인증 및 암호화를 통한 보안 위험 감소

인증 및 암호화를 통한 보안 위험 감소
자동화 시스템의 손상을 방지하기 위해 밟아야 할 보안 절차

 

지멘스

자동화 시스템이 잘 알려지지 않았기 때문에 컴퓨터 공격을 피할 수 있었던 시절은 오래 전에 지나갔다. 산업 시스템에 대한 공격은 날로 커져가는 위협이며, 공격으로 인한 잠재적 손실 규모는 엄청나다.
다행인 것은, 신중한 시스템 설계와 보안 절차로 보안상의 위험을 통제할 수 있다는 점이다. ISA-99 표준을 준수하는 네트워크 설계는 외부의 위협과 산업용 제어 시스템 사이에 장벽을 배치시킨다. 제어 시스템 장비에 적절한 보안 옵션을 설정함으로써 공격에 대한 추가적인 방어막을 세울 수 있다. 안전한 운영 정책을 생성하고 준수하면 네트워크 외의 원인(소형 USB 드라이브, 권한이 없는 직원의 물리적 액세스 등)에서 생기는 위험을 통제할 수 있다.
위험에는 악성 코드, 해커, 불만을 품은 직원에 이르기까지 다양한 유형이 있다. 어떤 산업 사이트는 심지어 경쟁사나 국가 차원의 사이버 전사들의 공격까지 고려해야 한다. 사이버 공격을 늦추거나 중단시키기 위해서는 보안 정책, 보안 절차, 장치, 소프트웨어를 결합시킨 종합적인 대처가 필요하다. 많은 자동화 보안 방어 수단 중에 그 어떤 것도 혼자서는 모든 유형의 공격을 막아낼 수 없다. 하지만, 이들을 함께 적용하여 다층적인 전략 방어를 실행한다면 위험과 그에 따른 결과를 현저히 감소시킬 수 있다. 다음은 활용할 수 있는 몇 가지 도구와 테크닉이다.

 

