스턱스넷이 드러낸 산업 제어 시스템 공격의 현실

악성코드가 설비를 겨냥했을 때

스턱스넷(Stuxnet)은 2010년 발견된 고도로 정교한 컴퓨터 웜이다. 산업 제어 시스템을 표적으로 삼아 물리적 손상을 일으키도록 설계됐으며, 이란 나탄즈 핵 시설의 원심분리기 파괴가 주요 목표였던 것으로 알려졌다.

이 사례는 사이버 공격의 영향이 가상 공간에 머물지 않고 실제 기반시설과 설비까지 이어질 수 있음을 보여줬다. 그래서 스턱스넷은 최초의 사이버 무기로 간주된다.

USB 침투부터 표적 검증까지

초기 침투에는 USB 드라이브가 사용됐다. 물리적으로 분리된 에어갭(Air-gap) 네트워크도 이동식 매체를 통해 침투할 수 있다는 점이 드러난 사례다.

전파 과정에서는 Windows 운영체제의 4개 이상의 알려지지 않은 취약점을 활용했다. Realtek와 JMicron 같은 합법적인 기업의 디지털 서명도 탈취해 사용했으며, 네트워크 안에서는 P2P 방식으로 웜을 자체 업데이트할 수 있었다.

스턱스넷은 감염된 모든 환경에서 동일하게 동작하지 않았다. 지멘스(Siemens) SCADA 시스템 가운데 특정 PLC(S7-315) 모델과 특정 주파수 변환기(VFD)가 연결된 구성을 찾아냈을 때만 최종 페이로드를 실행했다. 여러 조건을 통과해야 하는 검증 절차가 오작동 범위를 제한하는 장치였다.

⤢✕

정상 화면 뒤에서 바뀐 PLC 동작

스턱스넷의 표적에는 지멘스 WinCC/PCS7 SCADA 시스템과 Step7 소프트웨어가 포함됐다. 감염 시스템에서 Step7 소프트웨어의 존재를 확인한 뒤 이를 감염시켜 PLC 접근 권한을 획득하고, 특정 주파수 변환기를 사용하는 시스템을 식별했다. 조건에 맞으면 PLC 프로그래밍 코드를 바꿔 원심분리기 속도를 조작했다.

공격은 기존 PLC 프로그램을 백업한 뒤 악성 코드로 교체하는 방식으로 진행됐다. PLC 프로그래밍 변경을 숨기는 루트킷 기능으로 관리자에게는 정상 상태가 표시되지만 실제 PLC에서는 변조된 코드가 실행되도록 Man-in-the-Middle 공격을 구현했다. 공격 중에도 모니터링 시스템에는 정상 상태가 보이도록 은폐했다.

원심분리기의 정상 작동 속도는 약 63,000 RPM(Revolution Per Minute)이었다. 공격 시에는 속도를 간헐적으로 1,410 RPM까지 낮췄다가, 다시 정상 속도의 2배인 약 120,000 RPM으로 급격히 높였다. 이 변화는 내부 구조에 진동과 기계적 스트레스를 유발한다.

즉시 설비를 멈추게 하기보다 장기간에 걸쳐 손상을 누적하는 전략이어서, 운영자는 장애 원인을 파악하기 어려웠다.

⤢✕

나탄즈 사건이 바꾼 보안의 범위

나탄즈 시설에서는 약 1,000개 이상의 IR-1 원심분리기가 파괴된 것으로 추정됐다. 전문가들은 이란 핵 프로그램이 약 18개월~2년 지연됐다고 분석했으며, 우라늄 농축 효율은 약 15% 감소한 것으로 추정했다.

사건은 사이버 공격을 물리적 타격의 대안으로 보는 관점을 부각했다. 동시에 사이버 공격이 무력 사용에 해당하는지, 공격의 출처를 확실히 증명할 수 있는지 같은 국제법적 쟁점도 제기했다. 주요국의 사이버 무기 개발이 가속화되는 계기가 됐다는 점에서도 의미가 있다.

