[포커스온] IT와 경계 허물어진 OT 영역, 어떻게 지켜야 할까?
상태바
[포커스온] IT와 경계 허물어진 OT 영역, 어떻게 지켜야 할까?
  • 석주원 기자
  • 승인 2021.09.07 11:16
  • 댓글 0
이 기사를 공유합니다

보안업계가 주목하는 미래 시장, OT 보안

산업 보안의 유래는 인류가 경제 개념을 갖추기 시작할 무렵까지 거슬러 올라가야 할 만큼 오래된 역사를 갖고 있지만, 우리나라에서 산업 보안의 개념이 본격적으로 사용되기 시작한 것은 1980년대로 보고 있다. 우리나라 경제가 급격히 성장하며 기술 개발에 투자할 여력이 생기기 시점과 맞물린다.

산업 보안은 넓은 의미에서 산업 현장에서 발생할 수 있는 모든 사고를 포함하지만, 1999년 국가정보원은 “산업 활동에 유용한 기술상, 경영상의 모든 정보나 인원, 문서, 시설, 자재 등을 산업 스파이나 경쟁 관계에 있는 기업은 물론이고 특정한 관계가 없는 자에게 누설 또는 침해당하지 않도록 보호·관리하기 위한 대응 방안이나 활동”으로 정의했다. 그리고 현재 산업 보안의 개념은 OT(Operational Technology) 보안으로 재정립돼 기업들에게 새로운 보안 시스템 구축을 요구하고 있다.

 

Operational Technology와 OT 보안

OT 보안을 살펴보기 위해서는 먼저 OT가 무엇인지부터 짚고 넘어가야 한다. OT 혹은 ‘운영 기술’은 기업이 생산 활동을 하는데 사용하는 자산을 운영하는 모든 기술이라고 설명할 수 있다. 가장 자주 인용되는 가트너의 OT 정의는 “산업 장비, 자산, 프로세스 및 이벤트를 직접 모니터링 혹은 제어함으로써 변화를 감지하거나 유발하는 하드웨어와 소프트웨어”로 명시돼 있다.

OT의 개념은 IT 산업의 발전과도 밀접한 관계가 있다. IT의 발전은 산업 현장에 많은 영향을 끼쳐 거의 모든 분야에서 생산성을 비약적으로 향상시키는 효과를 내고 있다. 그런데 산업 현장에서 활용되는 IT는 우리가 일상에서 접하는 IT와는 기술적 혹은 기능적인 부분에서 차이가 있다. 그래서 산업 현장에서 사용하는 IT를 특정하기 위해 사용되기 시작한 용어가 OT다.

과거의 산업 보안과 OT 보안을 비교했을 때 가장 큰 차이점은 산업 보안이 기술의 유출 방지에 초점을 맞춘 반면, OT 보안은 비즈니스 연속성에 무게 중심을 두고 있다는 데 있다. 즉 테러, 해킹, 혹은 안전 사고 등으로 인해 산업 시설이 멈춰 손실이 발생하는 것을 최소화하는 것이 OT 보안의 핵심이다.

예를 들어, 작년 11월에 발생한 이랜드 그룹의 랜섬웨어 감염 사건은 OT 보안에 구멍이 뚫린 대표적인 사례다. 당시 이랜드는 그룹사 네트워크가 랜섬웨어 감염되면서 그룹이 운영하는 오프라인 매장의 시스템이 마비됐다. 이로 인해 이랜드 계열 오프라인 매장 48곳 중 23곳의 영업이 중단돼 막대한 손실을 입었다. 이처럼 운영 기술 혹은 시스템에 사고가 생겨 피해가 발생하는 것을 방지하는 것이 바로 OT 보안의 역할이다.

 

퍼듀 모델로 보는 OT 환경 구조

일반적으로 OT 환경은 퍼듀(Purdue) 모델로 설명된다. 퍼듀 모델은 1990년대 기업 구조에 대한 참조 모델로 제시된 ‘Purdue Enterprise Reference Architecture(PERA)’에 기반을 두고 있다.

PERA는 퍼듀대학의 시어도어 J. 윌리엄스(Theodore J. Williams) 교수와 산업계 퍼듀대학 컨소시엄 회원들에 의해 개발됐는데, 시간이 지나면서 내용이 추가돼 점차 구조가 복잡해졌다. 이후 산업 자동화 및 제어 시스템 보안에 대한 표준을 개발하는 ISA-99 위원회가 OT 환경과 보안 문제를 설명하기 위해 PERA를 기반으로 하는 퍼듀 모델을 제시했으며, 현재 여러 곳에서 OT 환경을 설명할 때 이를 인용하고 있다.

