C-09 제어시스템 구성요소에 대한 관리자 페이지 운영 시 이에 대한 접근통제(사전인가 접근만 허용) 수행
가이드라인 원문
| 항목 | 내용 |
|---|---|
| 항목코드 | C-09 |
| 점검내용 | 제어시스템 구성요소의 관리 페이지에 접근하는 관리자에 대해 사전에 인가된 접근만 가능하도록 접근통제수행여부점검 |
| 점검대상 | 점검대상및판단기준 |
| 판단기준 | 양호: 관리자페이지에IP주소,MAC주소등을통해사전인가된관리자만접근이가능한경우 |
| 판단기준 | 취약: 모든사용자가관리자페이지에접근이가능한경우 |
| 조치방법 | 제어시스템구성요소의관리자페이지에사전인가된접근만가능하도록(IP주소등)설정 |
상세 설명
1. 항목 개요
제어시스템 구성요소의 관리자 페이지에 사전에 인가된 관리자만 접근할 수 있도록 접근통제를 수행하는 것은 인가되지 않은 접근과 악의적인 공격을 방지하기 위한 필수적인 보안 조치입니다.
관리자 페이지는 제어시스템 구성요소의 핵심 설정을 변경할 수 있는 중요한 인터페이스로, 무단 접근을 차단하기 위해 IP 주소, MAC 주소 등을 사전에 인가하여 접근을 제한해야 합니다.
2. 왜 이 항목이 필요한가요?
이 항목은 제어시스템 구성요소를 관리하는 관리 페이지에 사전에 인가된 관리자만 접근하도록 하여 인가되지 않거나 악의적인 접근을 차단하기 위함입니다.
보안 위협 시나리오:
권한이 없는 사용자의 악의적 접근
- 권한이 없는 사용자가 관리자 페이지에 접근 시도
- 권한 획득, 인증 우회 등의 공격 시도
- 해당 장비 장악으로 인한 제어시스템 오작동 유발
물리적 접속만 허용하는 경우
- 네트워크를 이용한 모든 접근을 차단하고 물리적으로 접근하는 콘솔 접근만 허용하는 경우 양호한 것으로 판단 가능
3. 점검 대상
- 관리자 페이지가 존재하는 모든 제어시스템 구성요소
- 제어시스템을 구성하는 네트워크 전체
4. 판단 기준
- 양호: 관리자 페이지에 IP 주소, MAC 주소 등을 통해 사전인가된 관리자만 접근이 가능한 경우
- 취약: 모든 사용자가 관리자 페이지에 접근이 가능한 경우
5. 점검 방법
공통 점검 절차
Step 1) 관리자 페이지 존재 여부 확인
제어시스템 구성요소 현황(목록)을 확인하고 관리자 페이지가 존재하는 구성요소를 식별합니다. 해당 구성요소에 대해, 관리자 페이지 접근 방법 및 사전인가된 접근만 가능하도록 설정되어 있는지 확인합니다.
- 물리적인 접근(기기 콘솔 포트를 이용한 접근 등)만 허용하고 있으며, 그 외 관리자 페이지 접근이 불가능한 구성요소의 경우 제외
Step 2) 사전 인가되지 않은 방법으로 접속 시도
Step 1)에서 사전 인가되지 않은 방법으로 관리자 페이지에 접근을 시도합니다.
- 예시: 설정되지 않은 IP 주소의 기기로 접근 등
- 관리자 페이지가 나타날 경우, 해당 구성요소에서 접근할 수 없도록 설정 변경을 통한 조치 수행
참고사항: 제어시스템 구성요소에서 사전에 인가된 관리자만 접근할 수 있도록 설정할 수 없는 경우, 방화벽, 네트워크 장비, 서버 등에 적용 가능한 접근통제 규칙 변경을 통해 지정된 관리자 IP만 접근할 수 있도록 설정할 수 있습니다.
6. 조치 방법
IP 주소 기반 접근통제
사전 인가된 IP 주소 등록
- 관리자가 접근할 수 있는 IP 주소를 사전에 인가
- 인가되지 않은 IP 주소 접속 차단
네트워크 장비에서 설정
- 네트워크 장비에서 관리자 접근을 특정 IP로 제한
- 방화벽 규칙을 통한 IP 필터링
제어 S/W에서 설정
- 제어 S/W의 IP 필터링 기능 활성화
- 제어 S/W에서 관리자 접근을 특정 IP로 제한
- IP 주소, MAC 주소 등을 통한 접근 통제
MAC 주소 기반 접근통제
- MAC 주소 필터링
- 네트워크 장비 또는 제어시스템에서 MAC 주소 기반 접근 제어
- 사전 등록된 MAC 주소만 접속 허용
7. 조치 시 주의사항
- 일부 제어시스템 설정에 따라 접속 오류 발생 가능
- 관리자 IP 주소 변경 시 반영 필요
- 유지보수 등을 위해 임시 접근이 필요한 경우 별도 절차 수립
- 조치 전 반드시 테스트 환경에서 검증
8. 참고 자료
- NIST SP 800-82: Guide to Industrial Control Systems Security
- IEC 62443: Industrial Communication Networks - Network and System Security
요약
제어시스템 구성요소의 관리자 페이지에 IP 주소, MAC 주소 등을 통해 사전 인가된 관리자만 접근할 수 있도록 설정하여 인가되지 않은 접근과 악의적인 공격을 방지해야 합니다.