C-02 제어시스템 계정의 로그인/로그아웃, 사용명령 등 사용기록을 저장

가이드라인 원문

항목	내용
항목코드	C-02
점검내용	운영자,관리자등의계정접근을허용하는제어시스템의계정접속로그인및사용기록(Log)저장여부점검
점검대상	대상시스템에접속하기위해계정(ID)접근이요구되는제어시스템구성요소
판단기준	양호: 대상기기에로그인/로그아웃,사용명령등의사용기록을저장하고있는경우
판단기준	취약: 대상기기에로그인/로그아웃,사용명령등의사용기록이저장되지않아확인할수없는경우
조치방법	대상 구성요소에 사용기록이 저장되도록 설정을 적용하거나, 다른 기기를 이용하여 대상 구성요소의 사용기록이저장되도록설정

상세 설명

개요

제어시스템에서 누가 언제 어떤 작업을 수행했는지 기록하는 것은 보안 사고 발생 시 원인 규명을 위한 가장 기본적이면서도 중요한 활동입니다. 이를 **책임추적성(Accountability)**이라고 합니다.

로그 기록은 마치 CCTV와 같은 역할을 하여, 비정상적인 활동이나 보안 침해가 발생했을 때 그 원인을 추적하고 재발을 방지하는 데 필수적입니다.

접속기록(Log)이란?

접속기록(Log)은 시스템(운영체제) 또는 응용 프로그램의 접속기록으로 다음 4가지 유형의 정보를 포함하는 데이터입니다:

접속자(예시: ID): 누가 접속했는가
접속일시: 언제 접속했는가
접속자의 위치(예시: IP주소): 어디서 접속했는가
사용내역: 무엇을 했는가 (운영체제의 명령 실행 또는 제어설비에 밸브 조작명령 실행 등)

필요성

1. 보안 사고 조사

보안 침해 사고가 발생했을 때, 로그 기록을 통해 침해 경로, 사용된 계정, 실행된 명령 등을 파악할 수 있습니다.

2.책임 소재 명확화

비인가된 조작이나 오작동이 발생했을 때, 누구의 잘못인지 명확히 할 수 있습니다.

3. 증거 확보

법적 분쟁이나 수사가 필요한 경우, 로그 기록은 중요한 증거 자료가 됩니다.

4. 보안 정책 개선

로그 분석을 통해 보안 취약점을 파악하고 보안 정책을 개선할 수 있습니다.

점검 방법

Step 1: 로그 설정 확인

로그인/로그아웃, 사용명령 등의 사용기록이 저장되도록 설정되어 있는지 확인합니다. 생성된 사용기록(별도 파일 또는 DB)의 내용에 사용자의 로그인, 로그아웃, 사용명령의 내용을 포함하고 있는지 확인합니다.

Windows OS 확인 방법

1
2
3
제어판 > 관리 도구 > 로컬 보안 정책 > 보안 설정 > 로컬 정책 > 감사 정책
- 계정 로그온 이벤트 감사 > '성공', '실패' 설정
- 권한 사용 감사 > '성공', '실패' 설정

Unix OS 확인 방법

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
# 로그 설정 확인
cat /etc/syslog.conf

# 로그 파일 확인
cat /var/adm/loginlog
cat /var/adm/authlog
cat /var/adm/sulog

# 로그 설정 변경
vi /etc/syslog.conf

Unix 계열 운영체제의 생성 로그 종류

auth: 로그인 등의 인증 프로그램 유형이 발생한 메시지
authpriv: 개인인증을 요구하는 프로그램 유형이 발생한 메시지
cron: cron이나 at과 같은 프로그램이 발생하는 메시지
daemon: telnetd, ftpd 등과 같은 데몬이 발생하는 메시지
kern: 커널이 발생한 메시지
lpr: 프린터 유형의 프로그램이 발생한 메시지
mail: 메일시스템에서 발생한 메시지
syslog: syslog 프로그램 유형이 발생한 메시지
user: 사용자 프로세스

조치 방법

Windows OS

감사 정책에서 계정 로그온, 로그온 아웃, 권한 사용 등을 감사하도록 설정
이벤트 뷰어를 통해 정기적으로 로그를 확인

Unix OS

/etc/syslog.conf 파일에서 로그 설정을 활성화
로그 파일이 정상적으로 생성되는지 확인
logrotate 등을 이용한 로그 파일 관리

주의사항

저장 공간 확보: 로그 파일은 시간이 지남에 따라 크기가 증가하므로 충분한 저장 공간을 확보해야 합니다.
로그 보호: 로그 파일 자체가 변조되지 않도록 적절한 권한 설정과 백업이 필요합니다.
정기적인 검토: 로그는 단순히 저장하는 것만으로는 부족하며, 정기적으로 검토하고 분석해야 합니다.
시스템 운영 특성 고려: 일부 시스템 운영 특성상 사용기록을 남기도록 변경할 수 없는 경우, 기관에서 자체적으로 보완대책을 수립해야 합니다.
로그 보관 기간: 관련 법규와 내부 정책에 따라 로그 보관 기간을 설정하고 준수해야 합니다.

결론

제어시스템의 로그인/로그아웃 및 사용기록 저장은 보안 관리의 핵심 요소입니다. 모든 제어시스템 구성요소에서 이러한 기록이 체계적으로 저장되고 관리되도록 함으로써, 보안 사고 발생 시 신속한 원인 규명과 효과적인 대응이 가능해집니다.