공격은 늘었는데 탐지는 그대로인가요? | 제조업·스마트팩토리 담당자가 점검해야 할 탐지 공백

제조업 OT 환경, 공격은 늘었지만 기존 탐지 체계로는 한계
#스마트팩토리보안 #제조업사이버보안 #OT보안탐지

제조업 사이버 공격 증가 추세와 탐지 체계의 괴리

최근 3년간 제조업을 대상으로 한 사이버 공격은 매년 40% 이상 증가했습니다. 랜섬웨어, 공급망 공격, IoT 기기를 통한 측면 침투 등 공격 벡터는 갈수록 정교해지고 있습니다. 하지만 대부분의 제조 기업들은 여전히 방화벽, IDS/IPS, 백신 같은 전통적 보안 솔루션에만 의존하고 있습니다.

공격 표면의 확대, 그러나 가시성은 제자리

스마트팩토리로의 전환은 생산성 향상이라는 명확한 목표를 가지고 있습니다. 그러나 그 과정에서 PLC, SCADA, MES, IoT 센서 등 수많은 디바이스가 네트워크에 연결되면서 공격 표면은 기하급수적으로 늘어났습니다. 문제는 이러한 OT 자산들이 기존 IT 보안 체계의 가시성 밖에 있다는 점입니다.

많은 제조 현장에서는 생산 라인의 안정성을 최우선으로 하기 때문에, 보안 에이전트 설치나 실시간 스캐닝 같은 적극적인 보안 조치를 꺼립니다. 결과적으로 OT 영역은 “보이지 않는 영역”으로 남게 되고, 공격자들은 이 틈을 노립니다. 실제로 2023년 한 국내 중견 제조사는 IoT 센서를 경유한 랜섬웨어 감염으로 일주일간 생산이 중단되는 피해를 입었습니다.

공격 표면은 넓어졌지만 보안 팀의 시야는 여전히 IT 중심입니다. OT 자산에 대한 가시성 확보가 시급합니다.

레거시 탐지 시스템의 한계

기존의 SIEM(Security Information and Event Management) 솔루션은 대량의 로그를 수집하고 룰 기반으로 경보를 발생시키는 구조입니다. 하지만 제조 환경에서는 오탐(False Positive)이 지나치게 많아 실제 위협을 놓치는 경우가 빈번합니다.

예를 들어, 생산 라인에서 정상적으로 발생하는 대량의 프로토콜 통신(Modbus, OPC-UA 등)을 IT 중심의 SIEM은 제대로 이해하지 못합니다. 결국 보안 담당자는 하루에 수백 건의 경보 속에서 진짜 위협을 가려내야 하는 피로감에 시달리게 되고, 정작 중요한 이상 징후는 무시되거나 늦게 발견됩니다. 이것이 바로 “탐지는 그대로”인 상태의 실체입니다.

IT-OT 융합 지점의 보안 공백

IT와 OT가 만나는 경계 지점은 가장 취약한 구간입니다. 여기서는 프로토콜 변환, 데이터 동기화, 원격 접속 등이 빈번하게 일어나는데, 이 과정에서 발생하는 보안 이벤트는 IT 솔루션도, OT 솔루션도 명확히 담당하지 못하는 경우가 많습니다.

이런 공백을 메우기 위해서는 IT와 OT를 모두 아우르는 통합 탐지 체계가 필요합니다. 스텔라사이버 같은 차세대 NDR(Network Detection and Response) 솔루션은 에이전트 없이도 네트워크 트래픽을 분석해 OT 프로토콜 이상 징후를 탐지할 수 있어, 이러한 공백을 효과적으로 메울 수 있습니다.

제조업 담당자가 점검해야 할 탐지 공백 영역

실무 담당자 입장에서는 어디서부터 점검해야 할지 막막할 수 있습니다. 여기서는 우선순위가 높은 세 가지 공백 영역을 제시합니다.

OT 자산 인벤토리와 네트워크 맵 부재

많은 제조 기업들이 자사의 OT 자산 목록을 정확히 파악하지 못하고 있습니다. “어떤 PLC가 어느 라인에 몇 대 설치되어 있는가”, “어떤 프로토콜로 통신하는가”, “외부와 연결된 경로는 무엇인가” 같은 기본 질문에 답하지 못하는 경우가 허다합니다.

자산 목록이 없으면 탐지 자체가 불가능합니다. 첫 번째로 해야 할 일은 수동 또는 자동화 도구를 활용한 자산 발견(Asset Discovery)입니다. 스텔라사이버 같은 솔루션은 네트워크 트래픽 분석을 통해 수동 개입 없이도 OT 자산을 자동으로 식별하고 분류할 수 있습니다. 이를 통해 “보이지 않던 자산”을 가시화하는 것이 탐지 체계 구축의 첫걸음입니다.

자산 목록 없이는 탐지도, 대응도 불가능합니다. 가시성 확보가 모든 보안 활동의 출발점입니다.

