Spark 2026 - Nozomi Networks 의 고객 컨퍼런스에 여러분을 초대합니다!
회원 가입
수동형 네트워크 모니터링은 OT 의 자산 현황 파악은 물론 위협 및 이상 징후 탐지를 위한 표준 방식이지만, 오늘날 산업 환경에서는 수동형 네트워크 및 무선 모니터링과 능동형 폴링, 원격 수집, 엔드포인트 보안 기술을 결합한 방식을 안전하게 활용할 수 있습니다.
수동적 네트워크 모니터링에 의존하는 주된 이유는 산업 환경의 민감한 특성과 중요성 때문이며, 여기에 보안이 취약한 독점 프로토콜을 사용하는 레거시 시스템에 대한 과도한 의존이 더해져, 능동적 스캐닝으로 인해 시스템이 불안정해지거나 오프라인 상태가 될 수 있기 때문이다. 산업 제어 시스템( OT )은 종종 핵심 인프라를 지원하며, 안전, 보안 및 필수 서비스 제공에 영향을 미칠 수 있는 프로세스를 제어한다. 수동 모니터링은 어떠한 간섭도 없이 가시성을 확보할 수 있는 반면, IT 환경에서 흔히 사용되는 능동적 스캐닝 및 프로빙 기법은 운영에 지장을 초래하여 운영 장애나 안전 위험을 야기할 가능성이 있습니다.
수동형 산업용 네트워크 모니터링 도구는 스위치나 라우터의 SPAN 또는 미러 포트에 연결되어 네트워크 통신 상황을 관찰하는 방식으로 작동합니다. 예를 들어, Nozomi Guardian 센서들은 이러한 접근 방식을 적용하여 포괄적인 OT 및 IoT 자산 가시성 및 모니터링 기능을 제공합니다. 이 센서들은 에이전트나 능동적인 질의 없이도 장치를 식별합니다. Guardian 센서는 활동을 지속적으로 모니터링하여 네트워크에서 통신하는 새로운 자산을 탐지하고, 문제 해결 및 연구를 위한 네트워크 시각화 정보를 제공하며, 중대한 취약점을 식별하고, 사이버 보안 위협 및 운영상의 문제를 탐지할 수 있습니다.
특히 Guardian 센서는 패시브 딥 패킷 검사를 사용하여 구성 요소, 연결 및 토폴로지를 포함한 산업 네트워크를 실시간으로 자동으로 검색합니다. 그런 다음 고급 학습 기능을 통해 각 ICS에 맞는 프로필을 구축하고 행동 분석을 사용하여 비정상적이고 의심스러운 악의적인 활동을 모니터링합니다. 그 결과 사이버 공격과 중요한 프로세스 이상을 신속하게 탐지할 수 있습니다.
원격 수집기는 접근이 어렵거나 무인인 장소를 모니터링하기 위해 고안된 또 다른 형태의 수동 모니터링 방식입니다. 이 소형 저사양 센서들은 네트워크 센서와 연동되어, 완전한 ‘ Guardian ’ 센서를 설치하기 어려운 원격 현장, 해양 플랫폼, 변전소, 대규모 캠퍼스 내 소규모 시설 등에서 데이터를 수집합니다. Nozomi Networks 원격 수집기는 이 트래픽을 수집, 중복 제거, 압축 및 암호화한 후, 처리를 위해 연결된 Guardian 센서로 전송합니다.
OT 환경에서 무선 기술의 보급이 확대됨에 따라, 이 기술은 기존에는 모니터링 대상이 아니었던 새로운 공격 경로로 부상했습니다. 무선 센서는 산업 환경에서 활용해야 할 또 다른 형태의 수동적 모니터링 수단을 제공합니다. 일반적인 무선 사용 사례로는 공급업체가 노트북을 방문객용 Wi-Fi에 연결하거나, 무단 무선 액세스 포인트를 생성하는 경우 등이 있습니다. 무차별 대입 공격, 스푸핑, 블루잭킹과 같은 무선 특유의 위협을 탐지하기는 어렵고, 공격을 수행하는 기기의 위치를 파악하는 것은 더욱 어렵습니다.