에어갭만으로는 보호할 수 없다

스턱스넷 이후 산업 제어 시스템(ICS) 보안에서 에어갭은 절대적인 방어 수단으로 보기 어려워졌다. NIST SP 800-82, IEC 62443 등 ICS/SCADA 보안 표준이 발전했고, 산업 시스템 설계 단계부터 보안 요소를 포함하는 Security by Design의 필요성이 커졌다.

국가 차원에서는 주요 기반시설 보호 법제가 확대되고, 사이버 방어 부대와 기관 설립이 증가했다. 사이버 공간의 행동 규범을 두고 국제적 논의도 활성화됐다.

⤢✕

이어진 악성코드와 공격 기법

직접적 연관성이 있는 악성코드로는 2011년 발견돼 정보 수집에 중점을 둔 듀큐(Duqu), 2012년 발견된 중동 지역 표적 스파이웨어 플레임(Flame), 같은 해 발견돼 금융 정보 탈취를 목적으로 한 가우스(Gauss)가 있다.

스턱스넷의 기법을 계승한 공격도 이어졌다. BlackEnergy는 2015년 우크라이나 전력망을 공격했고, Triton/TRISIS는 2017년 사우디아라비아 석유화학 공장의 안전 시스템을 공격했다. NotPetya는 2017년 우크라이나에서 시작해 전 세계로 확산된 파괴적 랜섬웨어다.

공정 보안을 운영 체계에 포함시키기

산업 제어 시스템 보호는 네트워크와 공정, 운영 절차를 함께 다뤄야 한다. 제어 네트워크와 기업 네트워크를 분리하고 그 접점을 최소화하며, 네트워크 세분화(Network Segmentation), DMZ 구성, 단방향 게이트웨이(Unidirectional Gateway), 산업용 방화벽과 침입탐지시스템, 다단계 인증과 액세스 통제를 적용하는 것이 심층 방어의 기반이 된다.

이상 행위 탐지에서는 산업 제어 시스템 전용 탐지와 센서 값의 물리적 일관성 검증, 네트워크 트래픽의 깊은 분석(Deep Packet Inspection), 물리 시스템의 이상 징후를 감지할 메커니즘이 필요하다. 실시간 모니터링과 이상 동작 검출 시스템을 갖추고, 물리 보안과 사이버 보안을 통합 관리하는 한편 물리적 백업과 수동 제어 시스템도 유지해야 한다.

운영 측면에서는 테스트 환경과 우선순위를 갖춘 패치 관리, 하드웨어·소프트웨어 검증 절차를 포함한 공급망 보안, 정기적인 보안 평가와 모의 침투 테스트를 다룬다. 직원 보안 인식 교육, USB 등 이동식 미디어 사용 정책과 통제, 비상 대응 계획 및 연습, 제3자 보안 감사의 정기적 수행도 함께 필요하다.

⤢✕

국가 기반시설 보안에 남긴 과제

스턱스넷은 사이버 공간과 물리적 공간의 경계를 허문 사건이다. 사이버 무기가 실제 전쟁 수단으로 활용될 수 있음을 보여주며 국가 간 갈등의 새로운 영역을 열었다.

이 사건은 주요 기반시설 보호와 산업 제어 시스템 보안을 단순한 IT 보안 문제가 아니라 국가 안보의 핵심 요소로 인식하게 만들었다. 등장 뒤 10년이 지난 현재에도 스턱스넷의 유산은 사이버 보안 전략, 정책, 기술 발전에 지속적으로 영향을 미치고 있다.

주요 기반시설을 운영하는 조직과 국가는 사이버-물리 시스템(Cyber-Physical Systems) 보안을 위한 통합적 접근법을 개발하고 구현해야 한다. 사이버 공간에서 국가 간 행동 규범과 책임에 관한 국제적 합의도 남은 과제다.