OT(Operational Technology)환경과 보안

OT(Operational Technology)

OT는 IT(Information Technology)와 비교되는 말이다. 운영 기술의 OT는 기존 산업제어시스템으로 알려져 있던 환경이 보다 넓은 영역인 OT로 확장되어 쓰이고 있다. OT는 산업운영관리 컴퓨팅 시스템으로 ICS, SCADA 등을 포괄하는 산업용 기계, 공정 운영을 위한 기술 및 시스템이다. 여기서 ICS는 Industrial Control System의 약자로 산업 제어 시스템을 의미한다. 공장이나 시설의 각종 기계나 공정을 제어하기 위한 시스템이다. SCADA는 Supervisory Control and Data Acquisition의 약자로 작업공정 감시/제어 시스템이다. HMI(Human-Machine Interface), PLC(Programmable Logic Controller) 등을 포함하여 공정 시설과 설비를 제어하기 위해 원격제어시스템/통신시설 기반의 산업제어 및 감시를 하는 시스템이다. DCS(Distributed Control System)도 포함된다. 분산 제어 시스템으로 자동 제어 프로그램이 내장 된 제어용 컴퓨터를 기능별로 분산시켜 중앙관리 및 제어를 하는 시스템이다. 이러한 산업 제어 시스템은 다음과 같은 형태로 묶여있다.

OT 환경

미국의 정보 기술 연구 회사인 가트너(Gartner)에 따르면 OT는 기업의 물리적 장치, 프로세스 및 이벤트를 직접 모니터링/제어하여 변경을 감지하거나 변경하는 하드웨어 및 소프트웨어로, 스마트 시티(Smart City), 스마트 팩토리(Smart Factory), 사회기반시설 등 다양한 환경에서 운영되고 있는 시스템을 의미한다. 우리에게 익숙한 IT 환경과는 사뭇 다른 환경을 보여준다.

IT와 OT의 가장 큰 차이점은 사용하는 언어이다. IT 환경은 정보를 표현하고 공유하고 처리하는게 목적이지만, OT 환경은 기계의 제어와 모니터링이 주 목적이기 때문에 사용하는 언어에도 차이가 있다. 또한, 보안 관점에서 바라볼 때 IT 환경에서는 보안의 3요소 ICS에서 기밀성(Confidentiality)를 가장 중요하게 여긴다. 하지만 OT 환경에서는 가용성(Availability)를 가장 중요하게 여긴다. 자연스럽게 이렇게 되는 이유 중 하나는 OT 환경이 대부분 폐쇠망 환경으로 구성되어 있었기 때문이다. 여기서 폐쇠망은 외부와 직접적으로 연결되지 않은 환경으로 망의 내부에서만 통신이 이루어지고 외부로는 들어올 수도 나갈 수도 없는 환경이다. 즉, 외부와 단절된 환경인데 이러한 특징으로 외부로 부터 안전하기 때문에 기밀성 보다는 가용성을 중요하게 여기게 된 것이다.

하지만 여기까지는 과거의 이야기이고 현재는 조금 다른 환경이다. 사실 OT 환경은 폐쇠성을 통해 안전한 환경을 유지할 수 있었다. 외부에서 네트워크로 접근할 수 없으니 공격을 위해서는 직접 기관 내부로 들어가는 방법 뿐이었고 거기에 사용하는 언어에도 차이가 있어 공격자 입장에서 매우 까다로운 조건이었다. 이러한 조건에도 불구하고 유명한 스턱스넷(Stuxnet) 사건이 벌어지기도 했다. 스턱스넷은 마이크로소프트 윈도우를 통해 감염되며 위의 OT 환경 요소 중 SCADA를 감염 시킨다. SCADA는 작업 공정을 감시/제어 하는 시스템인데 해당 시스템이 감염되면 기계에 대한 제어과 모니터링을 할 수 있게 된다. 스턱스넷은이라는 이름은 코드 내부에 Stuxnet이라는 변수가 많이 사용되어 붙여진 이름이고 해당 웜 바이러스는 오직 OT 환경만을 노리고 만든 바이러스이다. 즉, 일반적인 개인용 PC에서는 감염되어도 아무런 일이 일어나지 않는다. 하지만 해당 바이러스는 수많은 PC를 감염시키고 결국 나탄즈 우라늄 농축 시설까지 감염에 성공했다. 정확히 해당 감염이 이루어진 결정적인 원인은 시슬 내부의 관계자가 외부에서 가져온 USB 메모리를 내부 시설 PC에 연결하였고 해당 USB 메모리는 스턱스넷에 감염된 상태였다. 그래서 해당 시설이 감염되었고 천천히 발전소의 가동률을 낮추고 높이는 등의 행위를 통해 수많은 제어봉을 파괴하였고 발전소의 가동률을 30% 까지 낮췄다.

