붙임 1		훈련 계획서 양식

2023년 기반시설 사이버공격 대응 실전 훈련

계획서

훈련 기관: 암사아리수정수센터

전산시스템 명칭 : 정수제어시스템

2023. 4.   .

목   차

1. 훈련 개요

2. 훈련 조직 구성

3. 암사 기반시설 가상 사이버공격 시나리오

4. 암사 기반시설 가상 사이버공격 대응 시나리오

5. 훈련 단계별 계획

5.1. 탐지 단계 훈련 계획

5.2. 격리 단계 훈련 계획

5.3. 치료 단계 훈련 계획

5.4. 복원 단계 훈련 계획

6. 사고 후 분석 후속 조치 결과

훈련 개요

□  훈련 대상 : 정수제어시스템

□  훈련 기관 : 암사아리수정수센터

□  훈련 일정 : 2023. 04. 19 . ~ 04. 20 .

□  훈련 실무 담당자: 신대중

o  전화: 02-3146-5781, 휴대전화: *************

이메일 주소 : ninjagubooki@seoul.go.kr

훈련 조직 구성

□  훈련조직

		훈련기획통제반
		한재훈 전산정보과장 외 2인
세부훈련 전달. 상황메시지 전달					↓	↑		훈련결과 보고
훈련실시반(광암) 정수 제어시스템										훈련실시반(구의) 정수 제어시스템													훈련실시반(뚝도) 정수 제어시스템
이재복 과장 외 2인										여인웅 과장 외 2인													이호완 과장외 2인
				훈련실시반(영등포) 정수 제어시스템											훈련실시반(암사) 정수 제어시스템													훈련실시반(강북) 정수 제어시스템
				김영준 과장 외 2인											전훈 과장 외 2인													최병희 과장 외 2인

o  훈련기획통제반

- 훈련기획통제반 : 훈련계획 추진 및 지원, 훈련과정 통제,

훈련결과 종합 보고

o  훈련실시반 (6개 실시반 운영)

-  훈련계획서 작성, 정수제어시스템 훈련실시 및 훈련결과보고

□  훈련수행인원(암사아리수정수센터)

o  훈련참여자

순번	소속훈련반	역할	소속	이름	직급	수행업무
1	훈련기획통제반	반장	전산정보과	한재훈	과장	사이버공격 대응 실전훈련 총괄
2	훈련기획통제반	반원	전산정보과	박종회	주무관	상황메시지 기획 및 전파, 경보발령 대응 확인
3	훈련기획통제반	반원	전산정보과	채정은	주무관	훈련 과정 통제 및 지원, 결과보고서 취합
4	훈련기획통제반	반장	정수시설과	전 훈	과장	사고복구 지휘
5	훈련기획통제반	반장	정수과	이철재	과장	사고복구 지휘
6	훈련기획통제반	반원	정수시설과	신대중	주무관	사고원인분석 및 조치
7	훈련기획통제반	반원	정수과	강구일	주무관	계통보고 및 인력동원
8	훈련기획통제반	반원	정수과	김재홍	주무관	계통보고 및 인력동원
9	훈련기획통제반	반원	정수과	홍창인	주무관	계통보고 및 인력동원
10	훈련기획통제반	반원	정수과	김상현	주무관	계통보고 및 인력동원
11	훈련기획통제반	반원	정수과	정승경	주무관	수질총괄
12	훈련기획통제반	반원	정수과	박재중	주무관	수질담당
13	훈련기획통제반	반원	정수과	김석규	주무관	가스담당
14	훈련기획통제반	반원	정수과	정진택	주무관	염소담당
15	훈련기획통제반	반원	정수과	김세정	주무관	배출수담당
16	훈련기획통제반	반원	정수시설과	김희송	주무관	전기총괄
17	훈련기획통제반	반원	정수시설과	박희정	주무관	전기담당
18	훈련기획통제반	반원	정수시설과	김응균	주무관	기계총괄
19	훈련기획통제반	반원	정수시설과	이진성	주무관	기계담당
20	훈련기획통제반	반원	㈜누리제어 시스템	이현수	차장	자동제어설비 유지보수
21	훈련기획통제반	반원	㈜인포인	홍욱표	차장	NAC 유지보수
22	훈련기획통제반	반원	에스지에이(주)	조원아	사원	화이트백신 유지보수

