OT / ICS 보안
작업 필수 (읽은 후 즉시 실행)
지금:../field-journal/precedent-pentest.md읽기 — 공작 환경 오작동은 물리적 위험을 초래할 수 있음지금: 서면 승인에 반드시 기재해야 할 사항: 사이트, 네트워크 세그먼트, 능동 스캔/레지스터 쓰기 허용 여부지금: case-init; 기본값 수동 우선;ready_for_act전에는 PLC에 쓰기 작업 금지다음: tool-index; 대부분의 공작 도구는 수동으로 격리된 실험망에 연결해야 함실행: 자산 및 구역 식별 → 노출 표면 → 읽기 전용 검증
적용 시나리오
- 공작/SCADA/DCS 보안 평가 (권한 있음)
- Purdue 모델 구역 설정 및 구역 간 채널
- Modbus/DNP3/S7/EtherNet/IP 등의 프로토콜 노출
- 엔지니어링 워크스테이션, HMI, 히스토리언, 점프 호스트
- IT/OT 융합 경계 (방화벽 규칙, 단방향 게이트웨이)
안전 철칙 (필수)
explicitly 허가되지 않은 경우 절대 금지:
- PLC 코일/레지스터 쓰기
- 전체 네트워크에서 생산 OT에 고속 스캔
- 안전 계측 시스템(SIS) 관련 경로 중단
우선 순위: 읽기 전용 식별, 트래픽 미러링, 오프라인 펌웨어/구성 분석
작업 흐름
1단계 — 구역 및 자산
□ Purdue L0–L5 개요: 현장 장치 → 제어 → 감독 → 사이트 DMZ → 기업
□ 자산 목록: PLC/RTU/HMI/엔지니어링 워크스테이션/히스토리언/점프 호스트
□ 프로토콜 및 포트 기준 (허가된 네트워크 세그먼트만)
2단계 — 수동 및 읽기 전용
□ SPAN/미러링 PCAP → protocol-reverse / Wireshark 공작 해석기
□ 구성 및 엔지니어링 파일 오프라인 감사 (TIA/RSLogix 내보내기 등)
□ 기본 비밀번호 및 평문 프로토콜 (예: 인증 없는 Modbus)을 Finding으로 기록, 디스크에 쓰거나 값 변경 금지
3단계 — 제한된 능동 (허가된 경우만)
□ 저속 식별, 유지보수 기간 내
□ 읽기 전용 기능 코드 우선
□ 모든 단계에서 증거 수집; 이상 발견 시 즉시 중단 및 보고
4단계 — 펌웨어/패치 표면
□ 컨트롤러 펌웨어 버전 → CVE 매핑 (펌웨어 무작정 업데이트 금지)
□ firmware-pentest와 협력하여 오프라인 이미지 분석
도구 체인
| 도구 | 용도 | 주의사항 |
|---|---|---|
| Wireshark 공작 dissectors | 수동 해석 | 미러링 트래픽 |
| Nmap NSE (제한적) | 식별 | 속도 및 시간 창 |
| Claroty/Nozomi 등 | 자산 발견 | 상용/현장 |
| PLC 제조사 엔지니어링 소프트웨어 | 구성 감사 | 오프라인 우선 |
| binwalk / Ghidra | 펌웨어 | 오프라인 |
참고
references/ot-safe-assessment.md../firmware-pentest/../protocol-reverse/../network(pentest-tools 경유)
라우팅 컨텍스트
상위: MASTER R28
하위: 펌웨어 심층 분석 firmware-pentest; 프로토콜 protocol-reverse; IT 수평 windows-ad/attack-chain
동급: 일반 웹 스캔 기본 파라미터로 OT를 공격하지 말 것
작업 완료 자가 점검
- 기본적으로 수동/읽기 전용이며 권한 경계를 기록했는가?
- 제어 루프에 대한 쓰기 작업을 피했는가 (명시적 허가가 없는 한)?
- Finding에 물리적/프로세스 영향 설명이 포함되었는가?
- 체크리스트 / 저널을 작성했는가?