스턱스넷의 사례로 폐쇠망이더라도 외부에서 내부로 접근할 수 있는 어떤 매체든 위험 요소가 될 수 있는 것을 알 수 있다. 하지만 현재 OT 환경은 과거와 다르다. OT 환경과 IT 환경이 결합된 상태로 운영된다. 즉, 외부에서 접근할 수 있는 방법이 생긴 것이다. 다음 내용으로 넘어가기 전에 간단히 IT와 OT 의 차이점을 아래와 같이 정리한다. 아래 표는 이글루시큐리티에서 재구성한 내용을 가져온 표이다.

구분		IT	OT
기본 관점	보안의 우선 순위	C > I > A	A > I > C
	위험에 노출되는 요소	데이터	물리적인 대상
	패치 사이클	빠름	상황에 따라 대응
목적 기반 기술	기본 전략	데이터 보호	프로세스 보호
	프로토콜	표준화	등록(독자적 방법)
	위험성 분석 방법	위협성 기반	취약성 기반
사이버 보안 전문성	경험	IT 스택에 특화	특정 산업에 특화
	인증	IT 전반	도메인에 특화

 

OT 환경은 퍼듀모델(Purdue Model)을 사용하여 환경이 구성되어 있다. 퍼듀모델은 다음과 같은 형태로 되어있다.

퍼듀모델(Purdue Model)

과거에 OT 환경은 Safety Zone 부터 Industrial Zone 까지로 이루어져 있었다. 해당만 구성된 OT 환경은 외부와 단절되어 비교적 안전한 환경을 운영할 수 있었다. 하지만 현재는 Industrial DMZ, Enterprise Zone 이 포함되어 IT 환경이 포함되어 운영된다. 직원들의 운영 관리를 위해 필요한 망으로 최근에는 코로나19로 인해 원격 근무가 요구됨에 따라 더욱 필요한 부분이다. 유지관리를 위해 외부에서 원격 접속 등 다양한 이유로 IT 환경이 필요하고 OT 환경의 안전성을 유지하기 위해 DMZ를 구성하여 위와 같은 환경 구조가 이루어진다.

하지만 이미 외부와 연결이 된 시점에서 외부에서 내부로 접근하려는 시도는 생길 수 밖에 없고 이제는 결고 안전하다고 할 수 없는 환경이 되었다. 국내에서는 에너지 산업에서 운영되던 OT 환경이 코로나 19 이후 디지털화하여 원격으로 근무가 실시되었고 그 결과 운영비가 절감되고 효율이 높이지는 등의 좋은 결과를 얻을 수 있었다. 이러한 좋은 결과를 바탕으로 앞으로 25억 개의 장비가 2년 안에 인터넷에 연결될 것이라고 한다. 하지만 편리성이 늘어남에 따라 보안 위협은 당연히 늘어날 수 밖에 없다.

이러한 OT 환경이 외부에 연결되려는 여러 이유들 중 하나로는 재생에너지 산업이 더욱 활발하게 진행되고 있기 때문이다. 기존에 사용하던 에너지에서 재생에너지로 전환하기 위해서는 디지털 기술에 대한 의존도가 상당이 높을 수 밖에 없다. 재생에너지로는 태양열, 풍력, 축전, 전기차 등의 에너지들이 있는데 이 에너지들의 특성 한 지역에 모여있는 구조가 아닌 여러 효과적인 지역에 퍼져있다. 기존에 사용하던 화력, 원자력 에너지는 특정 지역내에서 관리될 수 있었지만 재생에너지의 경우 쉽지않기 때문에 디지털 기술에 더욱 의존할 수 밖에 없다.

 

OT 환경의 핵심 요소인 OPC 프로토콜

OPC 프로토콜은 OLE for Process Control의 약자로 공정을 제어하는 모든 장비들 사이의 통신을 원활하게 해주는 국제 산업 표준 통신 규악이다. 기존에 OPC가 생기기 전에는 여러 산업 기기들을 연결하기 위해 고 비용의 인터페이스를 이용하여 연결했다. 해당 인터페이스의 라이선스 비용이 만만치 않았고 때문에 소규모, 후발 장비 제조사 등 진입 장벽에 큰 문제가 있었고 또한 HMI가 필요 없는 환경에서도 통신을 위해 비싼 값을 지불하여 라이선스를 구매해야 한다는 단점이 있었다. 이러한 문제점을 해결하기 위해 1996년 공정 제어 디바이스 간 통신 표준이 탄생하였고 그때 생긴 프로토콜이 OPC이다.

