본문 바로가기

Security Indicator/Insight

분석(8) 다이하드4.0 과 Cyber Terror

 

바다란 입니다.  색이 다른 부분은 전부 2002년의 공개 문서의 내용을 발췌한 내용입니다. ^^

 

 

<http://movie.naver.com/movie/bi/mi/photo.nhn?code=40133&mb=c&page=1#ps 참고>

 

항간에 다이하드 4.0의 직접적인 해킹 이슈가 화제가 되고 있습니다. 이미 여러 게시물들에서 관련 내용이 언급 되어 추가적인 언급이 불필요한 상황이 되었습니다만 전체적으로 어떤 이슈들이 있는지 살펴 보는 것도 의미 있는 일이 아닐까 생각 됩니다. 지금에 이르러서는 이러한 공격 유형 들이 실제적으로 피해를 입힐 수도 있다고 봅니다. 그렇다면 대응방안은 무엇이고 무엇을 고려해야 하는지에 대해서도 알아야 된다고 생각 됩니다.

 

영화상에서 보면 주요 기반시설(에너지 ,전력 ,교통)에 대한 통제가 나옵니다. 이게 불가능한 것이냐? 그렇지 않다고 봅니다.

간단한 예들도 이미 존재하고 있으며 그만큼 위험한 상황속에서 ( 몇몇만 인지하는 위험) 불안한 안정상태를 유지하고 있다고 봅니다.  실제로 IT화로 집중화된 통제방안을 도입하여 운영할 경우 영화상에서 나온 위험에 직접 노출이 될 수도 있다고 봅니다. 별도의 네트워크망이라 하여도 어딘가에는 연결이 가능한 접점이 존재하고 사용자의 PC를 공격하던 어떤 유형이든 접근 가능한 경로가 존재 할때에 반드시 발생될 문제입니다.  예전의 간단한 기반시설의 위험에 대한 예를 들면 다음과 같습니다.

 

침해사례

------------------

1.Counterterrorism analysts have known for years that terrorists often prepare for attacks with elaborate "targeting packages"of photographs and notes. But, in January, U.S. forces in Kabul, Afghanistan, found something new. A computer seized at an al Qaeda office contained models of a dam, made with structural architecture and engineering software, that enabled the planners to simulate its catastrophic failure. Bush administration officials, who discussed the find, declined to say whether they had identified a specific dam as a target. The FBI reported that the computer had been running Microstran, an advanced tool for analyzing steel and concrete structures; Autocad 2000, which manipulates technical drawings in two or three dimensions; and software "used to identify and classify soils,"which would assist in predicting the course of a wall of water surging downstream. To destroy a dam physically would require "tons of explosives,"Assistant Attorney General Michael Chertoff said a year ago. To breach it from cyberspace is not out of the question.

http://www.washingtonpost.com/ac2/wp-dyn?pagename=article&node=&contentId=A50765-2002Jun26&notFound=true

 

지난 아프가니스탄 전쟁 중 알카에다의 기지로 보이는 곳에서 알카에다 조직원의 소유로 보이는 노트북에서 cyber terror에 이용될 수 있는 소프트웨어와 댐의 모형물을 발견했다. 노트북에서 발견된 소프트웨어는 금속과 콘크리트 구조물을 분석하기 위한 툴인 Microstran 프로그램과 댐의 모형을 2D, 3D 형태로 구축하여 가장 피해를 많이 입히기 위한  물의 흐름을 예상하기 위해 사용한 autocad 2000 프로그램을 발견 하였다. 실제 댐을 폭파 시키기 위해서는 수백톤의 폭약과 삼엄한 경계를 뚫어야 하는 위험 부담이 있었지만  Cyber 에서는 그럴 필요가 없었다.  이 사건을 계기로 지난 9월 경에 발표된 미 대통령 직속의 기반시설 보호팀에 의해 중요기반시설에 대한 보안책을 발표 하게 된 계기로 볼 수 있다.