정기적이고 체계적인 소프트웨어 패치 절차는 악성 코드에 대한 핵심적인 방어 수단이다.
마이크로소프트, 지멘스, 그 외 많은 업체들은 보안 문제에 대한 해법이 포함된 소프트웨어 업데이트를 제공하고 있다. 사용자는 업데이트가 나왔는지 각 업체를 항상 모니터링하다가 업데이트가 나오면 최대한 빨리 제어 시스템에 설치해야 한다. 각종 보안 관련 패치로 시스템을 최신 상태로 유지하는 것이야말로, 사이버 공격에 시스템의 저항성을 향상시키기 위해 사용자가 할 수 있는 가장 중요한 일이다.
안티바이러스 소프트웨어는 코드 속의 패턴을 식별함으로써 알려진 악성 코드와 공격 메커니즘을 탐지할 수 있다. 안티바이러스 프로그램은 일반적으로 간단한 침입 탐지 시스템을 포함하고 있으면서 포트와 웹브라우저 상에서 의심스러운 활동을 감시한다. 이러한 백신 프로그램은 수많은 알려진 악성 코드에 대해 효과적이므로 널리 사용되고 있다.
화이트리스팅은 악성 코드 패턴을 블랙리스트로 분류하는 안티바이러스 프로그램과 대칭되는 개념이다. 화이트리스팅은 화이트리스트에 추가되지 않은 프로그램은 모두 차단하는 방식이다. 이 방식은 컴퓨터에서 악성 코드가 실행되지 않도록 방지한다.
방화벽은 권한이 없는 소스로부터의 통신이나, 권한이 없는 유형의 통신을 차단한다. 방화벽은 원치 않는 인터넷 트래픽이 자동화 시스템 네트워크에 접근하는 것을 막는 핵심적인 수단이며, 자동화 시스템 네트워크를 떠나려고 시도하는 트래픽을 제한하는 용도로도 사용할 수 있다. 하지만 방화벽은 제대로 설정이 되어야만 효과적인데 이 설정은 쉬운 작업이 아니다. 네트워크 아키텍처는 방화벽 설정을 복잡하게 만든다. 제대로 분할되지 않은 네트워크에는 아주 복잡한 방화벽 규칙이 필요하다.
침입 탐지 시스템(IDS)은 공격을 탐지하므로 대응 수단을 실시할 수 있다. 네트워크 침입 탐지 시스템은 네트워크 트래픽에서 비정상적인 활동이 있는지 감시한다. 침입 탐지 시스템이 효과적이기 위해서는 특정한 네트워크에서 어떤 활동이 정상적인지에 대한 상세한 지정이 필요하다. IDS는 일반적으로 로그 파일을 통해 침입을 보고한다. IDS가 효과적이려면 이러한 로그에 대한 규칙적인 확인이 필요하다.
비밀번호와 기타 식별 메커니즘은 가장 일반적으로 사용되는 정보 보안 메커니즘이다. 하지만 비밀번호 방식에는 커다란 결함이 있다. 사람들이 비밀번호를 잘 기억하지 못하는 것이다. 게다가, 많은 자동화 및 네트워킹 장치들은 사용자가 아니라 권한 수준을 대상으로 일련의 비밀번호를 사용하고 있다.
중앙 집중식 비밀번호 관리와 역할 기반의 인증 방식 실시를 통해 비밀번호의 보안 기능을 증가시킬 수 있다. 역할 기반의 인증이라는 것은, 각 사용자에게 허가된 작업을 수행하는데 필요한 시스템 권한만을 부여하는 것이다. 이렇게 하면 컴퓨터의 보안이 뚫린다고 하더라도 공격자는 몇 군데 제한된 구역만 접근할 수 있을 뿐이다.
인증서 기반의 인증은 어떤 컴퓨터 또는 사용자가 요청을 수행하고 있는지 식별하기 위해 사용하는 일종의 암호화 방식이다. 이 보안 방식의 의도는 중간자의 공격을 방지하고, 권한 없는 소스로부터 들어오는 모든 요청을 차단하는 것이다. 인증서 기반의 인증은, 올바른 주소와 컴퓨터 이름을 제시하는 모든 컴퓨터를 받아들이는 일반적인 보안 방식보다 훨씬 더 안전한 방식이다.
해커들은 암호를 깨거나, 불법적인 수단을 통해 신뢰할 수 있는 기관으로부터 인증서를 입수하거나, 신뢰할 수 있는 컴퓨터를 해킹하여 그 인증서를 이용해 다른 시스템의 신뢰를 얻는 등의 방식으로 인증서 기반의 인증 시스템을 공격한다.
데이터 암호화는 데이터를 네트워크에 보낼 때 그 데이터를 해독하는 암호화 키를 가진 시스템만이 읽을 수 있게 만들어서 전송한다. 여기에는 신용카드 정보, 비밀번호 등 소중한 데이터가 포함될 수 있다. 네트워크상의 데이터 암호화는 공격자가 데이터를 읽을 수 없게 만들기 때문에 네트워크 모니터링 공격에 효과적이다.
저장 매체의 데이터 암호화는 해당 매체를 분실하거나 도난당했을 때 무단으로 데이터를 이용할 수 없게 하며, 저장 정보를 변경하는 방식의 공격을 더욱 어렵게 만든다. 인증서 기반의 인증 방식과 마찬가지로 공격자는 암호화 키 및 해독키에 대한 접근 권한을 얻음으로써 데이터 암호화를 뚫으려고 시도한다.
또한 관리자들은 매체 접근 제어 프로토콜을 제공해야 한다. 해커들은 시스템을 공격하기 위해 저장 매체에 심어 놓은 악성 코드를 사용하기 때문이다. 자동화 시스템에 감염시키기 위해 악성 코드를 포함한 USB 메모리 스틱을 사용하는 것은 일반적인 공격 수단이 되었다. 흔히 사용되는 방법 중에 하나는 플래시 드라이브를 흘리는 것이다. 이를 테면, 미리 감염시킨 USB 플래시 드라이브를 공격 목표 회사에서 일하는 직원에게 우편으로 보내거나, 심지어 회사의 로비 같은 공공장소에 누군가가 발견하도록 놓아두는 방식이 있다
방어의 제1선은 숙련된 직원이 시행하는 훌륭한 매체 제어 정책이다. 뿐만 아니라 매체 접근 제어 소프트웨어를 이용하여 매체 접근 제어 정책의 시행을 지원할 수 있다.

