스카다(SCADA) 시스템 대한 취약점 패치 시간, 평균 150일로 드러나

개요
 

• 트렌드마이크로 社, 스카다 HMI 보안 취약점 동향 보고서 공개 
   

 

주요내용
 

 

• 2015년 ~ 2016년 발간된 ICS-CERT와 트렌드 마이크로의 분석자료 수백 건을 기초로 작성

1. 스카다(SCADA) 시스템에 관한 취약점 통계, 제조사별 취약점 패치 발표까지 소요 시간, HMI 취약점 사례 분석 등을 수록

• 제조사별 스카다(SCADA) 시스템에 대한 취약점 패치 제공 소요일은 평균 150일
  - 비교적 소규모 제조사들은 취약점 패치를 빨리 내놓지만, ABB, GE와 같은 대형 제조사들은 평균 220일에 달할 정도로 취약점에 대한 패치 대응이 늦다고 지적

그림1. 스카다(SCADA) 제조사별 평균 취약점 보안패치 발표 소요 시간(일)

출처 : Hacker Machine Interface : The State of SCADA HMI Vulnerabilities (Trend Micro, 2017)

1. 스카다(SCADA) 시스템의 구성요소 중 하나인 HMI의 보안 취약점 카테고리 별 비율
   - 지난 2년간 드러난 취약점의 종류는 인증/허가의 부재 & 취약한 기본설정 (23%), 메모리 부패(Corruption) (20%), 인증 관리 취약 (19%), 코드 인젝션 (9%)의 순
   - 대부분의 HMI는 웹 어플리케이션이 아닌 윈도우 응용프로그램으로 구현되므로, 크로스 사이트 스크립팅(XSS) 혹은 크로스 사이트 요청 변조(CSRF)와 같은 취약점들은 거의 존재 하지 않음  

그림2. 스카다(SCADA) 시스템의 취약점 카테고리

출처: Hacker Machine Interface : The State of SCADA HMI Vulnerabilities (Trend Micro, 2017)

• 보고서는 각각의 취약점 종류별로 스카다 시스템에 미치는 영향에 대한 다양한 사례연구 수록
  - 메모리 부패(Memory Corruption) 취약점 사례 연구 : 어드밴텍 WebAccess
  - 인증 정보 관리 취약점 사례 연구 : GE MDS PulseNET
  - 코드 인젝션 취약점 사례 연구 : Cogent DataHub
  - 인증/인가 취약점 사례 연구 : 지멘스 SINEMA Server

그림3. GE MDS PulseNET의 사용자 관리화면, MD5 해쉬 비밀번호 노출

출처: Hacker Machine Interface : The State of SCADA HMI Vulnerabilities (Trend Micro, 2017)
 

시사점
 

1. HMI는 스카다(SCADA)의 중앙 제어 역할을 하는 만큼 취약점이 발견되었을 경우 빠른 패치 발표를 위한 제조사의 노력 필요

• 또한 스카다 제조사들은 제품이 항상 공공 네트워크에 연결된다고 가정하고 개발하는 등 개발단계 보안이 중요

[출처]
1. SECURITYWEEK, “Average Patching Time for SCADA Flaws Is 150 Days: Report”, 2017. 05. 23.
http://www.securityweek.com/average-patching-time-scada-flaws-150-days-report
2. Trend Micro, “Hacker Machine Interface : The State of SCADA HMI Vulnerabilities”, 2017. 05. 22.
https://documents.trendmicro.com/assets/wp/wp-hacker-machine-interface.pdf