화이트햇 스쿨 4기 팀 프로젝트 · 2026.08 ~ 2026.10 · stacknoah/ot-security
OT 환경 하나를 골라 자산 식별부터 위협 모델링, 위험 평가, 통제 설계, 진단 보고서까지 컨설팅 절차를 실제로 한 바퀴 돈다.
OT의 정의와 IT 방법론이 깨지는 지점
OT는 물리 설비를 감시하고 제어하는 기술이다. 발전소 터빈, 공장 생산 설비, 상수도 펌프가 여기 해당하고, 이걸 제어하는 시스템을 ICS라 부른다. PLC, HMI, SCADA, DCS 같은 것들이다.
이름만 다른 게 아니라 지켜야 할 값이 반대다.
| IT 보안 | OT 보안 | |
|---|---|---|
| 최우선 가치 | 기밀성 | 가용성 |
| 사고의 결과 | 정보 유출, 서비스 중단 | 생산 중단, 설비 파손, 인명 피해 |
| 시스템 수명 | 3~5년 | 15~30년 |
| 패치 | 상시 적용 | 벤더 승인 필요, 사실상 불가 |
| 진단 방식 | 스캐너로 능동 점검 | 능동 점검 시 설비 정지 위험 |
마지막 줄이 이 프로젝트의 출발점이다. IT에서는 스캐너를 돌리면 취약점 목록이 나온다. OT에서는 그 스캔 패킷 하나가 설비를 세운다. 진단 행위 자체가 사고가 되는 것이다.
취약점을 안 써도 뚫리는 프로토콜
Modbus, DNP3, S7comm, SECS/GEM 같은 산업 프로토콜은 대부분 1970~80년대 설계다. 당시엔 폐쇄망 전용이었으니 인증 개념이 아예 필요 없었다.
그래서 네트워크에 닿을 수 있는 주체는 정당한 제어 명령과 구분되지 않는 명령을 보낼 수 있다. 익스플로잇을 찾을 필요가 없다.
2024년 우크라이나 FrostyGoop이 정확히 그 형태였다. 알려진 취약점을 하나도 쓰지 않고 Modbus 정상 명령만으로 난방을 끊었다. 이게 OT 통제가 프로토콜 강화가 아니라 네트워크 분리와 접근 통제로 몰리는 이유다.
물리 세계에 결과가 나타난 사례는 계속 쌓여 있다. Stuxnet(2010) 원심분리기 파손, Industroyer(2016) 정전, TRITON(2017) 안전계장시스템 직접 조작, Colonial Pipeline(2021) 연료 공급 중단.
취약점 제거가 아니라 보상 통제 설계
20~30년 쓰는 설비에 최신 보안 요구를 얹을 수 없다. 운영체제가 단종된 버전에 묶여 있고 패치는 벤더 보증 문제로 막힌다.
그러면 남는 선택지는 취약점을 없애는 게 아니라 그 취약점이 살아 있는 채로 위험을 낮추는 방법을 설계하는 쪽이다. 이 판단은 도구가 하지 않는다. 사람이 한다.
여기에 IT/OT 경계가 무너진 게 겹친다. 스마트팩토리, 원격 유지보수, 클라우드 연동, 협력사 접속으로 폐쇄망 전제가 이미 깨졌다. 실제 OT 사고 상당수가 USB, 협력업체 노트북, 유지보수 장비에서 시작한다. 물리적으로 끊었다는 인식 자체가 위험 요인이다.
규제는 늘었는데 적용할 사람이 없는 상태
- 정보통신기반보호법 — 주요정보통신기반시설 지정, 연 1회 취약점 분석·평가 의무
- 국가정보보안기본지침 — 국가·공공기관 제어시스템 보안 가이드라인 준수
- 산업기술보호법 — 2025.12 공포, 2026.06 시행. 산업기술 지정 확대
- KISA 「운영기술(OT) 환경의 제로트러스트 적용 안내서」 — 2025.12, 국내 최초 OT 특화
- IEC 62443 시리즈 국내 도입 확대
규제 항목을 현장 제약에 맞게 해석하고, 미이행 시 무엇이 벌어지는지 근거를 대는 일이 남는다. 국내 제조 현장에 이걸 할 인력이 없다는 지적이 반복된다.
절차를 먼저 고정하고 대상은 뒤에
주제는 2주차에 확정하되 진행 절차는 착수 시점에 고정했다. 실제 컨설팅이 그렇게 돌아가기 때문이다. 대상은 계약 후에 정해지고 방법론은 이미 들고 들어간다.
11주를 네 단계로 나눈다.
| 단계 | 주차 | 내용 |
|---|---|---|
| 대상 선정 | 1~2 | 분야별 현황 조사, 후보 3개, 평가 기준 수립 후 기계적 선택 |
| 현황 분석·위협 식별 | 3~5 | 자산 목록, 네트워크 구성도, ATT&CK for ICS 매핑 |
| 실증·위험 평가 | 6~9 | 시뮬레이션 환경 구축, 시나리오 최소 1건 재현, 위험 등급 산정 |
| 산출물 정리 | 10~11 | 진단 보고서, 최종 발표 |
주제 후보 평가 기준도 미리 정의해 뒀다. 실행 가능성(실제 설비 없이 재현되는가), 자료 접근성, 규제 연계성, 시의성, 차별성.
범위 원칙
- 운영 중인 설비와 네트워크에는 어떤 형태로도 접속하지 않음
- 모든 실증은 자체 구축 시뮬레이션 환경
- 대상은 공개 자료로 분석 가능한 범위로 한정
적용 표준
| 구분 | 자료 |
|---|---|
| 진단 방법론 | NIST SP 800-82r3 |
| 통제 체계 | IEC 62443 시리즈 |
| 위협 분류 | MITRE ATT&CK for ICS |
| 방어 우선순위 | SANS ICS 5 Critical Controls |
| 위협 인텔 | CISA ICS 권고문, Dragos OT Cybersecurity Year in Review |
현재
1주차. 분야별(전력·제조·상수도·반도체·의료) 현황 조사 중이고 후보를 3개로 줄이는 단계.
가장 큰 위험은 산출물이 표준 요약으로 끝나는 것이다. 그걸 막으려고 7주차 실증 결과를 위험 평가와 통제 설계의 근거로 직접 인용하도록 구조를 고정했다. 실증이 장식이 되면 나머지가 전부 인용문이 된다.