3. 정수제어 기반시설 가상 사이버공격 시나리오

<배경>

강대국들의 패권 경쟁에 전 세계가 신냉전으로 접어들며, 단순 첩보 수준에 머물렀던 사이버전 양상이 적대국의 정보자산을 직접적으로 훼손하는 방식으로 전환되기 시작함.

악의를 가진 사이버 공격 집단은 국민을 혼란시키기 위해 기반시설의 정보자산을 훼손하고자, 정수제어 시스템 유지보수 업체의 직원 정보를 입수하여 A의 메일계정으로 최신 보안이슈 동영상 등 보내 첨부자료를 다운 받도록 유도한다.

A는 유지관리 업무를 위해 평소 개인용 노트북과 USB을 소지하고 암사 정수센터를 방문 한다. 지난달에 요청한 데이터 값 프로그램 조정을 위해 HMI 메인 PC에 랜섬웨어가 오염된 USB를 연결하여 작업을 진행하였고, 특정한 날에 동작하도록 랜섬웨어가 동시에 이동하였다. (①)

원수의 약품 조정 데이터 확인을 위해 HMI 메인PC의 제어프로그램을 클릭하였으나, 프로그램이 작동되지 않아 재부팅후 재접속 하였으나 동일 현상이 발생, 탐색기를 클릭해 보니 이상한 이름의 파일들이 있는 것을 확인하였고, 정수제어 및 관리에 사용되는 데이터 및 프로그램이 암호화 되어(②) 약품을 조정하는 컨버터, 컨트롤 및 데이터를 확인 할 수 없었다.(③)

4. 정수제어 기반시설 가상 사이버공격 대응 시나리오

◦[탐지]

٠(랜섬웨어 감염 피해 상황 확인)

약품조정 데이터값을 확인하기 위해 HMI를 실행하였으나 프로그램 실행이 되지 않아 재로그인 시도하여 하였으나 동일한 증상 발생, 프로그램 디렉토리에 Windows Powershell 명령어(Get- childitem * -include *.exe – recurse)를 활용하여 View.exe 파일과 Intouch.exe 파일의 확장자가 변형되어 암호화된 파일들이 생성된 것을 확인, 바이러스백신 검사를 실시하였으나 바이러스로 인식되지 않은점으로 보아 랜섬웨어에 감염된 것을 인지하고 피해확인을 위해 다른 운영 PC를 대상으로 침해 여부를 확인하여 OCS4, OCS6이 랜섬웨어에 감염된 것으로 확인

٠(랜섬웨어 감염 파일 식별 및 대응 수준 결정)

긴급회의를 소집하여 침해상황을 설명하고 정상동작하는 OCS3의 파일과 대조하여 추가 감염여부 확인 및 대응수준 결정

기반시설 시스템의 다른 운영PC에서 감염 증상이 확인되지 않았으나 긴급 조치 및 즉각적인 대응을 위해 “주의” 수준으로 대응 수준 결정

٠(랜섬웨어 칩입경로 분석 및 상황 보고)

화이트백신(SGA)을 활용한 저장매체 연결 로그를 수집하여 비인가 저장매체 연결정보  식별

이상 징후 확인 후 악성코드 감염사실을 내부 보고 및 관리기관에 통보, 서울시 및 국가사이버보안센터에 통지하고 긴급 대응 조치 및 복구를 위하여 자동제어 유지보수 업체 긴급 지원을 요청

◦[격리]

٠(감염장비 격리 결정)

랜섬웨어 추가 감염 및 이상동작에 의한 피해를 막기위해 랜섬웨어 감염된 장비 격리 결정

٠(격리 조치)

감염된 장비의 UTP 통신케이블을 분리하여 자동제어 통신네트워크와 분리 및  NAC에서 해당 장비를 차단한다.

