미국 최소 7개 주의 수도 시스템이 공격을 받아 운영에 차질이 생겼습니다. 공격자들은 인터넷에 연결된 산업용 제어 장치(PLC)에 원격으로 침입했으며, 이란과 연계된 해커 조직이 조사 대상입니다. Honeywell이 주요 기반시설 보안 담당자 603명을 조사한 결과, 냉방·소방·출입통제·엘리베이터 같은 건물 자동화 시스템(BAS)의 76% 이상을 상시 모니터링하는 조직은 16%에 불과했습니다. 자산 목록을 완전히 갖춘 조직은 21%에 그쳤지만, 포괄적 목록을 보유한 조직은 사고 발생 시 6시간 내 복구 비율이 그렇지 않은 조직보다 17%포인트 높았습니다. 또한 보안 감사를 통과한 조직과 그렇지 않은 조직의 사고 발생률이 거의 같아, 규정 준수만으로는 실질적 방어가 어렵다는 점이 드러났습니다.
미국 수도 시스템 7개 주 이상에서 인터넷 연결 PLC(산업용 제어 컴퓨터)가 해킹되어 모니터링·운영 기능이 저하됐으며, 이란 연계 해커 관여 가능성이 수사 중이다.
수도 운영 중단 외에도, 건물 자동화 시스템(냉방기·소방 패널·카메라 등)의 대부분이 상시 감시 밖에 있어 서버실 냉각 중단처럼 IT 인프라 전체로 피해가 확산될 위험이 있다. 평균 다운타임은 16.2시간에 달했다.
건물 자동화 계층에 대한 모니터링 부재, 불완전한 자산 목록, 인증·암호화 없이 설계된 레거시 제어 장비가 주요 원인이다.
백업 테스트, 문서화된 대응 절차, 명확한 소유권 지정이 복구 속도를 높이는 데 효과적이었다. 레거시 장비 패치는 계획된 다운타임이나 벤더 협력이 필요하다.
완전한 자산 목록 확보가 핵심이다. 존재를 모르는 장치는 격리할 수 없고, 의존 관계를 모르면 차단 시 부수적 피해를 예측할 수 없다. 규정 준수 통과 여부보다 실제 자산 파악·모니터링·복구 훈련이 실질적 방어력을 결정한다.
본문
8월 초까지 공격자들은 미국 최소 7개 주의 수도 시스템을 침해했다. FBI와 EPA에 따르면 침입자들은 인터넷에 노출된 PLC(프로그래머블 로직 컨트롤러, 펌프·밸브를 제어하는 소형 산업용 컴퓨터)에 원격으로 접근했다. 운영 담당자들은 모니터링이나 제어 기능을 잃었고, 일부 경우 수도 운영이 저하됐다. 연방 수사관들은 이란 지원 해커와의 연관 가능성을 조사하고 있다.
OT(운영 기술) 보안 프로그램은 바로 이런 제어 장치를 보호하기 위해 만들어졌다. 냉방기, 소방 패널, 출입 카드 리더기, 엘리베이터, 카메라는 그보다 한 단계 위에 위치한다. 이들은 물리적 환경과 출입을 제어하며, 냉방기가 멈추면 해당 냉방기가 유지하던 서버까지 함께 다운된다.
Honeywell Technologies는 5월과 6월에 주요 기반시설 분야의 보안·리스크·운영 리더 603명을 대상으로 설문조사를 실시했다. 대부분의 조직은
건물 계층을 감시하는 프로그램은 드물다
응답자 중 단 16%만이 시설 전반의 냉난방·조명 등을 제어하는 소프트웨어인 건물 자동화 시스템(BAS)의 75% 이상을 상시 모니터링하고 있었다. 카메라·온도조절기 같은 연결된 IoT 기기의 경우 그 비율은 20%다. 상시 모니터링이란 감사 기간에만 확인하는 것이 아니라, 장치의 트래픽과 행동을 항상 감시하는 것을 의미한다. 조사 대상 대부분의 조직에서 건물 계층의 상당 부분은 적어도 부분적으로 이 시야 밖에 놓여 있다.
응답자의 88%는 자신들의 프로그램이 계획 또는 설계 단계에 있다고 설명했다. 네트워크에 연결된 모든 것을 정리한 완전한 자산 목록을 보유한다고 답한 비율은 21%에 그쳤다. 계획, 예산, IT와의 협업 체계를 갖추고 있어도 현장 데이터 센터를 냉각하는 냉방기 컨트롤러를 놓칠 수 있다.
자산 파악은 빠른 복구와 연관된다
응답자들이 겪은 가장 심각한 사고의 평균 다운타임은 16.2시간이었다. 심각한 사고를 경험한 응답자들은 자산 목록 보유 여부에 따라 나뉘었다. 포괄적 또는 상당한 수준의 목록을 갖춘 조직에서는 42%가 6시간 내에 복구했다. 보통 수준이거나 부분적이거나 공식 목록이 없는 조직에서는 그 비율이 25%였다.
이 17%포인트 차이는 느슨하게 해석해야 한다. 목록 미비 그룹은 91명으로, 약 350명인 목록 보유 그룹에 비해 표본이 작다. 또한 이 설문은 상관관계를 보여줄 뿐, 자산 목록이 다운타임을 단축시킨다는 증거는 아니다. 자산 목록이 잘 갖춰진 조직은 단순히 다른 모든 면에서도 잘하고 있을 수 있다. 그럼에도 논리는 명쾌하다. 장치의 존재를 모르는 대응 담당자는 그것을 격리할 수 없고, 무엇이 그 장치에 의존하는지 모르는 사람은 전원을 끊었을 때 무엇이 망가질지 예측할 수 없다. 이 수치에서 한 가지 교훈을 꼽는다면, 자신이 보유한 자산을 파악하고 있던 팀이 빠르게 복구할 가능성이 높았다는 점이다.
감사 통과 여부는 피해 여부를 예측하지 못했다
모든 규정 준수 감사를 통과한 조직과 지적 사항이 있는 조직의 심각한 사고 보고 비율은 각각 74%와 73%로 거의 동일했다. 보고서는 이 부분에서 신중한 태도를 취한다. 이 결과는 규정 준수가 예방 효과가 없다는 것을 보여주는 것이 아니라, 감사 통과 여부가 사고 경험 여부를 가르지 못했다는 의미다. 감사를 통과한 조직은 복구 자신감이 더 높았다. 테스트된 백업, 문서화된 대응 절차, 명확한 소유권 지정은 감사 증거이자 동시에 압박 속에서 시스템을 복구하는 데 실질적인 도움이 된다.
완전히 준비됐다고 답한 응답자는 31%에 불과하며, 나머지 대부분은 계획의 일부가 아직 실행되지 않았거나 테스트되지 않았음을 의미하는 '대부분 준비됨' 상태라고 답했다. 노후 장비가 가장 많이 언급된 장벽이다. 많은 레거시 컨트롤러는 독립적으로 운영되도록 설계됐으며, 인증이나 암호화가 없는 프로토콜을 사용한다. 이런 장비를 패치하려면 계획된 다운타임이나 벤더와의 협의가 필요할 수 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
