2010.10.05

안철수연구소, ‘스턱스넷’ 상세 분석 및 대응책 발표

편집부 | IDG Korea

안철수연구소(www.ahnlab.com, 이하 안랩)가 최근 전세계적 사이버 공격 이슈인 ‘스턱스넷(Stuxnet)’ 악성코드에 대한 상세 분석 정보와 대책을 발표했다.

 

‘스턱스넷’은 독일 지멘스사의 산업자동화제어시스템을 공격 목표로 제작된 악성코드로, 원자력, 전기, 철강, 반도체, 화학 등 주요 산업 기반 시설의 제어 시스템에 침투해 오작동을 일으키는 악성코드를 입력해 시스템을 마비시킬 수 있다.

 

특히, 이란 부셰르 원자력핵발전소와 중국 1000여 개 주요 산업 시설을 비롯해 전세계 여러 국가에 감염이 확산된 것으로 보고됐다. 해외 보안 업체에 따르면 전세계 PC 수십 만 대가 감염됐다. 다만 일반 PC에서는 SCADA(supervisory control and data acquisition, 감시 제어 데이터 수집 시스템) 시스템에 접속할 수 없기 때문에 감염만 될 뿐 산업자동화제어시스템을 직접 동작시켜 피해를 주는 일은 없다.

 

우리나라는 상대적으로 원자력 발전 시설과 첨단 자동화 산업 생산 시설이 많으므로 더욱 주의와 예방이 필요하다. 이에 따라 최근 행정안전부는 국내 피해에 대비해 독일 지멘스사 제어 시스템을 사용하는 산업 시설 40여 개를 대상으로 예방 및 대응 조치를 발표했다.

 

안철수연구소 시큐리티대응센터의 분석에 따르면 스턱스넷이 실행되는 환경 조건은 SCADA 시스템 안에 지멘스사의 ‘Step7’이 산업자동화제어시스템 제어용 PC에 설치돼 있고, 산업자동화제어시스템 타입이 6ES7-315-2 또는 6ES7-417이고, 산업자동화제어시스템 제어 PC의 운영체제가 윈도우인 경우이다.

 

스턱스넷이 이용하는 취약점은 총 5개. 이 취약점 중 3개(USB, 공유 프린터, 공유 폴더를 통해 감염)는 이미 마이크로소프트에서 보안 패치를 제공했지만 2개는 아직 발표하지 않았다.

 

안철수연구소는 산업자동화시스템 전용 솔루션인 ‘안랩 트러스라인(AhnLab TrusLine)’을 이용해 방어할 수 있다고 발표했다. 안랩 트러스라인은 관리자가 설정한 프로그램만 실행할 수 있는 ‘화이트 리스트(Whitelist)’ 방식을 적용했다. 즉, 관리자가 아닌 일반 사용자의 웹 서핑, 불필요한 프로그램의 설치 등 시스템에 장애를 주는 행위를 할 수 없도록 유도하는 것이다. 또한 개인과 기업의 일반 PC에는 V3 제품군(V3 Lite, V3 365 클리닉, V3 IS 8.0 등)을 설치해 예방, 치료하는 것을 덧붙였다.

 

안철수연구소 조시행 연구소장은 “이번 스턱스넷은 최근 꾸준하게 보안전문가들이 제기한, 구체적인 목표를 가진 타깃형 사이버 공격이다. 악성코드가 전략적으로 이용될 가능성을 보여주는 구체적인 사례이며, 이 같은 공격은 더욱 늘어날 것으로 예상된다. 특히 SCADA 시스템과 같이 폐쇄적인 환경에서 악성코드가 감염됐을 경우 일반적인 안티바이러스로는 대응이 어려울 수밖에 없으므로, 화이트리스트 기반의 전용 솔루션으로 대비하는 방안이 필요하다”고 강조했다. editor@idg.co.kr



2010.10.05

안철수연구소, ‘스턱스넷’ 상세 분석 및 대응책 발표

편집부 | IDG Korea

안철수연구소(www.ahnlab.com, 이하 안랩)가 최근 전세계적 사이버 공격 이슈인 ‘스턱스넷(Stuxnet)’ 악성코드에 대한 상세 분석 정보와 대책을 발표했다.

 

‘스턱스넷’은 독일 지멘스사의 산업자동화제어시스템을 공격 목표로 제작된 악성코드로, 원자력, 전기, 철강, 반도체, 화학 등 주요 산업 기반 시설의 제어 시스템에 침투해 오작동을 일으키는 악성코드를 입력해 시스템을 마비시킬 수 있다.

 

특히, 이란 부셰르 원자력핵발전소와 중국 1000여 개 주요 산업 시설을 비롯해 전세계 여러 국가에 감염이 확산된 것으로 보고됐다. 해외 보안 업체에 따르면 전세계 PC 수십 만 대가 감염됐다. 다만 일반 PC에서는 SCADA(supervisory control and data acquisition, 감시 제어 데이터 수집 시스템) 시스템에 접속할 수 없기 때문에 감염만 될 뿐 산업자동화제어시스템을 직접 동작시켜 피해를 주는 일은 없다.

 

우리나라는 상대적으로 원자력 발전 시설과 첨단 자동화 산업 생산 시설이 많으므로 더욱 주의와 예방이 필요하다. 이에 따라 최근 행정안전부는 국내 피해에 대비해 독일 지멘스사 제어 시스템을 사용하는 산업 시설 40여 개를 대상으로 예방 및 대응 조치를 발표했다.

 

안철수연구소 시큐리티대응센터의 분석에 따르면 스턱스넷이 실행되는 환경 조건은 SCADA 시스템 안에 지멘스사의 ‘Step7’이 산업자동화제어시스템 제어용 PC에 설치돼 있고, 산업자동화제어시스템 타입이 6ES7-315-2 또는 6ES7-417이고, 산업자동화제어시스템 제어 PC의 운영체제가 윈도우인 경우이다.

 

스턱스넷이 이용하는 취약점은 총 5개. 이 취약점 중 3개(USB, 공유 프린터, 공유 폴더를 통해 감염)는 이미 마이크로소프트에서 보안 패치를 제공했지만 2개는 아직 발표하지 않았다.

 

안철수연구소는 산업자동화시스템 전용 솔루션인 ‘안랩 트러스라인(AhnLab TrusLine)’을 이용해 방어할 수 있다고 발표했다. 안랩 트러스라인은 관리자가 설정한 프로그램만 실행할 수 있는 ‘화이트 리스트(Whitelist)’ 방식을 적용했다. 즉, 관리자가 아닌 일반 사용자의 웹 서핑, 불필요한 프로그램의 설치 등 시스템에 장애를 주는 행위를 할 수 없도록 유도하는 것이다. 또한 개인과 기업의 일반 PC에는 V3 제품군(V3 Lite, V3 365 클리닉, V3 IS 8.0 등)을 설치해 예방, 치료하는 것을 덧붙였다.

 

안철수연구소 조시행 연구소장은 “이번 스턱스넷은 최근 꾸준하게 보안전문가들이 제기한, 구체적인 목표를 가진 타깃형 사이버 공격이다. 악성코드가 전략적으로 이용될 가능성을 보여주는 구체적인 사례이며, 이 같은 공격은 더욱 늘어날 것으로 예상된다. 특히 SCADA 시스템과 같이 폐쇄적인 환경에서 악성코드가 감염됐을 경우 일반적인 안티바이러스로는 대응이 어려울 수밖에 없으므로, 화이트리스트 기반의 전용 솔루션으로 대비하는 방안이 필요하다”고 강조했다. editor@idg.co.kr



X