SCADA
IT 위키
더 많은 작업
- SCADA; Supervisory Control and Data Acquisition; 스카다; 감시 제어 및 데이터 취득
- 산업 공정, 시설·설비 등에서 중앙 제어 시스템이 원격의 장치들을 감시하고 제어하는 시스템
- 대표적인 산업 제어 시스템(Industrial Control Systems, ICS)
- CIMON(사이먼)
- 오토베이스
- 1세대: 모놀리틱
- 2세대: 분산처리
- 3세대: 네트워크
SCADA는 넓은 지역에 흩어진 현장 설비(전력망, 상수도, 가스·송유관, 철도)를 중앙 관제실에서 감시·제어하는 데 주로 쓰인다. 한 공장 안의 공정을 제어하는 분산 제어 시스템(DCS)과 함께 산업제어시스템의 한 형태이다.
| 구성 요소 | 역할 |
|---|---|
| 제어 서버(SCADA 서버, MTU) | 현장 장치를 주기적으로 폴링해 데이터를 모으고 설정값을 내려보낸다 |
| HMI(Human-Machine Interface) | 운전원이 공정 상태를 보고 명령을 내리는 화면 |
| 데이터 히스토리언(data historian) | 공정 데이터를 저장해 분석·보고에 쓰는 데이터베이스. 업무망과 데이터를 주고받는 지점이 되기 쉽다 |
| RTU, PLC | 현장에서 센서 값을 읽고 액추에이터를 직접 제어하는 장치 |
| 통신망 | 무선, 전용 회선, 위성, 인터넷 등. Modbus, DNP3 같은 산업용 프로토콜을 쓴다 |
SCADA는 정보를 처리하는 IT와 달리 물리 세계를 직접 움직이는 운영 기술(OT, Operational Technology)이다. NIST SP 800-82 Rev. 3은 OT 보안 목표가 보통 무결성과 가용성을 먼저, 기밀성을 그 다음에 두며, 그 위에 안전(safety)을 최우선으로 고려해야 한다고 설명한다.
| 구분 | 일반 IT | ICS/OT(SCADA) |
|---|---|---|
| 우선순위 | 기밀성 중시인 경우가 많음 | 안전 > 가용성·무결성 > 기밀성 |
| 장애 영향 | 데이터 손실, 업무 중단 | 인명 피해, 환경 오염, 설비 파손 |
| 수명 | 비교적 짧은 주기로 교체 | 20년을 넘길 수 있어(SP 800-82 Rev. 3) 지원 종료 제품이 많음 |
| 패치 | 정기 패치 가능 | 공정 중단과 안전 재검증이 필요해 패치가 늦음 |
| 프로토콜 | 인증·암호화가 기본인 현대 프로토콜 | Modbus, DNP3(IEEE 1815)처럼 오래전에 설계되어 인증·암호화가 없거나 선택 사항인 산업용 프로토콜 |
| 보안 도구 | 백신, 능동 스캔 사용 가능 | 능동 스캔이 장비를 멈출 수 있어 수동 감시 위주 |
현장 I/O 계층(센서·액추에이터)의 장치와 프로토콜은 인증을 하지 못하는 경우가 많아 재전송·변조·위장 공격에 노출된다(SP 800-82 Rev. 3). 또 OT가 IT망과 연결되면서 망 단절(에어 갭)만으로는 충분하지 않게 되었다.
- 스턱스넷: 2010년 7월 발견된 Windows 웜이다. 처음에는 무차별로 퍼졌지만, 특정 구성의 SCADA 시스템과 산업 공정만 노리는 매우 특화된 악성 페이로드를 담고 있었다(SP 800-82 Rev. 3). 이란 원심분리기 시설을 겨냥한 사례로 알려져 있다.
- 마루치 하수 처리 시설 사건(2000, 호주): 제조용 소프트웨어 개발사의 전 직원이 지방정부 채용에서 탈락한 뒤 두 달 동안 무선 송신기로 46차례가량 하수 펌프장 제어에 침입해 오수를 하천과 공원으로 흘려보냈다. 내부자와 무선 통신의 위험을 보여 준다.
- 독일 제철소 공격(2014): 제어 시스템이 조작되어 용광로를 정상적으로 정지하지 못해 큰 피해가 났다고 SP 800-82 Rev. 3이 소개한다.
