컴퓨터월드 2025년 1월호에 실린 런제로(runZero) 롭 킹(Rob King)의 기고문입니다.

공격 표면이 넓어지는 두 방향, 곧 운영 기술(OT)과 클라우드를 함께 다룹니다.

OT 쪽에서는 미국 대통령 국가안보통신자문위원회(NSTAC)의 2022년 보고서가 IT와 OT의 융합을 ‘최종 상태’로 규정했다는 점에서 출발합니다. 과거 등급이 분리된 네트워크에서 안전성과 신뢰성을 우선하도록 설계된 산업 장비가 이제 이론적으로 전 세계 어디서든 접근 가능해졌고, 런제로 연구 데이터 기준으로 전체 ICS 시스템의 7% 이상이 퍼블릭 인터넷에 직접 연결돼 있습니다.

이어 OT 환경에서 스캔을 수행할 때의 제약을 설명합니다. 취약점 스캔으로 공장 가동이 중단되는 일이 실제로 발생하기 때문에 패시브 모니터링이 선호되지만, 패시브 방식은 트래픽을 보내지 않는 장치를 놓칩니다. 런제로가 ‘가능한 한 적은 트래픽’, ‘장치가 예상하는 트래픽’, ‘점진적 디스커버리’라는 세 원칙으로 안전한 액티브 스캔을 수행하는 방식을 소개합니다.

클라우드 쪽에서는 마이그레이션이 스위치를 켜는 일처럼 단순하게 묘사되지만 실제로는 몇 년이 걸리며, 그 과정에서 하이브리드 구조가 장기화되고 관리 대상과 노출이 함께 늘어나는 문제를 다룹니다. 멜트다운·스펙터 같은 공유 호스팅 환경 고유의 위험과, 클라우드와 외부 공격 표면 양쪽에서 지원되지 않는 운영체제 비율이 대체로 같다는 분석도 담겨 있습니다.

OT 운영자와 클라우드 인프라 담당자를 대상으로 하며, A4 4쪽 분량입니다.

 

---

케이디시스의 관점

이 기고문이 짚는 딜레마는 한국 제조·에너지 현장의 오래된 고민입니다. 취약점을 찾으려 스캔을 돌리면 생산 라인이 멈추고, 안전을 위해 패시브 모니터링만 하면 트래픽을 내보내지 않는 장치는 목록에서 통째로 빠집니다.

모름은 곧 노출입니다

그 결과 많은 OT 현장이 '무엇이 있는지 정확히 모른 채' 운영됩니다. 이 글이 제시한 런제로 데이터에서 전체 ICS의 7% 이상이 퍼블릭 인터넷에 직접 연결돼 있다는 수치는, 그 모름이 곧 노출로 이어진다는 것을 보여줍니다.

공격 표면은 IT·OT·클라우드 세 방향에서 함께 넓어집니다

IT와 OT의 융합은 이제 되돌릴 수 없는 흐름입니다. 과거 물리적으로 분리돼 안전과 신뢰성만 고려하면 됐던 산업 장비가, 이제 이론적으로 전 세계 어디서든 닿을 수 있는 위치에 놓였습니다. 여기에 클라우드 마이그레이션이 겹치면 하이브리드 구조가 수년간 이어지며 관리 대상과 노출이 동시에 늘어납니다. 공격 표면은 세 방향에서 함께 넓어지는데, 정작 그것을 한눈에 보는 도구는 드뭅니다.

케이디시스는 이렇게 돕습니다

해법의 핵심은 '안전하게 능동적으로 보는 것'입니다. 케이디시스가 공급하는 런제로(runZero)는 세 가지 원칙으로, 공정을 멈추지 않으면서도 패시브가 놓치는 장치까지 식별합니다.

• 가능한 한 적은 트래픽으로
• 장치가 예상하는 트래픽만
• 점진적 디스커버리로 부하를 분산

여기에 통신을 우회하는 물리 계층 공격까지 보려면, 시가(SIGA)의 Level 0 프로세스 모니터링이 그다음 층을 채웁니다. IT·OT·클라우드를 가로지르는 자산 가시성이 먼저 서고, 그 위에 계층별 보호가 얹히는 구조입니다.

OT와 클라우드를 함께 운영한다면 점검할 세 가지

• 우리 OT 자산 목록이 스캔 안전성 때문에 '패시브로만' 만들어져 누락이 있지는 않은가.
• 인터넷에 직접 연결된 산업 장비가 우리 환경에 몇 대인지 답할 수 있는가.
• IT·OT·클라우드로 흩어진 자산을 하나의 관점에서 보는 수단이 있는가.

세 질문에 막힌다면, 공격 표면 관리는 도구 이전에 '보는 방식'부터 다시 설계해야 합니다.

기고문 원문 전체와 런제로(runZero)의 안전한 OT 스캔, 시가(SIGA) Level 0 모니터링 문의는 케이디시스로 연락 주시기 바랍니다.