능동 점검이 사고가 되는 환경에서 자산 식별부터 위협 모델링, 위험 평가, 통제 설계, 진단 보고서까지 컨설팅 절차를 한 바퀴 돈다.
화이트햇 스쿨 4기 팀 프로젝트 · 2026.08 ~ 2026.10
착수 단계. 대상 선정 전이라 이 저장소에는 아직 산출물이 없다.
| IT 보안 | OT 보안 | |
|---|---|---|
| 최우선 가치 | 기밀성 | 가용성 |
| 사고의 결과 | 정보 유출, 서비스 중단 | 생산 중단, 설비 파손, 인명 피해 |
| 시스템 수명 | 3~5년 | 15~30년 |
| 패치 | 상시 적용 | 벤더 승인 필요, 사실상 불가 |
| 진단 방식 | 스캐너로 능동 점검 | 능동 점검 시 설비 정지 위험 |
마지막 줄이 출발점이다. IT는 스캐너를 돌리면 취약점 목록이 나온다. OT는 그 스캔 패킷 하나가 설비를 세운다. 진단 행위 자체가 사고가 된다.
그리고 산업 프로토콜(Modbus, DNP3, S7comm, SECS/GEM)에는 인증이 없다. 1970~80년대에 폐쇄망 전용으로 설계됐기 때문이다. 네트워크에 닿을 수 있으면 정당한 제어 명령과 구분되지 않는 명령을 보낼 수 있다. 익스플로잇이 필요 없다.
2024년 FrostyGoop이 정확히 그 형태였다. 알려진 취약점을 하나도 쓰지 않고 Modbus 정상 명령만으로 우크라이나의 난방을 끊었다.
레거시 설비는 교체도 패치도 안 된다. 그래서 OT 보안은 취약점 제거가 아니라 보상 통제 설계가 중심이 된다. 이 판단은 도구가 아니라 사람이 한다.
대상은 2주차에 정하되 절차는 착수 시점에 고정한다. 실제 컨설팅이 그렇게 돌아간다. 대상은 계약 후에 정해지고 방법론은 이미 들고 들어간다.
| 단계 | 주차 | 내용 |
|---|---|---|
| 대상 선정 | 1~2 | 분야별 현황 조사, 후보 3개, 평가 기준 수립 후 기계적 선택 |
| 현황 분석·위협 식별 | 3~5 | 자산 목록, 네트워크 구성도, ATT&CK for ICS 매핑 |
| 실증·위험 평가 | 6~9 | 시뮬레이션 환경 구축, 시나리오 최소 1건 재현, 위험 등급 산정 |
| 산출물 정리 | 10~11 | 진단 보고서, 최종 발표 |
주제 후보 평가 기준 — 실행 가능성(실제 설비 없이 재현되는가), 자료 접근성, 규제 연계성, 시의성, 차별성.
- 운영 중인 설비와 네트워크에는 어떤 형태로도 접속하지 않음
- 모든 실증은 자체 구축 시뮬레이션 환경
- 대상은 공개 자료로 분석 가능한 범위로 한정
| 구분 | 자료 |
|---|---|
| 진단 방법론 | NIST SP 800-82r3 |
| 통제 체계 | IEC 62443 시리즈 |
| 위협 분류 | MITRE ATT&CK for ICS |
| 방어 우선순위 | SANS ICS 5 Critical Controls |
| 국내 규제 | 정보통신기반보호법, 국가·공공기관 제어시스템 보안 가이드라인 |
| 국내 안내서 | KISA 「운영기술(OT) 환경의 제로트러스트 적용 안내서」 (2025.12) |
| 위협 인텔 | CISA ICS 권고문, Dragos OT Cybersecurity Year in Review |