 

 

2. In 1998, a 12-year-old hacker, exploring on a lark, broke into the computer system that runs Arizona's Roosevelt Dam. He did not know or care, but federal authorities said he had complete command of the SCADA system controlling the dam's massive floodgates. Roosevelt Dam holds back as much as 1.5 million acre-feet of water, or 489 trillion gallons. That volume could theoretically cover the city of Phoenix, down river, to a height of five feet.

http://www.itsa.org/ITSNEWS.NSF/4e0650bef6193b3e852562350056a3a7/3f141fc26dcebd5a85256be600617016?OpenDocument

 

1998 12세의 해커는 장난 삼아  애리조나의 루즈벨트 댐의 컴퓨터 시스템에 침입을 했다. 연방기관은 12세의 해커는 댐의 수문을 조종하는 SCADA system에 대한 완전한 제어 명령을 알고 있었다고 발표했다.  루즈벨트 댐은 489조 갤런의 물을 담고 있었으며  이정도의 양은 400만 이상이 살고 있는 피닉스 시티와 그 일대를 5 피트 정도의 높이로 덮고 흐를 수 있는 양이다.

 

 

3. In Queensland, Australia, on April 23, 2000, police stopped a car and found a stolen computer and radio transmitter inside. Using commercially available technology, Vitek Boden, 48, had turned his vehicle into a pirate command center for sewage treatment. Boden's arrest solved a mystery that had troubled the area's wastewater system for two months. Somehow the system was leaking hundreds of thousands of gallons of putrid sludge into parks, rivers and commercial properties. Until Boden's capture -- during his 46th successful intrusion -- the utility's managers did not know why. Specialists in cyber-terrorism have studied Boden's case because it is the only one known in which someone used a digital control system deliberately to cause harm.

http://www.theregister.co.uk/content/4/22579.html

 

앞의 1,2 번 예는 실행 되기 전의 예이지만  호주의 퀸즈랜드에서 2000 4월에 발생한 사건은 실제적인 SCADA 시스템에 대한 침입으로써 중요한 사례를 제시하고 있다.

 훔친 컴퓨터와 무선전송기와 자동차를 전송매개체로  사용하는 방법을 이용하여  폐기물 처리 회사의 자동화된 시스템을 제어하여 호수와 공원 , 상업지역외에 여러 곳을 오염시킨 혐의로 체포 되었다. 체포되기 이전까지  2달 동안 40여회 이상의 침입을 하여  폐기물을 싣고 가는 차량을 제어하여 폐기물을 쏟아 붓도록 만들었는데 시스템 관리자는 이런 침입 사실 조차도 몰랐다고 한다.  이 경우는  성공한  제어시스템에 대한  첫번째 공격으로 기록되어 있으며 앞으로 많은 사건들이 일어날 가능성을 예고하고 있다.

------------------

 

추가적으로 4번의 예를 들면 올해들어 발생된 에스토니아의 경우를 들 수 있습니다.

http://www.hankyung.com/news/app/newsview.php?aid=2007062556301

소국이다 보니 전체적으로 IT화 비율이 높았는데 대규모 DDos 공격으로 몇 주간 모든 상업 및 경제 활동이 전면마비 상태로 돌입된 기사입니다. 미국의 국토안보부나 FBI에서 분석인력을 파견한다는 기사도 있었습니다.

 

위와 같은 샘플 케이스들이 이미 존재하고 있습니다.  7~8년 전의 상황에서도 이미 문제들이 발견 되었는데 그 동안의 IT 기술의 발전은 전 사회의 영역에 영향을 크게 미치고 있습니다. 변화상도 많고 다양할 것이고 지금에 이르러서는 샘플 케이스 보다 더 심각한 상황들이 다수 나타날 수 있을 것 같습니다.

 

영화에서 나타난 전체적인 컨트롤은 현재 상태에서는 불가능 하나 일부 부분적인 문제들은 나타날 수 있다고 봅니다. 단 환경의 변화에 따라 중앙통제가 일반화될 경우에는 문제의 양상이 달라질 것이고 실제화된 위협으로 나타날 수 있습니다.

