표준·범용화로 감시 제어망 '스카다 프로토콜' 취약점
'SHODAN.com' 에 이미 수십만개 제어시스템 올라와
'SHODAN.com' 에 이미 수십만개 제어시스템 올라와
■ 긴급진단 흔들리는 사이버안보
(중) 제어시스템 사이버공격 얼마나 위험하나
한국수력원자력에 대한 해커의 2차 파괴 협박이 일단 무위로 돌아갔다. 정부와 한수원 측은 가슴을 쓸어내리면서도 비상 경계태세를 풀지 않고 있다. 그러나 한수원은 한편으로 "설령 도면이 유출됐다 하더라도 이를 해커가 사이버테러에 악용하기는 사실상 불가능하다"고 강조한다. 원전 제어시스템의 구조를 자세히 알아야 테러할 수 있는데, 해커는 사이버 공격은 할 줄 알아도 원전 제어시스템에 대해선 모르기 때문에 실상 물리적 타격과 같은 심각한 위협은 미칠 수 없다는 것이 한수원 측의 해명이다.
그러나 전문가들은 이러한 안일한 발상이 오늘의 사태를 불렀다고 일침을 가한다. 공격 위협 역시 자료유출이나 개인정보 유출과 같은 사이버 공격에 그치는 것이 아니라 제어시스템 과부하나 파손, 시동 중단과 같은 물리적 파괴 가능성도 충분히 존재하는 것으로 전문가들은 판단하고 있다.
특히 한수원과 같은 발전소뿐만 아니라 전력, 교통, 상수도, 도시가스, 지하철 등 국가기반시설과 자동차 생산 등 대형 제조시설의 공장자동화, 대형 건물에 대한 빌딩 자동화 시스템 등에 모두 제어시스템이 '두뇌' 역할을 하고 있는데, 이 제어시스템들도 이번 한수원 사태와 같은 위협에 직면해 있다. 폐쇄 환경으로 운영되던 제어시스템이 개방 표준화, 범용화로 외부 침투 경로가 늘어나고 이로 인한 취약점이 빠르게 증가했기 때문이다.
글로벌 취약점조사보고사이트 OSVD(Open Sourced Vulnerability DataBase)에 따르면 올해 4분기까지 제어시스템에 대한 취약점은 200여건에 육박하는 것으로 나타났다.
특히 취약성 탐색 기술이 고도화되고 폐쇄망 감시제어 네트워크인 스카다(SCADA) 프로토콜에 대한 취약점이 다수 발견되고 있다. 이는 개방화, 표준화, 범용화 된 제어시스템을 해커들이 노리고 제어시스템을 장악하기 위해 보다 교묘한 수법으로 침투를 시도하고 있다는 의미다.
제어시스템이 '폐쇄망'이라는 생각도 한시바삐 버려야 한다. SHODAN.com이라는 사이트에는 전세계 제어기기 원격 감시나 자동화 실행처리 상황 감시 등을 위한 인터넷 연결 상태가 실시간으로 공개되고 있다.
이미 해당 사이트에서 전세계 기반 설비 중 수십만대의 제어시스템이 발견된 것으로 나타났다. 한수원이 '원전 제어시스템은 완전한 폐쇄망이어서 안전하다'는 말도 무위로 돌아간 셈이다.
그렇다면 해커가 '절대 알 수 없다'던 '복잡한' 제어시스템을 사이버 공격만으로 파괴하는 것이 가능할까. 결론은 '가능하다'이다.
2010년 이란 핵발전소에 대한 스턱스넷 공격이 대표적인 예다. 당시 해커는 독일 지멘스의 원격감시소프트웨어 취약점을 악용해 데이터 변조를 시도하는 SQL 명령을 내렸다. 그 결과 이란 핵발전소 내부 시스템에 바이러스가 확산됐으며 발전소 중단으로 국가적으로 큰 타격을 입었다. 이란은 이 시스템을 복구하는데 2년이 걸린 것으로 알려졌다.
자동차나 선박과 같은 대형 제조시설의 경우 잘못된 생산명령을 내리도록 해커가 조작해 수출과 내수, 안전에 심각한 타격을 입힐 수도 있다.
생산시설 직원의 PC 등을 지능형지속위협(APT) 공격으로 뚫어 내부 시스템에 접근한 뒤 생산관리 계획, 제조관리와 같은 업무 서버에 접근하고 권한을 탈취하면 이러한 불량 제조 명령을 내릴 수 있다.
산업보안 전문가는 "해커가 공장 엔지니어링 툴에 접근해 품질관리 서버나 설비관리 서버를 해킹한 후 설계 로직 조건을 불량으로 생산하도록 갱신하면 공장 전체가 불량품 생산 공장으로 순식간에 바뀔 수 있다"고 설명했다.
제어 시스템에 이상 코드를 전송해 시스템 부하를 일으켜 멈춰 세우는 것도 가능하다.
특히 발전소나 교통운영시스템 등 안전과 밀접한 관련이 있는 국가기반시설 제어시스템의 경우 이상 코드가 전송되면 안전을 위해 시스템이 멈춰서게 되는데, 이 경우 해커가 내부를 장악하게 되는 것이다. 산업보안 전문가는 "제어시스템은 '폐쇄성'을 맹신하고 가용성을 우선순위에 두고 있기 때문에 정보보호 대책이 설령 있다 하더라도 최신 정책이 아니며, 최근 개방화, 표준화, 범용화에 대한 대비도 제대로 이뤄지지 않은 상태"라며 "이번 한수원 사태를 계기로 국가기반시설 전반과 산업설비에 대한 전면 재검토가 이뤄져야 한다"고 목소리를 높였다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
