|
망분리를 맹신하는 것은 위험하다. 망분리의 망연계 구간과 엔드포인트는 일반 업무환경보다 오히려 더 위험한 상태에 놓여있다. 망분리 후 협력사에 데이터를 전송할 때 평문으로 보내는 경우도 비일비재하다. 현재 망분리 환경의 보안 위협을 살펴보고, 이를 해결할 수 있는 방법을 소개한다.<편집자>
폐쇄망도 안전하지 않다
최근 제어망을 타깃으로 하는 공격이 늘어나면서 일방향 망연계 시스템이 주목받고 있다. 제어망은 인터넷에 연결되지 않은 완전한 폐쇄망으로 운영되는 것이 원칙이지만, 클라우드·IoT를 이용한 디지털 트랜스포메이션이 가속화되면서 제어망도 인터넷에 연결하는 경우가 늘어나고 있다. 제어망의 각종 장비와 시설에 센서를 부착해 원격에서 장애 여부를 점검하고, 시스템 운영을 효율적으로 운영하는 트렌드가 나타나고 있는 것이다.
또한 소프트웨어 중심 사회로 전환되면서 소프트웨어 패치를 통해 설비 기능을 업데이트하는 주기가 점차 빨라지고 있는데, 설비 제조사들이 인터넷을 통해 직접 패치 파일을 내려주는 방식을 택하고 있어 제어망에서도 인터넷 연결이 필수적인 상황이 됐다.
지금까지 소프트웨어 업데이트는 USB에 내려 받은 후 시설 관리자가 설비에 설치하는 방식으로 관리됐다. 그러나 소프트웨어 패치 배포 주기가 짧아지고 패치 해야 할 시스템이 많아지고 있으며, 실수나 고의에 의해 사고가 발생할 가능성이 높아지고 있어 다른 방법이 시급하게 요구된다.
사고가 발생했을 때 악성파일이 어디에서 감염됐는지를 두고 공방을 벌이게 되는데, 설비 제조사가 코드사인을 탈취당해 악성 패치파일이 배포됐을 가능성과, 고객사의 패치관리서버(PMS)가 침해를 당해 정상 패치파일에 악성코드가 주입돼 배포됐을 가능성이 있다.
설비 제조사들은 이러한 혼란을 제거하기 위해 사이트에서 설비로 직접 패치파일을 내려 받도록 하고 있으며, 이렇게 배포한 패치파일의 안전성을 설비 제조사가 책임진다는 방침을 밝히고 있다. 따라서 패치되는 설비들이 수시로 해당 제조사와 인터넷을 통해 연결돼야 하는데, 이 때 보안을 보장할 수 있는 방법이 반드시 필요하다.
일방향 망연계 시스템은 제어망과 외부망의 데이터를 한쪽 방향으로만 전송하는 시스템으로, 강력한 보안성과 안정성을 갖춰야 하고 제어망에서 사용하는 다양한 비표준 프로토콜을 지원할 수 있어야 한다.
일부 일방향 통신 시스템은 송·수신 케이블 중 하나를 자르거나 포트를 막는 방법으로 일방향 통신이 가능하다고 주장하는데, 이는 안전한 방법이 아니다. 고의를 가진 관리자가 정책을 위반하고 케이블을 연결하면 양방향 통신이 가능하기 때문이다. 따라서 안전한 일방향 망연계 시스템은 원천적으로 한쪽 회선을 제거한 상태로 설계돼야 한다.
| |
 |
|
| ▲ 물리적 일방향 연계 시스템 개요(자료: 휴네시온) |
일방향 망연계 시스템 시장 열렸다
일방향 망연계 시스템의 대표주자인 앤앤에스피의 ‘엔넷다이오드’는 내부에서 외부로 혹은 외부에서 내부로 보내는 일방향 전송 시스템으로, 업계에서 가장 많은 종류의 비표준 프로토콜을 지원하고 있다. 발전소, 원자력 시설, 에너지, 스마트팩토리 설비 제조사 등과 협력해 일방향 통신을 지원하고 있다.
일방향 통신이 갖고 있는 문제는, 전송된 데이터가 제대로 수신됐는지 확인할 수 없어서 트래픽 유실이 발생한다는 점이다. 앤앤에스피는 트래픽이 수신되지 않으면 세션을 중간에 끊어 발신 서버에서 다시 전송하도록 만든다. 이같은 방법으로 트래픽 유손실 없이 일방향 통신이 가능하다.
앤앤에스피는 단방향 패치관리시스템(PMS) ‘엔넷트러스트’도 출시하고 제어망 패치관리의 어려움도 해결하고 있다. 엔넷트러스트는 송신서버와 수신서버 사이에 클린존을 두고 패치파일의 정상 여부를 확인한다. 송신서버에서 보낸 패치파일이 클린존에 들어가면 송신서버 측의 스위치 연결이 끊어진다. 클린존에서는 악성코드와 해시 검사로 패치파일의 위변조 여부를 확인한다. 클린존에는 옵스왓의 멀티백신이 적용돼 있다. 검사가 끝나면 수신서버 측의 스위치가 연결돼 파일이 전송되는 방식이다.
| |
 |
|
| ▲ 물리적 일방향 전송장비 구축 개요도(자료: 앤앤에스피) |
김기현 앤앤에스피 부사장은 “관리자가 직접 패치관리를 하면 실수나 장애가 생길 수 있고, 고의를 가진 사람이 백도어를 설치할 우려도 있다. 엔넷트러스트를 이용하면 쉽고 안전하게 패치관리를 할 수 있다”며 “이 제품은 인터넷과 단절된 상태에서 패치를 해야 하는 모든 시설에 적용될 수 있다. 각종 제어망은 물론이고 스마트팩토리, ATM, 키오스크에도 가능하며, 일반 망분리 환경에서도 적용될 수 있을 것으로 기대한다”고 말했다.
망연계 시스템 시장의 선두주자인 휴네시온도 일방향 망연계 시스템 ‘아이원넷 디디’를 출시하며 빠르게 시장 장악력을 높이고 있다. ‘아이원넷 디디’는 망연계 시스템 ‘아이원넷’의 경쟁력을 적용한 제품으로, 승인·결재 시스템 연동이 편리하고 빠르고 안정적인 기술지원 능력을 갖췄다는 것을 장점으로 꼽는다.
정동섭 휴네시온 대표는 “아이원넷 디디는 고객사에 최적화된 일방향 자료전송 시스템으로 인정받으면서 다수의 고객사를 확보하는데 성공하고 있다. 특히 이 제품은 업무망과 폐쇄망을 연결하는데 탁월한 장점이 있으며, 고객과 긴밀한 관계를 통해 발전시키고 있어 시장에서 좋은 반응을 얻고 있다”고 말했다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