 

기반시설을 통제하는 장비들은 일반적으로 DCS SCADA라는 용어로 총칭을 합니다. 예를 들면 Embedded Platform을 사용하는 장비라고 볼 수도 있을 것입니다.  ( DCS: Distributed control system , SCADA: Supervisory Control And Data Acquisition )  영화에 나오는 시설물에 대한 제어는 하위에 존재하는 DCS SCADA를 통제하는 상위 기능에서 사용하는 패널들을 주로 보게 됩니다.

 

기반시설을 통제하는 장비에 대해서 일반인들이 가지는 오해는 다음과 같은 오해가 있습니다.

 

오해

 

1.      제어시스템은 물리적으로 분리된 독자적 네트워크 상에 존재한다

 

일반적으로 분리된 독자적 네트워크 상에 존재하는 것은 사실이다. 그러나 아주 적게나마 원격에서 접속이 가능한 지점이 존재하고 기업정보시스템과의 연동의 필요성으로 인해 통합된 지점이  거의 존재한다.

 

2.      SCADA 시스템과  기업정보 시스템과의 연결에는  강한 접근제어 정책으로 보호되고 있다.

 

대부분의 경우에 SCADA시스템은 방화벽과 보호장치가 이중으로 되어 있는 구조 이나 정보시스템으로부터 혹은 외부로부터 접속이 가능한 몇몇 개의 접속지점이 반드시 존재한다. 중대사고 발생시의 Hot Line 혹은 외부에서 연결을 통한 연결지점, 정보시스템에서 정보의 활용을 위해 제어시스템과 연결이 되는 부분이 반드시 존재한다.

 

3.      SCADA 시스템을 운용하기 위해서는 특별한 지식이 필요하며 침입자가 접근하고 제어하기가 어렵게 만든다.

 

SCADA 시스템의 운영에 사용하는 소프트웨어나 제어장치에 대한 매뉴얼은 이미 전체의 70프로 이상이 인터넷 상에 공개가 되어 있다.  그러므로 이전과 같이  정보가 없어서 지식을 획득하지 못하는 일은 없다.  SCADA시스템을 제작하는 회사는 사후지원과 Update등을 위해 인터넷을 통해 다운로드 받는 형태로 매뉴얼을 제공하는데 이를 통해 충분한 지식의 습득이 가능하다.

 

위의 3가지 경우가 일반인들이 가지는 오해라고 할 수 있습니다. 인터넷이 활발하게 보급 되기 이전에야 별도의 Protocol과 외부와 격리된 구조에서 드러날 문제는 내부자에 의한 문제 사례외에는 없었으나 이제는 외부로 부터도 안전하지 못하다고 볼 수 있습니다.

 

그렇다면 SCADA & DCS로 구성되는 기반시설 운영시스템들의 문제점은 무엇이 있을까요?

 

 

l기반시설 취약성   

 

대표적인 취약성 항목은  항목별로 보면 다음과 같다.

 

l취약한 접근제어

l취약한 인증모드

l부적절한 서버간 혹은 시스템간의 트러스팅

l보안에 취약한 소프트웨어의 사용

l보안이 고려되지 않은 빈약한 시스템의 설계

l적당하지 않은 백업시스템의 사용

 

 

영역으로 나누어 보면 다음과 같이 나눌  있다.

 

-일반적 보안취약성:

 

1.      Web site  외부 공개된 시스템의 경우 침입자에게 회사구조  이름, 이메일 주소, 정보시스템의 이름과 같은 다양한 정보를 제공하고 있다. 사회공학적인 해킹에 의한 침해  개인정보를 이용한 해킹과 바이러스 공격을 당할  있다.

 

2.      DNS Server  Zone-Transfer 허용하는데 IP  서버명 , 이메일 정보를 제공하게 되면  Transfer  가능한 구조로 이루어져 있으므로 획득한 정보를 이용하여 변경이 가능할  있다. 웹사이트를 통하거나 사회공학적인 해킹을 통해 획득한 정보를 이용하여 공격 당할  있다.

