NSHC(대표 허영일)는 8월 일부터 11일까지 미국 라스베이거스에서 열리는 데프콘 27에서 기반시설 및 제어망 관련 시스템을 대상으로 하는 ‘Red Alert ICS CTF’ 해킹 대회를 개최했다. 지난해 이어 2년 연속 콘테스트 운영이다.

NSHC 측은 “ICS CTF 콘테스트는 데프콘 내 30여 개 콘테스트 가운데 가장 인기가 많고, 세계적인 명성의 해커들이 참여하는 행사다. 특별히 이번 대회는 뉴욕시와 PwC에서 투자를 했으며 시카고에 있는 FullStack 아카데미에서 행사를 서포트했다”고 설명했다.

또한 이번 행사를 통해 아직까지 알려지지 않은 스카다(SCADA) 시스템에 대한 제로데이취약점에 대한 공격기법이나, 우크라이나 정전 사태와 관련된 ‘블랙에너지’, 최근에 국가간의 사이버전을 위해 제작된 악성코드 등의 특이점을 잘 분석해 대회 전반에 걸쳐서 문제로 출제했다고 밝혔다.

올해 NSHC는 이번 ICS CTF 대회를 위해 시각적으로 해킹 공격을 보여줄 시뮬레이션과 실제 산업용 장비를 사용하는 시뮬레이션을 기반으로 현실성이 높은 시나리오를 만드는 것을 주요 포인트로 했다. 챌린지 문제 또한 이런 공격 시나리오를 기반으로 설계해 산업 시설에 물리적으로 접근하는 단계부터 내부 침입, 네트워크 접근, 망분리 우회, 내부 시스템 공격까지 참여자들이 단계별로 챌린지로 경험할 수 있게 만들었다고 전했다.

실제 산업용 장비로 이루어진 시뮬레이션과 실존하는 취약점을 이용한 챌린지를 만들어, 스마트 시티에서 해킹 공격으로 인해 도시가 정전된다거나 원전에서는 터빈이 멈추는 사고, 기차가 탈선하는 사고 등과 같은 시나리오에 어떤 해킹 기술이 접목될 수 있는지를 문제로 경험할 수 있게 하는데 초점을 맞추었다고 한다.

또 대회 준비하는 가운데 가장 신경을 많이 써야 했던 부분에 대해 허영일 대표는 “대회 문제의 난이도 조절 및 시나리오의 개연성 확인에 신경을 가장 많이 썼다. 아무리 문제와 시뮬레이션을 잘 만들어도 실제와 같은 시나리오가 나오지 않는 한 거리감이 느껴지고 호응을 얻기도 어렵다. 따라서 운영진들의 풍부한 모의해킹 경험을 녹여 현실감있고 효과적인 공격 시나리오를 구축하는데 가장 노력을 기울였다”고 설명했다.

그리고 “문제 준비와 함께 대회 운영에 대한 준비도 큰 비중을 차지한다. 대회 운영 및 문제 출제 관련된 서버가 오류 없이 운영될 수 있게 대비해야 하고, 참가자들이 흐름이 끊기지 않게 문제를 잘 풀 수 있도록 스태프들은 발생할 수 있는 경우의 수를 생각하고 대응해두어야 한다. 또한 산업제어 해킹대회이기 때문에 시뮬레이션, 해킹툴을 수에 맞게 구비하고 현장에서 오류 없이 셋팅해야 하는 등 일반 해킹대회보다 신경써야 할 부분이 많다”고 전했다.

NSHC 측은, 문제 난이도 배분을 잘 해서 참가자들이 모든 문제를 골고루 시도해볼 수 있도록 대회를 구성하고, 동시에 다양한 재미있는 요소들을 넣어 단순히 문제만 푸는 것이 아니라 대회 자체를 즐길 수 있게 만드는 것에 중점을 두었다. 특히 시뮬레이션을 이용한 문제들은 실제 공격 시나리오를 기반으로 만들었기 때문에 단계별로 한 문제씩 풀다보면 실제 공격 방법을 경험할 수 있다.

그리고 안정적인 운영에도 중점을 두어 준비했다. 참가자들이 어떠한 공격을 하더라도 시뮬레이션이나 서버가 오작동 없이 동작하게 하고 정상 작동이나 공격이 들어간 환경에서 최대한 시각적인 효과를 극대화 시키도록 준비했다.

한편 제어 시뮬레이션을 통한 대회를 운영하는데 장점에 대해 허 대표는 “산업용에서 쓰이는 장비들도 의외로 쉽게 뚫릴 수 있고, 여러 위험 요소들이 존재한다는 것을 알릴 수 있다. 그리고 망 분리가 되어있어도 우회 할 수 있는 요소들도 알 수 있다. 가장 큰 기대효과는 시뮬레이션의 시각적 효과와 공격에 성공했을 때 시각, 청각적으로 보여지기 때문에 참여자들의 관심을 많이 받을 수 있다”고 전했다.

NSHC 문해은 소장은 “제어 보안에 대한 투자는 이미 각국마다 정부가 앞서서 정책적으로 지원을 하고 있으며, 단순히 단방향 장치나 보안 솔루션에 대한 부분이 중점이 아닌 사람에 초점을 맞춰서 지원이 이뤄지고 있다. 국제적인 행사에서 하는 해외 세미나를 진행하면 각국에서 정보 보안 교육 예산을 확보하고 전격적으로 지원을 하는데 국내는 그런 실정이 안된다. 이런 부분을 개선해 정보보안 인력에 대한 교육 예산 편성이 중요하다”고 밝히고 ”최근 각 나라별로 정부 기관의 지원 속에서 사이버전 수행 능력을 갖춘 특수 부대를 준비하며, 이러한 조직을 통한 기반 시설에 대한 공격이 늘고 있는 시점에서, 이에 대응하기 위한 관련 분야에 특화된 정보 보호 전문 인력 양성이 시급하다”고 강조했다.

이번 데프콘 27 Red Alert ICS CTF 수상 순위는 다음과 같다.

-1위: CTF.SG (3600 points)
-2위: TheHaxwells (1990 points)
-3위: mmmmmmmodbus(1460 points)

★정보보안 대표 미디어 데일리시큐!★