퍼듀 모델을 통한 OT 환경 표현(출처: 시스코/이글루시큐리티 재구성)
퍼듀 모델을 통한 OT 환경 표현(출처: 시스코/이글루시큐리티 재구성)

퍼듀 모델에 따르면 OT 환경은 레벨 0부터 5까지 6단계로 구성돼 있다. 레벨 0부터 3까지는 산업 영역으로 폐쇄적인 OT 네트워크로 연결되어 외부와 단절된 구간이다. 레벨 4와 5는 외부와 연결되어 있는 IT 영역으로 엔터프라이즈 영역으로도 부른다.

레벨 0은 프로세스(Process) 영역으로 각종 센서, 액추에이터, 펌프, 밸브 등 산업 현장의 필수 장비들이 위치하는 구간이다. 이 영역에서 문제가 발생할 경우 산업 시설이 멈추는 심각한 피해로 이어진다.

레벨 1은 기본 통제(Basic Control) 구간이다. 필수 장비를 조작하는 PLC(Programmable Logic Controller), 가변 주파수 드라이브(Variable Frequency Drive, VFD), 전용 비례 적분 파생 제어기(Proportional-Integral-Differential controller) 등 제어 시스템이 이 레벨에서 동작한다.

레벨 2는 영역 감독 통제(Area Supervisory Control) 구간으로 특정 영역을 관리 감독하는 시스템들이 이곳에 위치한다. 현장에서 문제가 발생했을 때 이 레벨에서 시스템을 중지하거나 가동시킬 수 있다.

레벨 0부터 2까지의 구간을 묶어 Cell/Area 구역으로 구분하며 산업 현장에서 각각의 분리된 파트를 운영하는 설비와 시스템을 제어하고 관리하는 영역이라고 할 수 있다.

레벨 3은 현장 운영 관리(site manufacturing operations and control) 영역이다. 레벨 2가 특정한 파트에 한정적으로 관리 감독을 한다면 레벨 3에서는 현장 전체에 대한 관리 감독을 수행한다.

산업 시설 전체를 연결하는 폐쇄망과 각종 자원들도 이 레벨에서 관리되며, 사실상 이 레벨이 OT 영역이라고 할 수 있다. 레벨 0부터 3까지가 일반적으로 산업 구역(Industrial Zone)에 속한다.

앞서 언급한 것처럼 레벨 4와 5는 IT 영역이다. 레벨 4는 현장 사업 계획 및 물류 네트워크(Site Business Planning and Logistic Network)로 레벨 3까지의 산업 현장을 지원하는 외부 자원, 인터넷, 외부 데이터센터, 각종 애플리케이션 및 클라이언트들이 모여 있다.

레벨 5는 엔터프라이즈 네트워크(Enterprise Network)로 각각 개별 생산 시설을 통합하고 기업을 운영하는데 필요한 데이터를 구축해 관리하는 역할을 수행한다.

 

IT와의 결합으로 위협에 노출된 OT 영역

대부분의 기업 보안 침해 사고는 IT 영역에서 발생한다. OT 영역은 이론적으로 외부와 완전히 단절된 폐쇄망 형태로 운영되기 때문이다. 이 폐쇄망에 접근하기 위해서는 물리적인 보안 시스템을 거쳐야 하므로 허가받지 않은 사람이 폐쇄망에 접속하는 것은 사실상 어려운 일이다. 하지만 폐쇄망을 운영하는 주체도 사람이다 보니 사람의 실수 혹은 고의에 의한 보안 사고가 종종 발생한다.

2010년 전 세계를 떠들썩하게 만들었던 웜 바이러스 스턱스넷 사건이 관계자의 부주의로 인해 발생한 대표적인 OT 침해 사례다. 스턱스넷은 마이크로소프트 윈도우 OS를 통해 전파되지만 특정한 산업용 시스템만 피해를 입히도록 개발됐다. 일반 PC는 스턱스넷에 감염돼도 아무런 피해를 입지 않는다.

이 스턱스넷이 가장 많이 퍼진 나라는 이란이었는데, 당시 이란 핵 시설에 전파돼 약 1000개가량의 원심분리기를 파손시킨 걸로 추정되고 있다. 알려진 바로는 핵 시설 관계자가 집에서 가져온 USB 메모리를 폐쇄망에 연결하면서 스턱스넷 바이러스에 감염됐다고 한다.