 

 

-안전하지 않은 네트워크 구조:

 

1.      FTP, WEB , Mail Server 설정이 부적절하거나 불필요하게 내부정보망에 대한 접근을 허용하는 경우 침해가능성이 존재한다.

 

2.      파트너나 시스템 제작업체와의 네트워크 연결이 방화벽, IDS , VPN 등을 사용하지 않아서 안전하지 않을 경우 우회공격을 통한 침해가능성 존재

 

3.      원격에서 접속하는 다이얼업 모뎀 연결이 불필요하게 허용이  경우

 

4.      서로 다른 네트워크 세그먼트 사이에 분리가 되어 있지 않아서 방화벽이나 네트워크 연결의 통제가 내부적으로 이루어 지지 않을 경우의 취약점

 

 

-실시간 모니터링의 부족:

 

 

1.      많은 네트워크 장비를 이용하다 보니 과다한 로그 발생으로 인하여 중요 정보를 확인하기가 어렵다.

 

2.      IDS  존재하여도  보안관리자는 개별적인 공격만 인지함으로써 종합화 되거나 복잡화된 공격을 인지하지 못하여  위험여부를 판별하지 못한다.

 

 -최근 SCADA 제어 시스템의 변화경향:

                  

1.      User Interface 위해 VB, 델파이 등의 RAD 툴로 개발되는 경향이 많으며 데이터 연결을 위해 ODBC 인터페이스를 이용하는 경우가 많다.

A.     해커나 공격자들이 쉽게 익힐  있다.

2.      기업 정보시스템에 일정부분 연결이 가능하도록 TCP/IP 망을 기본적으로 지원한다.

A.     일반화된 프로토콜이므로 쉽게 접근이 가능하다.

 

전체적인 범주로 보았을때 위의 항목과 같은 문제점들을 가지고 있습니다. 또한 지금에 이르러서는 외부에서의 통제 및 접근 할 수 있는 경로 자체가 더욱 다양해 짐으로 인해 문제는 더 심화 되었다고 보는 것이 정답입니다.

 

 

생활을 영위할 수 있게 해주는 기반시설들에 대한 보안을 위해서는 무엇이 필요할까요?

전체적으로 안정성을 높여주고 위험 포인트를 줄여주는 작업이 진행 되어야 하고 모니터링에 대한 방안이 필요합니다. 보안성 검수 (하드웨어 및 소프트웨어)도 필수적인 부분이 될 것 입니다.

 

대책 방안:

 

SCADA 시스템의 구축 시에 고려해야  사항.

  

1.      현재까지의 관리나 제어 시스템은 폐쇄 환경에 맞추어서 개발이 되어 있으므로 접근제어  인증에 대한  고려가 되어 있지 않다.

현재의 구축 환경은 폐쇄 환경으로 구축되는 경우는 예외적인 경우에만 구축이 되도록 빠르게 변하고 있다.

 

2.      RTU  IED  IP 통신을 지원하는 형태로 변경이 되어가고 단순한 기능에서 점점  많은 기능을 포함해서 복잡해져 가고 있다. 이에 따른 보안구조도 변경 되어야 하나 이에 따른 고려사항은 부족한 현실이다.

 

RTU: remote terminal unit

IED: Intelligent Electronic Device

 

3.      새롭게 나오고 있는 Device Protocol ( ex . UCA /MMS & DNP )  보안기능을 가지고 있고 보안 속성을 지원하는지 여부를 확인

 

OSI 모델을 지원하며 네트워크 연결을 가능하게 해준다.

UCA: Utility communication  Architecture

MMS: Manufacturing Message Specifications

DNP: Distributed Network Protocol

  

4.      Legacy 시스템과의 연결이 필요하므로  보안의 범위를 Legacy 시스템과의 연동까지도 고려하여 구축이 되어야 한다.

  

5.      실시간 정보 제공을 위해 예측 못한 요구 사항이 생길  있으므로 기반구조 설계 시에는  실시간 정보의 제공을 위한 새로운 요구사항과 이에 따른 보안 사항을 다루도록 고려 되어야 한다.

 

6.      침입 탐지 시스템은  제어 Utility Protocol  이해   없다는 것을 알고  보안 구조가 고려 되어야 한다. TCP/IP 망이 아닌 PLC 라인을 이용하여 제어명령이 내려 지므로  침입탐지 시스템에서 찾아내는 패턴과 일치하는 패턴을 찾을  없으며 탐지도 불가능한 형태이다.