Wi-Fi 및 블루투스 외에도, 공정 제어 네트워크는 저전력 소비로 센서와 제어기 간의 안정적인 통신을 지원하도록 설계된 특수한 무선 프로토콜을 활용합니다. 이러한 프로토콜은 시스템 운영과 감시를 가능하게 하는 데이터를 수집, 결합 및 전송하는 데 있어 핵심적인 역할을 합니다. 예를 들어, IEEE 802.15.4 표준은 스마트 빌딩에서 HVAC 및 조명 시스템을 실시간으로 모니터링하는 데 사용되며, 농업 분야에서는 작물 수확량을 최적화하기 위한 무선 관개 시스템 제어에 활용됩니다.
Nozomi Guardian Air 이 제품은 OT 및 IoT 환경을 위해 특별히 설계된 업계 최초의 무선 보안 센서로, 지금까지 유선 네트워크에 연결된 경우에만 감지되던 온도 조절기부터 로봇, 드론에 이르기까지 모든 무선 자산을 가시화합니다. 이 제품은 800 MHz에서 5895 MHz 사이에서 작동하는 무선 주파수 기술(Wi-Fi, 블루투스, IEEE802.15.4, LoRaWAN, Z-Wave, 셀룰러 및 드론)을 지속적으로 모니터링하며, 삼각 측량을 통해 위협을 탐지하고 위치를 파악함으로써 더 신속한 대응을 가능하게 합니다.
다른 접근 방식과 마찬가지로, 수동 모니터링에도 장단점이 따르므로 산업 환경의 구체적인 요구 사항과 비교하여 신중하게 검토할 필요가 있습니다.
네트워크 센서는 사이버 보안의 주역입니다. 하지만 네트워크 센서를 추가하는 것이 불가능하거나, 환경을 파악하고 문제를 해결하기 위해 추가적인 세부 정보가 필요한 상황은 항상 수십 가지나 될 것입니다. 오늘날의 산업 환경에서는 수동형 네트워크, 원격 데이터 수집, 무선 모니터링은 물론 능동형 폴링 및 엔드포인트 보안 기술을 조합하여 안전하게 활용할 수 있습니다. Nozomi Networks 플랫폼은 모든 자산과 그 위험 수준에 대한 지속적인 가시성을 제공하기 위해, 자산이 능동적으로 통신하지 않는 상황에서도 포괄적인 모니터링 방법을 제공합니다.
능동 쿼리(Active querying)는 에이전트가 필요 없고 비침습적인 기술로, 임베디드 OT/IoT 장치를 포함하여 특정 관심 대상 자산에 대해 수동 센서로는 얻을 수 없는 상세한 정보를 수집하는 데 사용할 수 있습니다. 이는 Smart PollingNozomi Networks 플랫폼에서는 이 기술을 ‘액티브 쿼리’라고 부르며, 해당 프로토콜에 대한 지식을 바탕으로 장치를 조회하고, 특수한 메시지와 명령을 활용하여 장치의 안정성에 영향을 주지 않으면서 유용한 정보를 반환합니다.
Smart Polling 다음과 같은 용도로 사용할 수 있습니다:
IT 보안에서 엔드포인트 에이전트는 안티바이러스 보호 및 패치를 위해 어디에나 존재합니다. 안타깝게도 OT 디바이스에 IT 중심 에이전트를 배포하는 부정적인 경험으로 인해 꼭 필요한 엔드포인트 모니터링이 거의 채택되지 않고 있습니다. 기존의 ICS 네트워크 모니터링 솔루션은 퍼듀 레벨 또는 방화벽 사이의 남북 트래픽을 모니터링하지만, 특히 낮은 퍼듀 레벨에서 한 구역 내 디바이스 간의 동서 통신은 오랫동안 사각지대에 놓여 있었습니다. 또한 엔드포인트 모니터링은 사용자 활동과 이벤트 발생 시 상호 연관성을 파악할 수 있는 유일한 방법입니다.
OT 자격 증명 도용 및 기타 악의적인 행동을 수반하는 악의적인 공격이 분명 발생하지만, 많은 위협은 원격으로 드나드는 직원이나 공인된 써드파티 기술자의 부주의한 실수와 관련이 있습니다. 엔드포인트 보안이 없으면 네트워크에서 명령이 실행될 때까지 누가 언제 접속하여 무엇을 하는지 알 수 있는 방법이 없습니다. 그러면 너무 늦습니다.
