산업제어시스템(ICS) 및 운영기술(OT) 환경을 노리는 사이버 위협은 과거의 정형화된 패턴에서 크게 벗어나고 있습니다. 과거 OT 공격이 취약점(Zero-day)을 악용한 악성코드 배포와 파괴적 행위에 집중되었다면, 최근의 위협 주체들은 완전히 다른 전략을 취하고 있습니다.
글로벌 보안 기관(CISA, MITRE, SANS 등)의 분석에 따르면, 공격자들은 더 이상 복잡한 제로데이 익스플로잇을 개발하는 데 전력을 다하지 않습니다. 대신 '탈취된 자격 증명(Valid Accounts)'과 '내장 관리 도구(Living off the Land, LotL)'를 활용해 정상적인 작업자로 위장하여 시스템에 침투하는 방식을 주 공격 경로로 사용하고 있습니다.
제로데이 익스플로잇에서 '탈취된 자격 증명'으로의 전환
MITRE ATT&CK for ICS 프레임워크에서 정의하는 초기 침투 기법 중 가장 높은 비중을 차지하는 것 중 하나는 '정상 계정 악용(T1078)'입니다. 공격자들이 취약점 공격보다 자격 증명 탈취를 선호하는 이유는 명확합니다. 개발 비용이 많이 들고 방어자에 의해 신속히 패치될 수 있는 익스플로잇에 비해, 정상 계정 정보는 훨씬 적은 리소스로 확보할 수 있으며 방어 체계를 무력화하기에 유용하기 때문입니다.
공격자가 유효한 자격 증명을 확보하는 순간, 방어선 가장 외곽에 위치한 차단 체계는 무의미해집니다. 시스템 관점에서는 공격자의 침입이 아닌 '정상 권한 사용자의 세션 접속'으로 인식되기 때문입니다.
LotL 기법으로 정상 트래픽 속에 은밀히 숨어 들어오는 공격
자격 증명을 확보하여 망 내부로 들어온 공격자가 사용하는 핵심 기법은 Living off the Land(LotL)입니다. 이는 별도의 외부 악성코드를 대상 시스템에 설치하지 않고, OS나 제어 시스템 내에 이미 존재하는 정상적인 정품 도구와 스크립트를 활용하는 공격 방식을 의미합니다.
결과적으로 보안 관제팀(SOC)의 화면에는 어떠한 보안 경고(Alert)도 뜨지 않거나, 정상 작업 트래픽과 구별할 수 없는 수많은 미세 알람(Alert Fatigue) 속에 공격 행위가 파묻히게 됩니다.
CISO가 직면한 '경계 세션 승인'과 '엔드포인트 접속 신뢰'의 격차
현재 대부분의 OT 보안 체계는 "누가 네트워크에 접속하는가?"(Identity & Access Control)에 집중되어 있습니다. MFA를 도입하고 VPN 및 PAM(특권 권한 관리)을 통해 접근 세션을 제어하는 것은 매우 중요한 기초 방어선입니다.
그러나 이러한 경계 접근 통제 방식에는 명확한 한계가 존재합니다. 기존 접근 제어 솔루션은 IT/OT 경계에서의 '세션 승인(Authentication)'을 담당할 뿐, 접속이 완료된 네트워크 내부에서 개별 엔드포인트(PLC, EWS 등)에 실제 접속하는 작업자가 누구인지는 검증하지 못합니다.
공격자가 탈취한 계정으로 경계 세션 성립에 성공한 이후, 최말단 PLC에 접속해 래더 로직을 수정하거나 제어 패킷을 송신할 때 기존의 세션 기반 보안 장비는 이를 '정상적인 엔지니어의 접속'으로 수용할 수밖에 없습니다.
엔드포인트 단위의 신원 및 접근 통제로 진화해야 하는 OT 보안
현재의 ICS 위협 환경은 "외부에서의 네트워크 침입을 어떻게 막을 것인가"를 넘어 "인증된 세션 내부에서 개별 엔드포인트에 접속하는 주체를 어떻게 정확히 식별하고 통제할 것인가"라는 본질적인 질문을 던지고 있습니다.
네트워크 경계에서의 일회성 세션 접속 인증만으로는 정상 자격 증명으로 포장된 무단 엔드포인트 접근을 막을 수 없습니다. 진정한 OT 보안은 외곽 세션 연결 확인에 그치지 않고, 엔드포인트에 접근하여 제어 권한을 행사하기 전 시점에 개별 사용자와 기기를 완벽하게 식별하여 '접근 권한(Access Privilege)'을 입증하는 방향으로 진화해야 합니다.
결국 2026년 OT 보안의 핵심은 고정된 계정 중심의 경계 통제를 넘어, 엔드포인트 접속이 발생하는 순간 절대 부인할 수 없는 명확한 감사 로그(Audit Trail)와 책임 추적성(Accountability)을 확보하여 '접근 신뢰(Access Trust)'를 완성하는 데 있습니다.