C-10 제어시스템 내 파일/디렉터리 접근권한 및 신뢰관계를 적절히 부여

가이드라인 원문

상세 설명

1. 항목 개요

제어시스템 내 파일/디렉터리 접근권한 및 신뢰관계를 적절히 부여하는 것은 중요 자료의 무단 접근과 유출을 방지하기 위한 필수적인 보안 조치입니다.

제어시스템 운영을 위해 공유 폴더를 사용하거나 구성요소 간 통신이 필요하지만, 과도한 권한 부여나 신뢰관계 설정은 보안 위협을 초래할 수 있습니다.

2. 왜 이 항목이 필요한가요?

이 항목은 제어시스템 운영을 위해 파일/디렉터리 접근 권한 및 신뢰 관계를 과다하게 부여하여 인가되지 않은 사용자가 허용되지 않은 파일, 정보에 접근하는 것을 차단하기 위함입니다.

보안 위협 시나리오:

1. 중요 자료 무단 접근 및 유출

   • 제어시스템과 관련된 중요 자료(도면 등)에 대해 접근 권한을 과다하게 부여
   • 인가되지 않은 사용자가 해당 정보를 취득하여 외부에 공개
   • 공격을 위한 기초 자료로 활용

2. 과도한 접근권한 부여

   • 볼륨 전체를 공유하거나 모든 사용자 계정이 읽기·쓰기·실행 권한을 가지는 등의 설정
   • 파일 및 디렉터리 접근권한 과다부여

3. 과다한 신뢰관계

   • 통합인증(Single Sign-on), SSH Key의 트러스트 설정 등을 통해 제어시스템 구성요소 간 인증 없이 접근 가능
   • 필요 이상의 다중 로그인 허용, 세션 간 로그인 정보 지속적 유지
   • 비밀번호 저장을 통한 자동로그인

3. 점검 대상

• 제어시스템 내 구성요소
• 공유 폴더
• 파일/디렉터리
• SSH Key 및 트러스트 설정

4. 판단 기준

• 양호: 제어시스템 내 파일/디렉터리에 접근권한 및 신뢰관계를 과다하게 부여하지 않은 경우
• 취약: 제어시스템 내 파일/디렉터리에 접근권한 및 신뢰관계를 과다하게 부여한 경우

5. 점검 방법

공통 점검 절차

Step 1) 파일/디렉터리 접근 권한 확인

제어시스템 내 구성요소에서 파일/디렉터리 접근 권한 설정을 확인합니다.

Windows OS 확인 방법

1. 공유 폴더 확인

   • 실행 창에서 fsmgmt.msc를 입력한 후 확인 버튼을 클릭
   • 공유 폴더 > 공유 폴더(로컬) > 공유에서 설정 확인
   • 기본 공유 설정된 드라이브 또는 IPC가 존재하지 않는지 확인

2. 네트워크 파일 및 폴더 공유 확인

   • 내 컴퓨터 > 로컬디스크 속성 > 공유 > 네트워크 파일 및 폴더 공유에서 확인
   • 네트워크 파일 및 폴더 공유가 사용되고 있지 않은지 확인

3. 공유 폴더 제거

   • 기본 공유 설정된 드라이브 또는 IPC 존재 시 제거
   • 불필요한 네트워크 파일 및 폴더 공유 사용 중지

주의사항:

• 해당 기기에서 설정 변경이 불가능할 경우, 제어시스템 개발업체와 협의하여 보완대책 마련 권고

6. 조치 방법

접근권한 적정화

1. 최소 권한 부여

   • 반드시 필요한 때에만 설정
   • 반드시 필요한 특정 위치의 특정 사용자에게만 허용

2. 공유 폴더 제거

   • 기본 공유 설정된 드라이브 제거
   • 불필요한 IPC(Inter-Process Communication) 공유 제거

3. 네트워크 공유 중지

   • 네트워크 파일 및 폴더 공유 사용 중지
   • 필요 시 특정 폴더만 제한적으로 공유

신뢰관계 적정화

1. SSH Key 관리

   • 불필요한 SSH Key 트러스트 설정 제거
   • 필요한 경우에만 Key 기반 인증 사용

2. 통합인증 제한

   • 과도한 통합인증(Single Sign-on) 사용 제한
   • 필요한 구성요소 간에만 적용

3. 세션 관리

   • 다중 로그인 제한
   • 세션 타임아웃 설정
   • 로그인 정보 지속적 유지 방지

7. 조치 시 주의사항

• 일반적인 경우 영향 없음
• 기존 업무에 영향이 없도록 충분한 테스트 후 적용
• 설정 변경 불가능한 경우 개발업체와 협의하여 보완대책 마련
• 정기적인 접근권한 검토 및 재조정

8. 참고 자료

• NIST SP 800-82: Guide to Industrial Control Systems Security
• IEC 62443: Industrial Communication Networks - Network and System Security

요약

제어시스템 내 파일/디렉터리 접근권한 및 신뢰관계를 과다하게 부여하지 않고, 필요한 최소한의 권한만 부여하여 중요 자료의 무단 접근과 유출을 방지해야 합니다.