2023년 개봉, Nozomi ArcOT 고유한 고가용성 요구사항을 보호하기 위해 특별히 설계된 안전하고 비방해적인 보안 에이전트입니다. 기존 EPP 및 EDR 도구와 달리 Arc 주로 사용자 공간에서 Arc , 절대적으로 필요한 경우에만 커널 공간 모듈을 사용하며 주로 읽기 전용 모드로 운영됩니다. 이러한 설계는 시스템 객체와의 정밀하고 통제된 상호작용을 보장하면서 쓰기 작업을 최소화하고 시스템 안정성을 유지합니다.
수동 모니터링은 가장 민감한 산업 환경에서도 자산, 통신 및 행동에 대한 지속적이고 업무에 지장을 주지 않는 가시성을 제공하므로, 견고한 OT 및 IoT 보안 전략의 토대가 됩니다. 하지만 수동 모니터링만으로는 모든 의문을 해소할 수는 없습니다. 원격 수집기 및 무선 센서는 접근이 어렵거나 무선으로 연결된 네트워크 구석구석까지 동일한 수동 모니터링 방식을 확장해 주는 반면, 능동적 쿼리 및 엔드포인트 보안 에이전트는 설계상 수동 모니터링만으로는 파악할 수 없는 세부 정보를 보완해 줍니다. 이러한 방법들이 결합되면 SOC 및 운영 팀은 취약한 레거시 시스템을 위험에 빠뜨리지 않으면서도 OT 및 IoT 시스템에 대한 완전하고 다층적인 관점을 확보할 수 있습니다.
이러한 다층적인 가시성을 처음부터 구축하는 것은 어떤 내부 팀에게나 상당한 과제가 되며, 특히 특수한 OT 및 IoT 프로토콜이 실행되는 환경에서는 더욱 그렇습니다. Nozomi 플랫폼은 복잡한 산업, 상업 및 중요 인프라 환경을 위해 특별히 설계되었으며, 엔드포인트부터 네트워크 전반에 걸친 가시성을 지속적인 모니터링 및 AI 기반 분석과 결합합니다. 이 플랫폼은 조직이 사이버 위험을 최소화하고, 운영 복원력을 극대화하며, 가장 엄격한 표준 및 규정을 효율적으로 준수할 수 있도록 지원하며, 이 모든 기능은 본 기사에서 설명한 것과 동일한 수동 모니터링 기반을 바탕으로 구축되었습니다.
데모를 신청하여 플랫폼이 실제로 작동하는 모습을 확인해 보시거나, 당사가 AI를 활용하여 예측 및 실시간 분석을 통해 수동 모니터링을 어떻게 강화하고 있는지 알아보세요.
IT 분야에서는 보안 팀이 데이터 보호에 중점을 두는 반면, OT 에서는 가용성이 최우선 과제입니다. OT 네트워크는 기존의 IT 보안 스캔 방식에 의해 위험에 노출될 수 있습니다. 따라서 OT 환경에서 보안 탐지를 위한 주요 방법 중 하나는 수동형 네트워크 모니터링으로, 이를 통해 수백만 달러의 손실을 초래하거나 안전 위험을 야기할 수 있는 예기치 않은 가동 중단을 최소화할 수 있습니다. 또한 많은 OT 장치는 구형이며 민감한 특성을 가지고 있어, 단순한 네트워크 스캔만으로도 컨트롤러가 작동을 멈출 수 있습니다. 수동 모니터링은 네트워크로 트래픽을 전송하지 않고 단순히 네트워크에서 미러링된 트래픽을 수신하기만 하므로 이러한 문제를 피할 수 있습니다. 이후 Nozomi의 Smart Polling 와 같은 안전한 능동적 방법을 통해 이 수동 모니터링 기반 위에 세부 정보를 추가할 수 있습니다.
수동 모니터링은 탐지 기능일 뿐, 예방적 통제 수단은 아닙니다. 이는 위협과 이상 징후를 실시간으로 식별하지만, 이에 대해 직접적인 조치를 취하지는 않습니다. 위협 격리 및 복구는 SOC 팀의 대응 프로세스나 ‘ Arc ’과 같은 엔드포인트 수준의 통제 수단을 통해 처리됩니다.
간단히 말해, 수동 모니터링은 네트워크에서 무슨 일이 일어나고 있는지 알려주며, 다른 도구와 프로세스를 통해 이에 대해 어떻게 대응할지 결정하게 됩니다.