 

공개문서에 기술된 보안 강화 대책은 여전히 유효하고 앞으로도 일정기간 유효할 가이드라 할 수 있을 것이다.

 

Security Plan

_____________________________________________________________________________

 

Security Policy

 

1.      Cyber Terror Cyber war   대비하여 국가단위의 기반시설 보호 기구 설립

2.      미래 발생 가능한 바이러스 및 해킹에 대한 연구

3.      기반시설에 대한 외부 접속지점의 최소화 및  엄격한 관리 및 보안정책 필요.

4.      기반시설의 외부 정보 제공 부분이나  연결지점의 엄격한 관리

5.      기반시설 제어 시스템을 원격에서 직접 제어 시스템에 접근을 하지 못하도록 정책 설정

6.      기반시설과 연결된 내부 사용 PC와 서버군에 대한 바이러스 및 해킹 대책 완비

7.      내부 사용자에 대한 보안교육강화 및 보안 조직 강화

8.      기반시설 시스템 제작 업체에서의 원격지원 최소화

9.       기반시설 제어시스템 내의 원격접속 허용여부 검사

10.  기반시설 제어 시스템에 대한 대외 정보 유출 금지

11.   솔루션 도입시의 보안 방안에 대한 철저한 검토

 

Security Technic

 

 

n        외부 접속이 필요할 경우의 엄격한 제한 및 권한제어 필요

n        DMZ 내의 시스템에 대한 보안강화 뿐 아니라 내부망에 대한 자체 보안성을 높일 것을 권고

n        VPN 의 사용 뿐 아니라 서버자체에 대한 무결성 도구를 이용하여 보안을 높일 것

n        내부망에 대한 접속 경로의 최소화와 모니터링 집중도 높일 것을 권고

n        이메일의 암호화 및 파일 및 디렉토리에 대한 Locking 을 강화할 것

n        정기적이고 철저한 보안성 검사 및 취약성 점검을 수행할 것

n        SCADA 장비의 비 정상적인 움직임이 나타나는 경우의 제어방법 강구 및 모니터링 방안에 대한 고려

          

Virus :

1.      알려지지 않은 바이러스 의 침투에 대해 대비할 수 있도록 Anomaly Detection 이나 Heuristic Logic 을 적용한  방어책이 가능하도록 대비

2.      파일의 다운로드나 첨부파일 오픈시에 무조건적인 주의를 기울이며 바이러스 엔진의 가동이 필수적임

3.      이메일 전체에 대해 메일 필터링 Gateway 등을 설치하여 걸러서 받도록 설정

4.      웹 컨텐츠에 대한 검사를 수행하여 위험요소의 적극적인 차단

 

해킹

A.       IDS  , Firewall ,  Router 등의 보안 장비에 대한 종합적인 로그 진단

B.       수많은 로그에서 중요 침입 정보만을 필터링 할 수 있는 고급 ESM 의 도입이 필요

C.       주기적인  취약점 점검 및 검사

D.       해킹을 당한 후에도 피해가 최소화 되도록 전문적인 정보보호 구조의 설계 및 구현

E.       전문화된 인력이 없을 경우 신뢰할 수 있는 기관이나 국가설립 기관에서 Managed Security를 시행

F.       해킹관련 보안 전문가의 확충

 

Security for Future

 

 

보안 전문인력의 확충 및 능력을 향상 시켜야 되며 거시적인 안목에서 국가 안보를 생각 하고 대책을 수립해야 하는 시점이 아닌가 생각한다. 다음세대를 좌우할 보안제품의 안목을 거시적인 안목으로 설계하고 구현하도록 조언하는 전문가 집단 혹은 능력을 지닌 인력들을 양성해야 되며 이와 같은 인력과 조직을 통해 미래 발생 가능한 위협에 대한 분석과 대처 능력을 향상 시키는 것이 우선시 되어야 할 것이다. 인터넷 인구의 비율과 초고속 망의 일반화 또 무선인터넷의 활용도가 높아 지고 있는 시점에서 당장 수익이 나지 않는다는 이유 만으로 보안부문을 등한시 할 경우 많은 문제점을 가질

수 있음을 인식하고 노력하여야 할 것이다.

