위험한 취약점들로 내려오며, 차례대로 패치하는 장기 계획을 세워야 한다.
중요한 건 시스템 패치 계획을 시작하기 전에 충분한 시간을 들여서 환경설정의 취약점들부터 해결하는 것이다. 산업마다 보안 표준이라는 게 있을 텐데, 이를 기준으로 잘못 구축되거나 활용되고 있는 요소들이 없는지 확인해서 올바로 잡는 것만으로 ‘보안적 위생(cybersecurity hygiene)’ 수준을 상당히 올릴 수 있다.
물론 ‘가동을 멈출 수 없어 패치가 불가능한 현실’을 위에서 언급했다. 패치 우선순위를 정하고 환경설정 오류를 수정한다고 해서 이 현실이 해결되는 건 아니다. 가장 현실적인 접근법은 전체 시스템의 단 한 부분이라도 업그레이드를 했을 때 전체 보안 수준이 어느 정도 올라가고, 리스크 수준은 얼마나 내려가는지를 정확하게 측정하고, 그 결과에 따라 현실적으로 가능한 패치부터 진행하는 것이다.
지금 ICS 시스템을 구성하고 있는 기기들의 상태, 관리하는 직원들 및 책임자의 보안 의식 수준을 봤을 때, 진정한 기반시설 보안의 업그레이드는 수십 년 후에나 가능한 일일 것으로 보인다. 하지만 우리에게 수십 년이란 시간이 허락될까? 사이버전이 심화되고 있는 때이고, 사이버전 수행자들의 주요 목표가 ICS인데 말이다. ‘취약점 연구와 패치’라는 전통의 접근법이 ICS 환경에서는 조금 다르게 적용되어야 하지는 않을까. 심각하게 고민해봐야 할 문제다. 지금의 보안 업계는 할 수 있는 걸 최대한 하고 있다는 것에 너무 만족해하고 있는 것 같다.
글 : 갈리나 안토바(Galina Antova)
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-31] .jpg)
