Siemens S7 PLC 공격｜침투 방식과 방어 포인트

공동 경고의 범위

미국 국가안보국(NSA), 사이버보안·인프라보안국(CISA), 연방수사국(FBI), 에너지부와 환경보호청은 8월 19일 Siemens S7 계열 프로그래머블 로직 컨트롤러(PLC)를 겨냥한 활성 위협을 공동 경고했습니다. PLC는 공장 설비, 에너지 시설, 상·하수도, 화학 공정처럼 물리적 장비의 동작을 자동화하는 산업용 컴퓨터입니다. 일반적인 업무 서버 침해와 달리 PLC의 메모리나 제어 로직이 바뀌면 화면상의 데이터뿐 아니라 실제 공정의 순서와 장비 상태에도 영향을 줄 수 있어 운영망 관점의 대응이 필요합니다.

경고의 직접 대상은 S7-200, S7-300, S7-400, S7-1200, S7-1500 계열입니다. 기관들은 중요 제조, 에너지, 상·하수도, 화학, 식품·농업, 상업시설을 주요 표적 부문으로 들었고 방위산업 기반에서도 S7 장비가 쓰인다고 설명했습니다. 경고는 특정 한 모델의 단일 취약점만을 다루지 않습니다. 인터넷에 노출된 장치, 오래된 소프트웨어, 알려진 취약점, 약한 인증과 관리 설정이 공격 경로로 함께 사용되는 상황을 묶어 다룹니다. 따라서 보안팀은 자산 목록에서 모델명만 검색하는 데 그치지 않고 외부 노출, 원격 접속 경로, 펌웨어 상태와 계정 정책을 한 흐름으로 확인해야 합니다.

인터넷 노출 장치 탐색

공격자는 먼저 Censys와 ZoomEye 같은 인터넷 검색 서비스를 이용해 외부에서 응답하는 PLC와 관련 인터페이스를 찾습니다. 이런 서비스는 방대한 주소 범위에 직접 접속하지 않아도 장치 배너, 서비스 특성, 인증서와 포트 정보를 검색할 수 있게 해 줍니다. 산업 장비가 방화벽 뒤에 있어도 원격 유지보수, 임시 시운전, 공급업체 지원을 위해 열린 경로가 그대로 남아 있으면 검색 결과에 포착될 수 있습니다. 외부 노출 여부를 내부 네트워크 도면만으로 판단하면 실제 인터넷 경계의 상태와 차이가 생기기 쉽습니다.

발견된 장치에는 중요한 보안 업데이트가 적용되지 않은 소프트웨어, 강도가 낮은 인증, 외부 통신을 허용한 관리 기능이 차례로 시험될 수 있습니다. 공격자가 사용하는 방법은 하나로 고정되지 않습니다. 특정 취약점이 막혀도 기본 계정, 재사용된 자격증명, 넓게 허용된 원격 관리 경로가 남아 있으면 다른 진입점이 됩니다. 반대로 최신 펌웨어만 적용했다고 해서 인터넷 노출 자체가 안전해지는 것도 아닙니다. 이번 공동 경고가 자산 식별, 패치, 접근 통제와 네트워크 분리를 함께 요구하는 이유입니다.

AI 생성 Python 도구와 S7comm 접근

정부기관들은 위협 행위자가 인공지능을 활용해 Python 기반 공격 스크립트를 작성하고 있다고 설명했습니다. 확인된 도구는 snap7.dll과 python-snap7 라이브러리를 이용해 Siemens S7 PLC와 통신합니다. 이 라이브러리는 정상적인 개발과 자동화에도 쓰일 수 있지만, 공격자가 외부 노출 장치와 결합하면 PLC 메모리, 구성 데이터와 래더 로직 프로그램을 읽거나 쓰는 통로가 됩니다. 도구는 정상적인 OT 모니터링 소프트웨어처럼 위장될 수 있어 파일명이나 실행 아이콘만으로 선악을 가르기 어렵습니다.

AI가 PLC 프로토콜의 새로운 권한을 만들어 내는 것은 아닙니다. 중요한 변화는 공격 코드 작성에 필요한 시간과 전문지식의 문턱을 낮춘다는 점입니다. 공개 라이브러리 호출, 장치별 통신 예제와 오류 처리 코드를 빠르게 조합하면 공격자는 여러 모델을 시험하는 도구를 짧은 시간에 바꿔 쓸 수 있습니다. 방어 측에서는 AI 사용 여부만 찾기보다 외부에서 시작된 S7comm 세션, 평소와 다른 읽기·쓰기 패턴, 새로운 관리 호스트와 비정상적인 로직 다운로드처럼 실제 제어 행위를 중심으로 관제해야 합니다.

침해 이후의 운영 위험

공동 경고는 관찰된 활동이 지속적인 정찰에 초점을 두고 있으며 향후 중요 인프라 교란을 준비할 수 있다고 평가했습니다. PLC 메모리와 구성, 래더 로직에 대한 읽기·쓰기 권한이 확보되면 공정 조건과 장비 동작을 이해하고 변경 지점을 찾은 데 이용될 수 있습니다. 환경에 따라 민감한 운영 데이터 유출, 공정 중단, 장비 손상, 장시간 가동 중단과 안전사고로 이어질 가능성이 있으므로 단순한 네트워크 스캔으로 축소해 판단해서는 안 됩니다.