٠(격리 후 가동여부 확인)

감염PC와 네트워크 차단을 확인하고 감염되지 않은 운영PC에서 원격제어 명령을 정상적으로 이행하는지 확인

◦[치료]

٠(랜섬웨어 분석 및 치료 가능 여부 타진)

탐지 단계에서 발견된 View, Intouch 파일의 치료 및 복구 정보 정확한 확인을 위해 노모어랜섬 싸이트에 접속하여 복구 및 치료 가능여부 타진결과 복구 불가한 파일로 진단

٠(네트워크 취약점 차단 및 백신 업데이트)

외부 침투에 취약한 Windows PC SMB포트 차단 및 백신 최신 정보로 업데이트 실시

◦[복원]

٠(운영체제 및 소프트웨어 재설치)

유지관리 업체와 긴급 협력하여 랜섬웨어에 감염된 자산의 디스크 포맷 시행 및 OS와 자동제어 프로그램 재설치

٠(백업데이터 복구)

절차와 지침을 준수하여 피해 발생 전 가장 최근의 백업데이로 설정파일과 데이터를 복원한다.

٠(시스템 정상동작 확인)

복원 완료 후, 정상 작동 및 데이터 정상 확인

٠(격리 조치 해제 및 재가동)

복원한 장비의 격리 조치 해제

물리적 분리한 네트워크 재연결,  NAC 노드 차단 해제

원격제어 명령값 전달 확인 후 정상가동 시행

5. 훈련 단계별 계획

□  훈련 대상 시스템

시스템명	대분류	중분류	제조사	모델명	OS	버전	설명
정수제어시스템	운영PC	하드웨어	HP	Z4G4	Windows	10	운영자 감시·조작용 (중요도 가)
정수제어시스템	DB서버	하드웨어	HP	ProLiant DL380 G9	Windows Server	2016	수질최적제어, 수질데이터 저장을 위한 DB 서버 (중요도 가)
정수제어시스템	보안장비	하드웨어	Geni Networks	C20H	N/A	4.0	네트워크 접근제어 (중요도 가)
정수제어시스템	서버	백신서버	HPE	ProLiant DL20 G10	Windows Server	2019	매체제어솔루션 서버 (중요도 가)
정수제어시스템	기타	제어설비	N/A	PLC XGR	N/A	N/A	정수처리 공정 감시제어 (중요도 가)

☞  중요도는 목적에 따라 조직에 미치는 영향을 기준으로 측정
(중요도 분류 기준 명시)

5.1. 탐지 단계

1) 훈련 항목

1. 랜섬웨어 감염 피해 상황 확인

2. 사이버 침해사고 유형 분류 및 대응 수준 결정

3. 사이버 침해사고 보고 및 협력

2) 세부 훈련 계획

훈련 항목	시간	상세내용	훈련담당자
			소속	담당자
랜섬웨어 감염 피해 상황 확인	09:00~ 10:30	1. 약품조정 과정에서 OCS4에 HMI가 실행되지 않는 상황 발생 2. 해당 디렉토리에 Windows Powershell 프로그램으로 암호화된 파일 발견 3. 바이러스 백신 실행하여 바이러스로 인식하지 않는 상활을 인지하고 랜섬웨어에 감염된 것으로 판단 4. 피해 확산을 방지하기 위해 다른 시스템들의 감염 여부 확인 결과 OCS6도 감염 확인	정수과 정수시설과	김재홍 강병우 신대중
랜섬웨어 감염 파일 식별 및 대응 수준 결정	10:30~ 11:00	5. OCS3의 파일과 대조하여 추가 감염여부 및 ‘D. 웜바이러스 피해’유형으로 확인 6. 타 시스템에서 감염사례가 발견되지 않았으나 긴급 조치 및 즉각적인 대응을 위해, ‘주의’단계 대응 수준 결정	정수시설과	신대중
랜섬웨어 칩입경로 분석 및 상황 보고	11:00~ 12:00	7. Windows+R(실행)에서 명령어 Taskschd. msc 입력하고 악성코드 실행내역 확인 8. SGA에서 저장매체 연결로그 수집하여 비인가 저장매체 연결정보 확인 9. 악성코드 감염상황 내부 보고 및 관리기관에 통보하고 유지관리 업체 등 긴급 비상 연락망 가동	정수시설과	강병우 신대중

