[방어] 분석 — CVE-2021-22681

• 심각도 critical · CVSS 9.8 · EPSS 0.60993 · 악용난이도 easy · KEV

• 원리: 컨트롤러와 통신 시 사용하는 검증 키(Verification Key) 메커니즘의 설계 결함으로 인해, 인증되지 않은 공격자가 이 검증 과정을 우회하여 관리자 권한을 획득할 수 있습니다.
• 경로: 네트워크를 통해 대상 PLC/컨트롤러의 관리 인터페이스 또는 통신 포트로 직접 접근합니다.
• 단계: [네트워크 진입] $\rightarrow$ [특수 조작된 검증 키 우회 패킷 전송] $\rightarrow$ [비인증 상태에서 컨트롤러 제어권 획득].

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 실제 환경에서의 악용 가능성은 극히 높습니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯, 공격자는 특수 권한이나 사용자 상호작용 없이 네트워크를 통해 원격으로 인증 메커니즘을 우회할 수 있는 최적의 조건을 갖추고 있습니다. 특히 EPSS 수치가 0.60993으로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 이미 실전에서 공격 도구가 배포되고 실제 타겟팅이 이루어지고 있음을 증명합니다. 공격 표면은 Rockwell Automation의 다양한 PLC 라인업(ControlLogix, CompactLogix 등)과 통신하는 Studio 5000 및 RSLogix 5000 소프트웨어 간의 인증 프로토콜 엔드포인트에 집중됩니다. 공격자는 적절한 키 없이도 검증 절차를 우회하여 컨트롤러에 접근할 수 있으므로, OT 네트워크 내에서 해당 장비가 노출되어 있다면 즉각적인 침해 사고로 이어질 가능성이 큽니다.

• 물리적 공정 제어 탈취: 공격자가 PLC 로직을 수정하거나 설정값을 변경하여 생산 라인의 동작을 임의로 조작할 수 있습니다.
• 가용성 파괴 (Downtime): 악의적인 명령 주입을 통해 설비를 강제로 정지시키거나, 물리적 파손을 유발하는 위험한 상태로 조작 가능합니다.
• 신뢰 체계 붕괴: 인증 메커니즘이 무력화되었으므로, 정상 운영자의 명령과 공격자의 명령을 구분할 수 없는 상태가 됩니다.

• 내부 침투 후 권한 상승: 망 분리가 되어 있더라도 유지보수 단말(EWS) 탈취, 협력사 VPN 계정 유출 등의 경로로 내부망에 진입한 공격자가 최종 제어권을 얻기 위한 최종 권한 획득(Privilege Escalation) 단계에서 체이닝될 가능성이 매우 높습니다.

본 취약점은 인증 과정을 통째로 우회하므로 '로그인 실패' 로그가 남지 않습니다. 따라서 네트워크 레벨의 비정상 접근 패턴 탐지가 핵심입니다.

• 로그 지표:
  • Firewall/IDS: 인가되지 않은 Zone(예: 사무망, 외부망)에서 PLC 관리 포트로 유입되는 TCP 세션.
  • Switch/Router: 평소 통신 이력이 없는 호스트 IP $\rightarrow$ PLC IP 간의 신규 연결 시도.
• 탐지 규칙 예시:
  1. 비인가 단말 접근 탐지 (SIEM 의사코드):
     SELECT source_ip, dest_ip FROM network_traffic WHERE dest_port IN (PLC_Management_Ports) AND source_ip NOT IN (WhiteList_Engineering_Workstations) GROUP BY source_ip HAVING count(*) >= 1
  2. 비정상 페이로드 탐지 (IDS/IPS 정규식 추정):
     추정: 인증 우회 시 사용되는 특정 바이너리 패턴이나 비표준 헤더를 식별하는 시그니처 적용. (예: tcp.payload matches /<Bypass_Key_Pattern>/)
  3. 측면 이동 탐지:
     SELECT source_ip, dest_ip FROM network_traffic WHERE source_ip IN (Internal_User_VLAN) AND dest_ip IN (PLC_Control_VLAN) AND protocol == 'TCP'
• 오탐 튜닝:
  • 신규 유지보수 단말이나 정기 점검 장비의 IP를 화이트리스트에 즉시 반영하여 알람을 제거합니다.
  • 백업 솔루션 및 모니터링 에이전트의 주기적 통신 패턴을 베이스라인으로 설정하여 임계값을 조정합니다.

다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, 특히 EPSS(0.60993) 수치는 이론적 심각도와 별개로 실제 악용 예측이 매우 높음을 의미합니다. KEV 등재 및 Exploit Easy 등급을 근거로 Immediate 우선순위 대응을 수행합니다.

• 즉시 (긴급 차단):
  • 조치: 컨트롤러 접근 ACL(Access Control List) 강제 적용. L3 스위치나 방화벽에서 오직 사전에 허가된 Engineering Workstation의 IP만 PLC 관리 포트에 접근 가능하도록 즉시 제한합니다.
  • 난이도/영향/검증: 낮음 / 매우 낮음(정상 운영 영향 없음) / ping 및 관리 툴 접속 테스트로 확인.
• 단기 (완화):
  • 조치: OT 네트워크 마이크로 세그멘테이션(Micro-segmentation). VLAN을 세분화하여 내부망 침투 시에도 측면 이동(Lateral Movement)을 차단하고, 유지보수 단말에 대한 2FA 적용 및 접근 제어를 강화합니다.
  • 난이도/영향/검증: 중간 / 낮음(네트워크 설정 변경 필요) / VLAN 간 통신 격리 여부 확인.
• 근본 (해결):
  • 조치: Rockwell Automation 제공 최신 펌웨어 및 소프트웨어(Studio 5000, RSLogix 5000 등) 업데이트 적용.
  • 난이도/영향/검증: 높음 / 매우 높음(생산 라인 가동 중단 필연적) / 버전 정보 확인을 통해 패치 여부 검증. 운영 중단 비용과 보안 리스크를 정량적으로 비교하여 계획된 셧다운 일정에 맞춰 단계적으로 롤아웃합니다.

잔여 리스크: 하드웨어 제약으로 업데이트가 불가능한 레거시 장비의 경우, 패치 후에도 위 '즉시/단기' 조치를 영구적인 보완 통제로 유지하며 실시간 모니터링을 강화해야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.60993 · exploit=easy · in_scope=None