아닙니다. 수동 모니터링은 인라인 방식으로 작동하는 것이 아니라 SPAN 또는 미러 포트를 통해 트래픽을 복사하는 방식으로 이루어지기 때문에, 배포 시 운영 트래픽의 경로를 변경하거나 시스템을 오프라인 상태로 전환할 필요가 없습니다. 주요 사전 작업은 스위치를 구성하여 적절한 트래픽을 미러링하도록 설정하는 것인데, 이는 지속적인 위험이 아니라 일회성 변경 사항에 불과합니다.
수동 모니터링은 대개 SPAN 포트나 탭을 통해 전송되는 네트워크 트래픽의 사본을 수신할 뿐, 장치로 어떤 데이터도 전송하지 않습니다. 반면 능동 모니터링은 그 반대 방식으로 작동합니다. 즉, 장치에 직접 요청을 보내고, 장치의 응답을 통해 정보를 수집합니다. 간단히 말해, 수동 모니터링은 장치가 이미 전송하고 있는 데이터를 관찰하는 반면, 능동 모니터링은 장치에 직접 질문을 던지는 방식입니다.
그러나 모든 능동형 폴링이 똑같은 것은 아니며, 특히 OT 에서는 더욱 그렇습니다. 기존의 IT 능동형 도구는 IP 범위를 샅샅이 조사하고, 포트를 탐색하며, 발견된 모든 장치에 쿼리를 보냅니다. 이러한 방식은 기업 네트워크에서는 용인될 수 있지만, 대개 구형 장치가 포함된 OT 환경에서는 위험을 초래할 수 있습니다.
OT 능동적 폴링은 OT 의 네이티브 프로토콜을 활용하여 훨씬 더 정밀하게 타겟팅함으로써 안전하게 수행할 수 있습니다. 이 방식은 이미 알려진 장치에만 접속하고, 해당 장치가 기대하는 프로토콜별 메시지를 사용하며, 요청량을 적게 유지합니다. Nozomi의 Smart Polling 는 이러한 방식으로 구축되었습니다. 이 기능은 수동 모니터링을 통해 이미 탐지된 장치에서 작동하며, 수동 방식으로 수집되지 않았을 수 있는 펌웨어 버전, 구성 정보 및 기타 세부 정보를 가져옵니다. 또한 어떤 노드를, 언제, 어떤 방법으로 폴링할지 제어할 수 있습니다. 이를 통해 사용자는 기존 스캔 방식의 위험성 없이 능동적 모니터링 방식이 제공하는 추가적인 세부 정보를 얻을 수 있습니다.
아닙니다. 수동 모니터링은 관찰 가능한 트래픽을 통해 통신하는 장치만 감지합니다. 전원이 켜져 있지만 통신이 없는 장치나, 미러링 대상이 아닌 세그먼트에 있는 장치는 감지되지 않습니다. 센서를 적절히 배치하면 이러한 사각지대의 대부분을 해소할 수 있으며, 수동 모니터링을 표적 쿼리나 엔드포인트 데이터와 같은 다른 방법과 결합하면 나머지 부분도 보완할 수 있습니다.
네, 그렇지만 이 도구만으로는 규정 준수를 보장할 수는 없습니다. 이 도구는 최신 자산 목록, 지속적인 모니터링, 네트워크 활동 기록을 제공하며, 이 모든 기능은 IEC 62443, NERC CIP, NIS2, NIST 800-82와 같은 프레임워크를 뒷받침합니다. 감사관들은 여전히 도구 사용과 더불어 정책, 프로세스, 대응 절차가 마련되어 있을 것을 기대합니다.
Smart Polling 는 일반적인 스캔 대신, 장치가 이미 예상하고 있는 특정 프로토콜 고유의 메시지만 전송합니다. 따라서 수동 모니터링으로는 도달할 수 없는 사각지대를 메울 수 있을 뿐만 아니라, 기존의 능동 스캔에서 발생할 수 있는 불안정성 위험도 피할 수 있습니다. 어떤 노드를, 언제, 어떤 방법으로 폴링할지는 사용자가 직접 선택할 수 있습니다.
이들은 서로 경쟁하는 옵션이 아니라 상호 보완적인 계층입니다. 유선 자산 가시성을 확보하기 위해서는 일반적으로 Guardian 를 먼저 도입하며, Guardian ,Air 및 Remote Collector는 이를 무선 및 접근이 어려운 자산으로 확장하고, Arc 는 네트워크 가시성이 확보된 후 엔드포인트 수준의 세부 정보를 추가합니다. 어떤 조합이 적합한지는 해당 환경의 구체적인 사각지대가 어디에 있는지에 따라 달라집니다.