다만 위험 평가는 실제 구성과 안전 설계에 따라 달라집니다. 같은 S7 계열이라도 인터넷 경계, 공정망 분리, 엔지니어링 워크스테이션의 권한, 안전계장시스템과 수동 운전 절차가 다릅니다. 따라서 대응 우선순위는 제품명만으로 정하지 말고 ‘외부에서 도달 가능한가’, ‘원격 쓰기가 가능한가’, ‘변경을 독립적으로 감지하거나 차단할 수 있는가’, ‘변경 시 물리 공정에 어떤 영향이 생기는가’를 기준으로 정하는 편이 실무적입니다.

우선 점검 대상

• 인터넷에서 직접 응답하거나 원격 유지보수 장비를 통해 우회 접근할 수 있은 S7-200·300·400·1200·1500
• 지원 가능한 최신 보안 업데이트와 펌웨어가 적용되지 않은 PLC 및 엔지니어링 환경
• 공용 계정, 기본 자격증명, 재사용 비밀번호 또는 넓은 관리 권한을 사용하는 운영 구간
• 업무망·공급업체망과 제어망 사이에서 S7comm 및 관리 통신을 폭넓게 허용한 방화벽 규칙
• 평소 허용된 엔지니어링 호스트와 로직 변경 시간대를 기준선으로 관리하지 않은 현장

방어 조치의 우선순위

1. 자산 목록을 실제 네트워크 관찰 결과와 대조해 S7 모델, 펌웨어, 설치 구역, 담당자와 공정 중요도를 최신 상태로 맞춥니다.
2. PLC와 관련 관리 인터페이스의 직접 인터넷 연결을 제거하고 원격 접속은 인증된 중계 지점과 승인된 시간대로 제한합니다.
3. Siemens가 제공하는 최신 보안 업데이트를 검토하고 현장 변경관리·가동중단 계획에 따라 적용합니다.
4. PLC, 엔지니어링 워크스테이션과 원격 유지보수 계정의 권한을 분리하고 강한 인증과 고유 자격증명을 사용합니다.
5. IT망, 공급업체 접속 구간과 OT망 사이에 필요한 통신만 허용하며 S7comm 흐름의 출발지와 목적지를 고정합니다.
6. 메모리·구성·래더 로직의 기준본을 보존하고 승인되지 않은 업로드·다운로드·모드 변경을 탐지하도록 기록을 수집합니다.
7. 이상 징후가 발견되면 생산 안전 담당자와 함께 격리 범위를 정하고 보존된 기준본으로 무결성을 확인한 뒤 복구합니다.

관제와 사고대응 포인트

OT 관제에서는 ‘PLC 통신이 있었다’는 사실만으로는 충분하지 않습니다. 승인된 엔지니어링 워크스테이션, 정상 유지보수 시간, 허용된 명령 유형과 변경 승인번호를 기준선으로 두고 예외를 찾아야 합니다. 새 원격 호스트가 S7comm 세션을 만들거나, 평소 읽기만 하던 구간에서 쓰기 동작이 발생하거나, 여러 PLC를 짧은 간격으로 순회하는 패턴이 나타나면 우선 조사 대상으로 올릴 수 있습니다. 외부 검색 서비스에서 조직의 PLC 노출 흔적을 정기적으로 점검하는 작업도 내부 자산관리와 별도로 운영할 필요가 있습니다.

의심스러운 변경을 발견했을 때 PLC 전원을 즉시 끄는 방식은 공정 안전과 증거 보존에 모두 부담을 줄 수 있습니다. 먼저 안전 담당자, 제어 엔지니어와 사고대응팀이 현재 공정 상태를 공유하고 네트워크 경계에서 공격 경로를 제한해야 합니다. 이어 장치 시간, 통신 기록, 엔지니어링 프로젝트와 로직 기준본을 확보하고 승인된 구성과 비교합니다. 복구 후에는 자격증명 교체, 노출 경로 폐쇄, 펌웨어와 접근 정책 보완을 함께 완료해야 같은 도구의 재접속을 막을 수 있습니다.

이번 경고의 의미

이번 사례는 생성형 AI가 산업제어 공격의 물리적 장벽을 없앴다는 선언이 아니라, 이미 공개된 도구와 프로토콜 지식을 더 빠르게 공격 코드로 조합할 수 있음을 보여 줍니다. 방어의 출발점은 화려한 AI 탐지 제품보다 인터넷 노출 제거, 자산 식별, 패치와 계정 통제, 제어망 분리, 로직 무결성 감시처럼 검증 가능한 기본 통제입니다. 특히 PLC를 일반 서버와 같은 방식으로만 관리하면 가동중단과 안전 검토가 필요한 변경 특성을 놓칠 수 있으므로 OT 운영 절차와 보안 절차를 하나의 대응 계획으로 묶어야 합니다.

Siemens S7 장비를 운영하는 조직은 이번 경고를 단순 제품 알림이 아니라 외부 노출과 원격 유지보수 체계를 재검증하는 계기로 삼은 것이 좋습니다. 자산별로 도달 경로, 인증, 허용 통신, 기준 로직과 복구 책임자를 연결해 두면 경고가 반복될 때마다 전수조사를 처음부터 시작하지 않아도 됩니다. 가장 중요한 목표는 공격자가 PLC에 도달하기 전에 경로를 끊고, 도달하더라도 쓰기 권한을 제한하며, 변경이 발생하면 공정 영향 전에 식별하고 안전하게 복구하는 것입니다.