이처럼 사용자의 부주의에 의한 경우를 제외한다면 폐쇄망은 안전하게 보호받을 수 있었다. 그러나 IT의 발전은 산업 전반에 큰 영향을 미치기 시작했고, 점차 OT 영역과 IT 영역이 겹치는 구간이 발생하기 시작했다.

기업은 최고의 생산성을 위해 IT와 OT의 접목을 적극적으로 시도하기 시작했는데, 퍼듀 모델에서는 이 영역을 레벨 3.5 ‘산업 비무장지대(Industrial DMZ)’라고 표현한다. 이곳에서는 망연계 솔루션 같은 보안성을 갖춘 연결 방법을 통해 OT 영역과 IT 영역의 데이터를 공유한다.

이러한 완충 공간은 OT 영역의 강력한 보안성은 유지하면서 IT 영역의 유용한 자원을 도입하기 위해 고안된 최선의 선택이지만, 외부 공격자로 하여금 물리적인 방법 외에도 OT 영역에 접근할 수 있는 통로로 이용되기도 한다. 더욱이 코로나19로 인한 기업들의 디지털 전환 가속화는 더 많은 OT 영역을 IT 영역에 노출시키는 상황을 만들어냈다.

 

IT와는 다른 OT 보안 대책

OT는 IT와는 시스템 환경이 다르기 때문에 보안 시스템에서도 차이가 발생한다. OT 영역의 특정 시스템에서만 작동하는 스턱스넷 웜바이러스가 좋은 예다. 이글루시큐리티의 이규환 전략기획팀장은 본지 기고를 통해 OT 보안의 핵심 과제로 보안 관리 체계 수립, 가시성 확보, 보안 아키텍처 수립을 꼽은 바 있다.

보안 관리 체계는 관리 인력과 프로세스가 체계적으로 운영되는지를 살펴야 하고, 가시성 확보는 운영하는 시스템의 동작 환경이 투명해 문제 발생 시 바로 파악할 수 있어야 함을 의미한다. 보안 아키텍처 수립은 OT 보안에 최적화된 보안 솔루션 구축과 함께 IT 보안 기술까지 아우를 수 있어야 하고, 보안 사고 발생 시 빠르고 정확한 대응을 하는데 초점을 둬야 한다.

과거의 사이버 공격은 대체로 피해를 발생시키는 데 그쳤다면, 최근의 사이버 공격은 공격을 통한 구체적인 이득을 취하는 방식으로 변화하고 있다. 몇 년 사이 빠르게 확산되고 있는 랜섬웨어가 그 중심에 있다. 그리고 이러한 사이버 공격은 많은 돈을 보유하고 있는 기업을 노리고 있다.

사이버 테러의 위협을 흥미롭게 그려 낸 영화 ‘다이하드 4.0'
사이버 테러의 위협을 흥미롭게 그려 낸 영화 ‘다이하드 4.0'

더 큰 문제는 OT 영역을 노리는 사이버 공격이 단순한 재산 피해뿐 아니라 사람들의 불편을 초래하거나 심각할 경우 인명 피해를 발생시키기도 한다는 데 있다. 올해 5월 발생한 미국 최대의 정유회사 해킹 사건은 회사의 재산에만 피해를 준 것이 아니라 해당 송유관으로 석유를 공급받는 지역의 주민들에게도 피해를 끼쳤다.

만약 이러한 공격이 일반 기업이 아닌 사회 기반 시설을 관리하는 공기업이나 정부 기관에서 발생한다면 심각한 인명 피해로 이어질 가능성도 배제할 수 없다.

이처럼 OT 보안의 중요성이 점차 커져가면서 보안기업들의 행보도 바빠졌다. 국내 대표 보안기업인 안랩은 지난 7월 OT 보안 솔루션 전문기업 나온웍스의 지분 60%를 인수해 OT 보안 역량 강화에 나섰고, 이글루시큐리티도 OT와 IT 영역을 포괄하는 보안관제 솔루션 ‘스파이더 OT(SPiDER OT)’를 출시해 관련 시장에 대응하고 있다. 그룹 내 정보 보안 기업 인포섹과 합병한 ADT캡스는 양사의 역량을 결합한 OT 보안 컨설팅과 솔루션 구축 사업을 전개하는 등 OT 보안이 향후 보안 산업의 가장 중요한 시장으로 떠오르고 있다.



댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
0 / 400
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.