3) 사전 준비 자료

☞ 랜섬웨어 감염 파일에 사용할 명령어 또는 프로그램 사용법

- Windows Powershell(디렉토리 파일 확장자 검색)

- Taskschd.msc(작업스케줄러)

☞ 랜섬웨어 감염 파일 검색에 활용될 확장자 목록

- View.qwert, Intouch.yuiop

☞ 사이버 침해사고 유형 분류 및 대응 기준 절차 (사이버위기대응 매뉴얼)

- 사고 유형 목록

기호	사고 유형	설 명	비고
A	경유지 악용	他기관으로부터 해킹시도 항의를 받았거나, 시스템 점검 중 해킹 흔적 또는 해킹 툴이 설치되어 他시스템에 접속한 기록이 발견되었을 경우
B	자료훼손 및 유출	내부 시스템의 자료가 변조되었거나, 대량의 데이터가 외부로 무단 송신된 흔적이 발견되었을 경우
C	단순침입 시도	지속적인 스캐닝 공격이 발생할 경우
D	웜바이러스 피해	기관 내의 PC에서 웜바이러스가 발견되었을 경우	□
E	홈페이지 변조	기관의 홈페이지가 변조되었을 경우
F	홈페이지 접속 불가능	기관의 홈페이지 서버 또는 네트워크 이상으로 인해 홈페이지 접속이 불가능할 경우
G	서비스거부공격 피해	불특정 다수의 IP로부터 접속시도 또는 대량 트래픽이 일시에 유입될 경우
H	시스템 파괴	내부 시스템의 자료가 삭제되어 사용이 불가능한 경우
I	기타	사고 유형에 포함되지 않을 경우 서술식으로 기술

- 사이버위기 경보 수준 단계 구분

경보 단계	판단기준	비고
심각	⦁국가적 차원에서 네트워크 및 정보시스템 사용 불가능 ⦁침해사고가 전국적으로 발생했거나 피해범위가 대규모인 사고 발생 ⦁국가적 차원에서 공동 대처 필요
경계	⦁복수 정보통신서비스제공자(ISP)망·기간망의 장애 또는 마비 ⦁침해사고가 다수기관에서 발생했거나 대규모 피해로 발전될 가능성 증가 ⦁다수기관의 공조 대응 필요
주의	⦁일부 네트워크 및 정보시스템 장애 ⦁침해사고가 일부기관에서 발생했거나 다수기관으로 확산될 가능성 증가 ⦁국가 정보시스템 전반에 보안태세 강화 필요	□
관심	⦁웜·바이러스, 해킹기법 등에 의한 피해발생 가능성 증가 ⦁해외 사이버공격 피해가 확산되어 국내 유입 우려 ⦁사이버위협 징후 탐지 활동 강화 필요

5.2. 격리 단계

1) 훈련 항목

1. 감염장비 격리 결정

2. 격리 조치

3. 격리 후 가동여부 확인

2) 세부 훈련 계획

훈련 항목	시간	상세내용	훈련담당자
			소속	담당자
감염장비 격리 결정	13:00~ 13:30	1. 랜섬웨어 추가 감염 및 확산을 막기 위해 감염장비를 시스템에서 격리 결정	정수시설과	신대중
격리 조치	13:30~ 14:30	2. 감염장비의 격리를 위한 UTP 통신케이블을 분리하고 NAC에서 해당 장비를 네트워크에서 차단	정수시설과	신대중
격리 후 가동여부 확인	14:30~ 16:00	3. 감염장비의 네트워크 차단을 확인하고 미감염 장비에서 명령이 정상적 이행되는지 확인	정수시설과	신대중