 

사소한 부주의와 실수로 인해 기반시설의 피해와 오류가 발생한다면 그 피해는 당장 실감할 수 있는 정도의 큰 규모가 될 것이므로 미리 알고 대책을 수립하고 방안을 구체화 한다면 진정한 사이버강국으로서의 면모를 일신하게 될 것이다. 이익에 집착하여 제품의 구상과 구현에 많은 노력과 투자를 하지 않는다면 세계적인 회사의 대열에 진입할 수 없을 뿐 아니라 1,2 위만 살아 남는 현실에서 많은 어려움을 겪을 것이라고 짐작할 수 있으며 기업이 가지고 있는 모든 에너지와 자원에서 일정비율 만이라도 다음세대를 선도할 모델이나 제품 개발에 힘을 쏟음으로써 경쟁력을 만회하고 한 획을 그을 수 있다는 결론은 당연해 진다.

해킹과 바이러스의 결합을 통해 새로운 보안모델이 필요함을 깨달았다면 이젠 피해대상의 한계와 그 여파에 대해서도 미리 알고 준비하는 것이 필요하다고 생각한다.

해킹과 바이러스의 경계를 구분하는 것 조차 무의미한 시대에서 지난 시대의 경험도 소중한 자산이지만 흐름을 놓치지 않고 맥을 잡아서 효율적이고 유리하도록 만드는 안목도 중요한 자산이 될 것이다.

 

항목으로 보자면 다음과 같다.

 

1. 보안 전문인력풀의 확대 및 수준 향상

2. 국가나 신뢰할 수 있는 기관에서 체계적으로 관리할 수 있는 위기관리 혹은 Security 팀의 조직 및 활동

3. 해킹 및 바이러스의 동향 뿐 아니라 미래에 발전 가능한 양상 까지도 추측하고 대응할 수 있도록 준비하는 조직이나 문화의 형성

4. 정기적인 취약성 점검

5. 기업체나 관공서의 보안조직 활성화 및 권한 부여

6. 국익을 위한 전략 보안기술에 대한 연구

이외에도 많은 사항들이 있겠지만 차차 지적이 되고 개선이 되리라 생각한다

 

 

조금 다른 부분의 이야기 이지만  모든 사람이 영화상에 나오는 위험이 실제로 일어날지에 관심을 기울이고 있는데 보다 다른 방식에서 어떻게 하면 문제가 되는 부분을 줄이고 최소화 할 수 있는 지에 대한 고민도 있어야 됩니다. 문제는 이미 예전 부터 있어왔고 앞으로는 더욱 심화될 것입니다. 에스토니아의 사례에서 보듯이 정보화가 진행되고 고도화가 진행 될 수록 더 심각한 피해를 입을 수 있습니다.

 

본 게시물의 거의 모든 내용은 2002 10월에 작성된 공개문서에서 따왔습니다. 문제 개요 및 대책 부분에 대한 내용들 모두가 2002년의 공개문서에서 차용을 하였습니다. SCADA DCS라는 용어 자체도 익숙하지 않을 때 작성한 것이라 영양가가 없었는데 5년 가량 지난 시점에서 동일한 문서를 참고 한다는 것이 아이러니컬 합니다.  2002년 이나 지금이나 달라진 것은 많이 없고 문제가 발생 할 수 있는 가능성만 더 증가 하였기에 문맥상에서 많은 부분을 고칠 필요가 없지 않나 판단 하였습니다.

 

SCADA DCS의 기본적인 구성은 아마 컨트롤 패널 같은데 이 게시물에 처음의 이미지에서 여성분 뒤의 배경을 보시면 대충 인지가 가능 할 것 같습니다. 2002년의 문서는 여기를 참고 하시면 됩니다.  http://blog.naver.com/p4ssion/50001878886

 

스스로의 만족과 욕구 충족을 위해 만든 것이기는 하나 감히 최초의 종합화된 문서가 아닐까 예상해 봅니다. ^^ ( 참 쓸데 없는 일들 많이 했죠. )