이상 행위 탐지 룰의 부재 또는 부적합

많은 기업들이 IT 중심의 탐지 룰을 그대로 OT 환경에 적용하려다 실패합니다. OT 환경에서는 정상 행위 패턴 자체가 IT와 다르기 때문입니다. 예를 들어, PLC는 일정한 주기로 센서 값을 읽고 쓰는 반복 작업을 하는데, 이를 IT 관점에서 보면 “비정상적인 반복 접속”으로 오인될 수 있습니다.

따라서 OT 환경에 특화된 베이스라인과 탐지 룰이 필요합니다. 정상 통신 패턴을 학습하고, 이탈하는 행위를 탐지하는 머신러닝 기반 접근이 효과적입니다. 스텔라사이버는 이러한 행위 기반 탐지를 통해 알려지지 않은 위협(Zero-day)까지 식별할 수 있는 능력을 제공합니다. 단순히 시그니처 기반 탐지에만 의존하는 것은 이미 구시대 방식입니다.

보안 이벤트의 분산과 통합 분석 부재

제조 환경에서는 방화벽, IDS, 접근제어 시스템, MES 로그, 영상 보안 시스템 등 다양한 소스에서 보안 이벤트가 발생합니다. 하지만 이들이 각각 독립적으로 운영되기 때문에, 공격자의 움직임을 전체적으로 파악하기 어렵습니다.

예를 들어, 방화벽에서는 외부 IP로부터의 스캔 시도가 탐지되고, 동시에 MES에서는 비정상 로그인이 발생했으며, SCADA에서는 설정 변경이 일어났다면, 이 세 가지는 연관된 하나의 공격 시나리오일 가능성이 높습니다. 하지만 각 시스템이 따로 놀면 이런 연결고리를 발견할 수 없습니다.

통합 보안 분석 플랫폼의 필요성은 바로 여기에 있습니다. 스텔라사이버는 다양한 보안 소스의 이벤트를 한곳에 모아 상관 분석(Correlation Analysis)을 수행함으로써, 분산된 이벤트 속에서 실제 위협을 추출합니다. 이는 단순히 로그를 모으는 것이 아니라, 인과관계를 파악하고 공격 스토리를 재구성하는 과정입니다.

탐지 공백을 메우기 위한 실질적 접근법

이론적으로는 모두가 통합 보안의 필요성을 인정하지만, 실무에서는 예산, 인력, 기술적 복잡도 등의 장벽이 존재합니다. 현실적인 접근법을 제시합니다.

우선순위 기반 단계적 구축

모든 것을 한 번에 바꾸려 하면 실패할 확률이 높습니다. 먼저 핵심 생산 라인이나 외부와 연결된 경계 지점부터 가시성을 확보하는 것이 현명합니다. 예를 들어, 원격 접속이 빈번한 DMZ 구간이나, 최근 설치된 IoT 센서 그룹부터 모니터링 대상에 포함시키는 방식입니다.

스텔라사이버 같은 솔루션은 단계적 확장이 가능한 아키텍처를 제공하므로, 초기에는 작은 규모로 시작해 효과를 확인한 후 점진적으로 범위를 넓힐 수 있습니다. 중요한 것은 “완벽한 시스템”을 기다리기보다, 지금 당장 가장 위험한 공백부터 메우는 것입니다.

완벽한 보안 체계를 기다리기보다, 가장 위험한 공백부터 메우는 실용적 접근이 필요합니다.

자동화와 머신러닝 활용

제조 기업 대부분은 전담 보안 인력이 부족합니다. 따라서 사람이 일일이 모니터링하는 방식은 지속 가능하지 않습니다. 자동화된 위협 탐지와 머신러닝 기반 이상 징후 분석이 필수적입니다.

스텔라사이버는 AI 기반 위협 탐지 엔진을 통해 수천 개의 보안 이벤트 중에서 진짜 위협만을 추려내고, 우선순위를 자동으로 부여합니다. 담당자는 상위 몇 건의 고위험 경보만 검토하면 되므로, 제한된 인력으로도 효과적인 보안 운영이 가능합니다. 또한 플레이북(Playbook) 기능을 통해 일상적인 대응 절차를 자동화할 수 있어, 인적 오류를 줄이고 대응 속도를 높일 수 있습니다.

외부 전문가 및 MDR 서비스 활용

내부 역량만으로 부족하다면, 외부 전문가의 도움을 받는 것도 현실적인 선택입니다. MDR(Managed Detection and Response) 서비스는 24/7 모니터링과 전문가의 위협 분석을 제공하므로, 자체 보안 팀이 없는 중소 제조사에게 적합합니다.

스텔라사이버 같은 플랫폼은 MSSP(Managed Security Service Provider)와의 연동이 용이하므로, 필요한 경우 외부 서비스와 결합해 보안 운영 체계를 강화할 수 있습니다. 중요한 것은 “우리가 모든 것을 직접 해야 한다”는 고정관념에서 벗어나, 가용한 자원과 서비스를 유연하게 조합하는 것입니다.

결국 탐지 공백을 메우는 것은 기술만의 문제가 아니라, 조직의 우선순위와 실행 의지의 문제입니다. 공격은 계속 진화하고 있지만, 탐지 체계가 그대로라면 결국 피해는 불가피합니다. 지금이라도 자사의 탐지 공백을 점검하고, 현실적인 개선 계획을 수립해야 할 때입니다.