3) 사전 준비 자료

☞ 미감염장비 가동 절차를 사전에 작성

- HMI PC는 8대로, 정상 운영 중에 있음

- HMI PC 장애시에는 다른 HMI PC에서 바로 운영 가능함

5.3. 치료 단계

1) 훈련 항목

1. 랜섬웨어 분석 및 치료 가능 여부 타진

2. 취약한 장비 및 소프트웨어 강화

2) 세부 훈련 계획

훈련 항목	시간	상세내용	훈련담당자
			소속	담당자
랜섬웨어 분석 및 치료 가능 여부 타진	09:00~ 11:00	1. 랜섬웨어 분석 사이트 등을 활용한 악성코드 치료 및 복원 여부 분석 -https://www.nomoreransom.org	정수시설과	신대중
네트워크 취약점 차단 및 백신 업데이트	11:00~ 12:00	2. 윈도 PC의 SMB 포트 확인 후 조치(포트 차단) 3. 백신 최신 업데이트 실시 및 검사	정수시설과	신대중 강병우

3) 사전 준비 자료

☞ 랜섬웨어를 손쉽게 분석할 수 있는 사이트 활용(노모어랜섬)

https://www.nomoreransom.org/ko/index.html

☞ 훈련에 사용할 랜섬웨어에 의해 암호화된 파일 및 노모어랜섬 사이트에 복구 가용 솔루션 정보

☞ 훈련에 사용할 임의의 취약점 정보 및 해당 취약점에 대한 조치방안
① 윈도 PC에서 SMB 포트 차단

- 제어판 → 프로그램 및 기능 → 윈도 기능 켜기/끄기 클릭 →

SMB 1.0/CIFS 파일 공유지원 체크 확인 및 체크 해제

② 백신 최신 엔진 업데이트 실시 및 검사(4월 최신 백신)

5.4. 복원 단계

1) 훈련 항목

1. 운영체제 및 소프트웨어 재설치

2. 백업데이터 복구

3. 시스템 정상동작 확인

4. 격리 조치 해제 및 재가동

2) 세부 훈련 계획

훈련 항목	시간	상세내용	훈련담당자
			소속	담당자
운영체제 및 소프트웨어 재설치	13:00~ 13:30	감염장비 디스크 포맷 및 OS, 자동제어 프로그램 설치(자동제어 유지보수 업체 협조)	정수시설과 누리제어	신대중 강병우 이현수
백업데이터 복구	13:30~ 15:00	2. 가장 최근에 백업한 데이터로 설정파일 복구	정수시설과 누리제어	신대중 강병우 이현수
시스템 정상동작 확인	15:00~ 15:30	3. 복원 완료하고 정상동작 확인	정수시설과	신대중 강병우
격리 조치 해제 및 재가동	15:30~ 16:00	4. 복원한 장비 격리 해제 5. 네트워크 재연결 및 NAC 차단 해제 6. 원격제어 확인 후 정상가동 시행	정수시설과	신대중 강병우

3) 사전 준비 자료

☞ 시스템 복원을 위한 복구 운영체제와 백업 데이터 확인

- 비상용 예비 PC(윈도10), 백업 대장 확인(사진첨부)

☞ 재가동 절차를 사전에 작성

- HMI 응용 프로그램 설치, 시스템 로그인 계정 및 암호 변경

제어시스템 데이터 백업 설치하여 복원 완료 (유지보수 업체 지원)

- 네트워크 연결 후 정상 작동 확인

6. 암사 기반시설 사고 후 분석 후속 조치 결과

-