다층적 접근
단일 방식으로는 모든 공격을 차단할 수 없다. 자동화 시스템의 보안 수준은 보안이 뚫렸을 때의 잠재적 비용 및 영향과 방어 수단을 시행하는 비용 사이의 상충점을 고려하여 결정하게 된다. 예를 들어, 발전소와 같은 중요 인프라에 필요한 방어 수준은 조그만 콘크리트 공장에 필요한 방어 수준과 완전히 다를 수밖에 없다.
자동화 시스템과 관련하여 모든 실현 가능한 방어 수단을 적용해야 한다. 중요 시스템에 대한 접근은 해커가 노력을 아예 포기하게 만들 정도로 충분히 어렵거나, 중요 시스템이 뚫리기 전에 시스템이 공격을 탐지할 수 있어야 한다. 다층적 대응 수단이 있으면 하나의 방어로 막지 못한 공격을 다른 방어 수단으로 저지할 수 있다.
방어 수단은 일단 배치되면 정기적으로 점검하여 변화하는 보안 위협에 대비하여 바람직한 보안 수준을 달성하는데 적합한지 지속적으로 확인해야 한다. 사이버 공격의 전력과 기술은 끊임없이 진화하고 있으므로, 방어 전략도 함께 변화해야 한다.
효과적인 방어막을 형성하기 위해서는 네트워크를 기능 단위의 구역으로 분할하고 모든 구역 사이에 방화벽을 구축해야 한다. 이러한 분할 방식을 이용하면 만에 하나 컴퓨터가 뚫린 경우에도 공격자가 접근할 수 있는 정보가 제한된다. 보안 구역에 따라 통신 요구가 다를 것이므로 방화벽 규칙과 그 밖의 보안 수단을 다르게 적용할 수 있다.
사이버 보안 태세를 향상시키려면 제일 먼저 보안 평가를 받아 보는 것이 좋다. 보안 평가는 종합적이고 체계적인 접근 방식을 개발하여 조직의 사이버 보안을 향상시키는 첫걸음이다. 지멘스는 고객 서비스 사업본부를 통해 평가 서비스를 제공하고 있다. 그밖에 미국 국토 안보부 홈페이지의 http://www.uscert.gov/control_systems/satool.html에서 제공하는 사이버 보안 평가 도구(Cyber Security Evaluation Tool)를 이용해 자체 평가를 수행하는 것도 가능하다.
직원들은 경영진의 시각과 일치하도록 자신들의 우선순위를 정한다. 사이버 보안에 많은 관심과 자금이 투입되고 높은 우선순위가 주어진다면 직원들은 높은 우선순위로 보안 정책을 수행하게 될 것이다.
자동화 시스템을 설계할 때 ISA-99 표준에서 제시된 방식을 준수하는 것은 훌륭한 출발점이 된다. 그 외에도 보안 시스템의 설계 및 주기적 검토 절차를 포괄하는 다양한 표준들과, 이러한 절차를 지원하는 상업적 도구들이 존재한다. 소규모 제조 공장에서는 과도한 절차일 수도 있지만, 공공 안전이 관련된 곳이나 중요한 인프라 시설의 위협이 존재하는 곳에서는 철저하게 준수해야 한다.

 

"효과적인 방어막을 형성하기 위해서는 네트워크를 기능 단위의 구역으로

분할하고 모든 구역 사이에 방화벽을 구축해야 한다. 이러한 분할 방식을 이용하면

만에 하나 컴퓨터가 뚫린 경우에도 공격자가 접근할 수 있는 정보가 제한된다.
보안 구역에 따라 통신 요구가 다를 것이므로 방화벽 규칙과 그 밖의 보안
수단을 다르게 적용할 수 있다."

※ 출처 : EngNews (산업포탈 여기에) - 인증 및 암호화를 통한 보안 위험 감소