1108. OT 망 (운영 기술 망) 분리 원단 통제 - Operational Technology 스턱스넷 스마트 팩토리 ICS SCADA 보안 에어갭 1방향 다이오드 망분리 아키텍처

핵심 인사이트: (1079번 망분리 연계) 2010년, 이란 원자력 발전소의 우라늄 농축 원심분리기가 지 혼자 1만 번 돌다가 쾅쾅 터져버렸다(스턱스넷 해킹). 발전소 기계들은 인터넷(IT망)이랑 선이 아예 가위로 끊어져 있는(망분리) 완벽한 벙커였는데 어떻게 뚫렸을까? 직원이 밖에서 주워 온 'USB' 하나를 공장 기계(OT망)에 무심코 꽂았기 때문이다! "야! IT 사무실 망 털려서 고객 정보 날아가는 건 돈으로 때우면 되지만, 공장 기계(OT망)가 해킹당하면 화학 공장이 폭발해서 수백 명이 즉사한다! 옛날처럼 랜선만 뽑는다고 에어갭(Air-Gap)이 완벽할 줄 아냐? 공장 폐쇄망에 꽂는 USB를 통제하고, 데이터가 사무실에서 공장으로 1비트도 역류해서 들어오지 못하게 '물리적 일방향 다이오드' 장비를 파이프에 용접해버려라!!" 목숨을 담보로 하는 강박적 공장 방패, OT 망 보안이다.

Ⅰ. IT(정보 기술)와 OT(운영 기술)의 치명적 차이

보안의 절대 우선순위(CIA Triad)가 180도 완전히 뒤집힙니다.

  • IT 망 (사무실, 인터넷):
    • 기밀성 (Confidentiality)이 1순위입니다. 고객 개인정보가 털리는 게 최악입니다. 백신 돌리느라 서버가 1초 멈추거나 재부팅 해도 아무도 안 죽습니다.
  • OT 망 (공장, 발전소, 철도, SCADA/ICS) 🌟:
    • 가용성 (Availability)이 무조건 0순위입니다. 기밀이 털리든 말든, 돌아가는 용광로 밸브 시스템이 백신 업데이트하느라 '1초 정지(재부팅)'되는 순간 폭발 사고로 전 직원이 몰살당합니다.
    • 딜레마: 공장 기계는 윈도우 95, XP 같은 구석기 OS를 20년째 안 끄고 그냥 돌립니다(패치/백신 설치 불가). 해커가 들어오면 100% 감염되는 걸 알면서도 끌 수가 없는 최악의 무방비 시한폭탄입니다.

Ⅱ. OT 망 보안 붕괴의 서막 (스마트 팩토리의 저주)

  • 옛날엔 공장(OT망)과 사무실(IT망) 랜선을 아예 끊어버렸습니다(Air-Gap 물리적 망분리).
  • 저주: 4차 산업혁명(스마트 팩토리)이 시작되면서, 서울 본사 사장님이 스마트폰 앱으로 부산 공장 용광로 온도를 실시간으로 보고 싶어 합니다.
  • 결국 끊어놨던 IT망과 OT망 사이에 몰래 랜선을 이어버렸고(IT-OT Convergence), 해커가 사장님의 이메일을 털어서 IT망으로 들어온 뒤, 연결된 다리를 타고 내려와 공장(OT망)의 로봇 팔을 마비시켜 버리는 랜섬웨어 지옥이 열렸습니다. (TSMC, 대만 주유소 해킹 등)

Ⅲ. OT 망을 수호하는 3대 절대 방어벽 아키텍처 🌟 핵심 🌟

구석기 윈도우 95 기계들을 살리기 위해 네트워크 길목을 극단적으로 틀어막습니다.

1. 퍼듀 모델 (Purdue Model) 기반 마이크로 세그멘테이션

  • 전체 회사를 레벨 0부터 5까지 철저한 계급제(DMZ) 층으로 나눕니다.
    • 레벨 4/5: 본사 이메일, 웹서핑 (가장 더러움)
    • 레벨 3/3.5 (DMZ): IT와 OT가 만나는 유일한 완충지대
    • 레벨 0/1/2: 공장 로봇 제어(OT망, 가장 깨끗함)
  • 1044번에서 배운 마이크로 세그멘테이션으로 레벨 4의 패킷이 레벨 1로 한 방에 다이렉트로 내려찍는(점프) 행위를 방화벽으로 모조리 다 찢어버립니다.

2. 물리적 일방향 전송 (Unidirectional Data Diode) 🌟 최고 무기 🌟

방화벽은 소프트웨어라 해커가 뚫을 수 있습니다. 물리학으로 방어합니다.

  • 공장의 온도를 사장님에게 보내줘야 하니 선은 연결해야 합니다.
  • 다이오드 마법: 공장(OT) ➜ 사장님(IT) 방향으로만 레이저 빛을 쏠 수 있고, 사장님(IT) 쪽에서 공장(OT)으로는 수신 센서(광 다이오드) 자체를 아예 하드웨어적으로 도려내어 부숴버린 1,000만 원짜리 전용 장비를 길목에 박아버립니다.
  • 해커가 사장님 망을 다 뚫고 공장으로 악성 코드를 날려도, 반대편에서 빛을 받아주는 렌즈 칩 자체가 물리학적으로 존재하지 않기 때문에 패킷이 허공에 툭 떨어져 증발해 버리는(역류 100% 불가) 절대 에어갭 융합 장비입니다.

3. USB 화이트리스팅 및 키오스크 소독

  • 인터넷을 다 끊어놔도, 협력 업체 직원이 들고 온 오염된 USB 1개가 스턱스넷처럼 공장 기계를 박살 냅니다.
  • 소독 키오스크: 공장에 들어가려면 현관문에 있는 검역 PC(키오스크)에 USB를 꽂고 30개의 백신 엔진으로 영혼까지 털어 소독(포맷급)해야만 사내망에 꽂을 권한을 줍니다. 또한 기계의 USB 포트는 글루건(실리콘)으로 쏴서 아예 못 꽂게 막거나(물리적 통제), '인가된 1개의 USB'만 인식하는 매체 제어(DLP) 솔루션을 떡칠합니다.

📢 섹션 요약 비유: 사무실 인터넷(IT망)이 정보 유출을 막는 **'철저한 신분증 검사(기밀성)'**라면, 공장의 기계망(OT망)은 심장 수술실의 기계가 절대 1초도 멈추면 안 되는 **'무정전 생명 유지 장치(가용성)'**입니다. 수술실 컴퓨터는 20년 된 구형이라 감기(바이러스)에 걸리면 즉사합니다. 그래서 병원은 수술실과 바깥 로비를 두꺼운 철문(망분리)으로 막았습니다(에어갭). 하지만 원장님이 로비에서 수술 모니터를 보겠다며 철문에 구멍을 뚫었습니다. 해커가 로비로 들어와 이 구멍으로 독가스(랜섬웨어)를 뿌려 수술실을 다 죽입니다. 이 참사를 막기 위한 일방향 다이오드 장비는 수술실 벽 구멍에 **'안에서 밖만 내다볼 수 있는 두꺼운 단방향 투명 거울'**을 설치한 것입니다. 원장님은 밖에서 수술 모니터 빛(데이터)을 일방향으로 전달받아 볼 수 있지만, 밖에서 안으로 독가스를 뿌리거나 말을 걸어도 벽에 튕겨 나와 1%도 수술실 안으로 역류하지 못하는 궁극의 물리학적 방수 격벽 시스템입니다.