- 전력망을 노린 공격, 랜섬웨어가 IT망을 마비시켜 OT 운영까지 멈춘 사례처럼 IT 침해가 OT 중단으로 번지는 경우도 많다.
퍼듀 모델(Purdue model, 퍼듀 기업 참조 아키텍처)은 ICS 네트워크를 계층으로 나눠 분할 기준으로 쓰는 모델이다. SP 800-82 Rev. 3은 퍼듀 모델, ISA-95 계층, IIoT 3계층 모델 등을 분할에 활용하라고 권고하며, 4계층 장치가 2·1·0계층 장치와 직접 통신하지 못하도록 방화벽 규칙을 두라고 예시한다.
| 계층 | 내용 | 예 |
|---|---|---|
| 5계층 | 기업 네트워크 | 인터넷 연결, 전사 시스템 |
| 4계층 | 사업 계획·물류 | ERP, 업무용 서버, 이메일 |
| DMZ(흔히 3.5계층) | IT와 OT 사이 완충 구역 | 히스토리언 복제본, 패치 서버, 원격 접속 중계 |
| 3계층 | 현장 운영 관리 | 공장 단위 히스토리언, 운영 관리 서버 |
| 2계층 | 감시 제어 | SCADA 서버, HMI, 엔지니어링 워크스테이션 |
| 1계층 | 기본 제어 | PLC, RTU, 제어기 |
| 0계층 | 물리 공정·현장 I/O | 센서, 액추에이터, 모터, 밸브 |
- IEC 62443: 산업 자동화·제어 시스템 보안 표준군. 같은 보안 요구를 가진 자산을 영역(zone)으로 묶고, 영역 사이 통신을 통로(conduit)로 정의해 통제한다. 자산 소유자, 시스템 통합자, 제품 공급자의 역할별 요구사항을 나눈다.
- NIST SP 800-82 Rev. 3(2023년 9월): OT 보안 지침. ICS를 포함해 건물 자동화, 교통, 물리 출입통제 시스템까지 OT 범위로 다루며, 저·중·고 영향 OT 시스템별 SP 800-53 Rev. 5 통제 기준선을 담은 OT 오버레이를 제공한다. 2026년 9월 Rev. 4 초안이 공개되었다.
- 한국에서는 전력·수도처럼 SCADA를 운영하는 국가 기반 시설이 주요정보통신기반시설로 지정되면 취약점 분석·평가 등 보호 의무를 진다.
- 망분리와 분할: IT망과 OT망을 분리하고, 그 사이에 DMZ를 둬 직접 통신을 막는다(망분리, 네트워크 분할).
- 단방향 게이트웨이(unidirectional gateway, 데이터 다이오드): 하드웨어적으로 한 방향으로만 데이터가 흐르게 하는 장치이다. 방화벽과 달리 설정 실수로 양방향을 열 수 없다. OT에서 IT로 히스토리언 데이터를 내보내는 경계에 많이 쓴다(단방향 통신).
- 원격 접속 통제: 공급업체 원격 유지보수는 DMZ의 중계 서버를 거치게 하고 다중 인증과 세션 기록을 적용한다.
- OT 전용 감시: Modbus, DNP3 같은 프로토콜을 해석하는 OT용 방화벽과 수동형 침입탐지시스템으로 비정상 명령(설정값 변경, 펌웨어 쓰기)을 탐지한다.
- 보완 통제: 패치할 수 없는 장비는 접근 제한, 화이트리스트, 이동식 매체 통제로 보완한다.
- 안전 계통 분리: 안전 계장 시스템(SIS)은 제어 시스템과 독립적으로 유지한다.
- ICS/OT에서 가장 우선하는 것은 인명 안전이고, 그 다음이 가용성과 무결성이다. "기밀성 우선"은 흔한 오답이다.
- 패치가 어려운 OT 장비에는 네트워크 분할, DMZ, 단방향 게이트웨이 같은 보완 통제를 고른다.
- 운영 중인 OT망에 능동 취약점 스캔을 바로 돌리지 않는다. 먼저 시험 환경이나 수동 감시를 고려한다.
- 퍼듀 모델에서 기업망(4·5계층)과 제어망(0~2계층) 사이 직접 통신은 금지하고 DMZ를 거친다.
- OT가 IT망과 연결될수록 망 단절(에어 갭)만으로는 충분하지 않다. 분할, 감시, 원격 접속 통제를 함께 고른다.