공정의 장비가 OPC 프로토콜을 사용한다면 다른 어떤 OPC를 사용하는 프로토콜에도 연결할 수 있는 장점이 있다. OPC의 간단한 구조는 OPC 서버를 기준으로 명령을 내리는 클라이언트와 명령을 수행하는 디바이스로 나눠진다. 클라이언트가 서버로 명령을 전달하면 서버는 연결된 디바이스들에게 명령을 수행하도록 전달하여 공정의 다수의 기기를 제어하고 관리할 수 있는 것이다.

이렇게 편리한 OPC는 OT 환경에서 아직까지 유용하게 사용중이다. 하지만 최근 이슈에 따르면 OPC 프로토콜에 다수의 취약점이 발견되었다고 한다. 해당 취약점에 영향을 받는 벤더사들은 세 곳으로 이 세 곳에서 만들어진 제품들은 서드파티 요소로 널리 사용중이여서 이번 취약점들의 영향력은 광범위하다고 한다.

취약점들이 익스플로잇 됐을 때 생길 수 있는 문제로는 디도스, 원격 코드 실행, 정보 유츨 및 탈취 공격에 노출된다고 한다. 전부다 크리티컬한 공격들이다. 발견된 취약점들에 대해서는 현재 패치가 완료된 상태로 제품을 사용하는 산업에서는 신속히 패치를 할 필요가 있다. 해당 취약점들은 공격의 강도는 강력하지만 취약점을 익스플로잇 하기는 쉽다고 한다. OPC 프로토콜의 작동 원리를 어느 정도 이해하는 사람이라면 충분히 익스플로잇 할 수 있는 수준이라고 하니 신속한 패치가 필요할 듯 하다. 취약점이 발견된 제품의 기업은 소프팅 인더스트리얼 오토메이션(Softing Industrial Automation GmbH), 켑웨어 PTC(Kepwre PTC), 마트리콘 허니웰(Matrikon Honeywell)이다.

소프팅에서 발견된 취약점은 버퍼오버플로우 취약점으로 익스플로잇 시 OPC의 가동이 멈춘다. 캡웨어 경우 두 개의 취약점이 발견되었는데 하나는 버퍼 오버플로우, 다른 하나는 UAF(Use After Free) 취약점이다. UAF 취약점은 메모리의 Heap 영역에서 발생하는 취약점으로 메모리를 Free 함수로 해제하고 다시 사용할 때 발생하는 취약점이다. 마지막으로 마트리콘 허니웰에서는 총 네 개의 취약점이 발견되었다. 각각 힙 오버플로우, 힙 아웃오브바운드 메모리 취약점, 디도스 취약점 이며 원격 코드 실행과 디도스 공격이 가능한 취약점들이다. OT 환경에서는 가용성을 중요시 하는 만큼 도스 공격의 경우 매우 치명적일 수 있다.

 

OT 보안

외부에서 OT 환경으로 접근할 수 있는 여지가 생긴 시점에서 OT 환경에서 사용하는 여러 취약점들은 치명적으로 다가올 수 있다. 또한 IT 환경에서 발생 가능한 보안 위협이 OT 환경에 까지 전이시키는 문제가 생길 수 있다. OT 환경으로 이루어진 시설에는 사회 기반 시설도 포함되어 있기 때문에 공격자들의 타겟이 될 경우 사회 기반 시설 중단, 금전적 피해, 직간접적 인명 피해, 나아가 사회 혼란까지 매우 심각한 문제를 일으킬 수 있다. 때문에 OT 환경에 대한 보안에 더욱 신경 써야할 필요가 있다.

OT 환경에서 보안을 위해서는 보안 관리체계를 수립하고 관리하는 여러 시스템에 대한 상세한 정보와 가시성을 확보해야 한다. 또한 보안 이키텍처를 수립하여 최적의 보안 솔루션을 사용하고 모니터링, 대응 업무등을 강화해야할 필요가 있다.

 

관련자료

One Step Ahead 이글루시큐리티 (igloosec.co.kr)

One Step Ahead 이글루시큐리티

OT 네트워크의 핵심 요소인 OPC 프로토콜에서 취약점 다수 나와 (boannews.com)

OT 네트워크의 핵심 요소인 OPC 프로토콜에서 취약점 다수 나와