산업 제어 시스템 보안 취약점 분석 보고서 2025

요약

이 보고서는 현재의 산업 제어 시스템(ICS) 보안 태세와 두 가지 고위험 취약점에 대한 심층 분석을 제공합니다.2025년 산업 제어 시스템 보안은 기술 혁신과 도난의 양방향 위험, 구 기술과 신기술의 공존으로 인한 이중 위험, 공급망 보안 위기 심화, 제로데이 취약성 및 은폐 전략의 실패로 주로 나타나는 전례 없는 과제에 직면해 있습니다.

이 보고서는 미쓰비시 일렉트릭 G-50 에어컨 시스템의 인증 우회 취약점(CVE-2025-3699)과 슈나이더 일렉트릭 EV링크 월박스 충전기의 경로 통과 및 명령 주입 취약점(CVE-2025-5740)이라는 두 가지 중요한 취약점에 초점을 맞추고 있습니다. 미쓰비시 일렉트릭 취약점은 취약점 점수가 9.8(CVSS 3.1)로 높고 제어 시스템에 대한 무단 액세스로 이어질 수 있으며, 펌웨어 버전 3.37 이하를 사용하는 G-50 시리즈 에어컨 시스템에 영향을 줄 수 있습니다. 슈나이더 일렉트릭의 취약점에 대한 정보는 아직 공개되지 않았지만 CISA에서 발표한 산업 제어 시스템 보안 경보에 따르면 유사한 취약점이 공격자들의 주요 표적이 되고 있습니다.

CISA의 최신 산업 제어 시스템 보안 경보에 따르면 2025년 상반기에 도버 퓨얼링 솔루션의 MagLink LX 콘솔 취약성(CVE-2025-5310)과 존슨 컨트롤의 iSTAR 구성 도구 취약성(CVE-2025-26383) 등 여러 고위험 취약성이 확인되었으며, 이러한 취약성은 다음과 같이 설명합니다. 취약점은 에너지, 정부, 운송 및 기타 중요 인프라에 심각한 보안 위협을 초래할 수 있습니다.

이 보고서는 산업 제어 시스템 보안을 위한 NIST SP 800-82 가이드라인을 기반으로 취약성 분석 및 위험 평가에 대한 체계적인 접근 방식을 채택하고 표적 방어 권장 사항을 제시합니다. 이 보고서는 기업이 선제적 방어 시스템을 구축하고, 공급망 관리를 강화하고, 계층화된 보안 아키텍처를 구현하고, 공격 및 방어 인텔리전스 수준을 개선해야 한다고 제안합니다.

1. 소개

1.1 연구 배경

산업 제어 시스템(ICS)은 국가 핵심 인프라와 산업 생산을 지원하는 핵심 기술 시스템으로, 보안은 단순한 기술 수준을 넘어 국가 안보 전략의 중요한 부분으로 부상했습니다. 최근 사물 인터넷(IoT) 기술의 보급과 IT/OT 시스템의 긴밀한 통합으로 산업 제어 시스템의 네트워크 노출이 크게 확대되면서 보안 위협이 증가하고 있습니다.

2025년 상반기에 미국 사이버보안 및 인프라 보안국(CISA)은 여러 고위험 취약점을 다루는 ICSA-25-148 시리즈 게시판을 포함하여 여러 산업 제어 시스템 보안 경고를 발표했습니다. 이러한 취약점은 에너지, 제조, 건설, 운송 등 여러 중요 분야에 걸쳐 있으며, 오늘날 산업 제어 시스템이 직면한 심각한 보안 문제를 반영합니다.

카스퍼스키 ICS CERT의 2025년 전망에 따르면 지정학적으로 주도되는 표적 공격, 공격 도구의 민간화, 비상 대응 능력 격차가 산업 제어 시스템에 대한 주요 위협으로 부상했습니다. 한편, Chianson 2025 사이버 보안 동향 보고서에 따르면 2024년에 40,289개의 새로운 취약점이 추가되었으며, 실행 코드 범주에서 53.88%가 증가하여 취약점 위협이 지속적으로 증가하고 있는 것으로 나타났습니다.

이러한 배경에서 본 보고서는 현재 산업 제어 시스템 취약점의 기술적 특성, 공격 패턴 및 방어 대책을 밝히고 산업 기업 및 중요 인프라에 대한 보안 참조를 제공하기 위해 미쓰비시전기 에어컨 시스템 취약점(CVE-2025-3699)과 슈나이더 일렉트릭 EVLink 월박스 충전기 취약점(CVE-2025-5740)을 중점 분석합니다.

1.2 보고서의 범위 및 방법론

연구 범위

이 보고서는 다음 사항에 중점을 둡니다:

산업 제어 시스템의 보안 태세 분석권위 있는 기관에서 발표한 보안 보고서와 트렌드 예측을 바탕으로 2025년 산업 제어 시스템 보안 상황을 종합적으로 평가한 보고서입니다.
중요 취약점에 대한 기술적 분석:
- 미쓰비시 전기 G-50 에어컨 시스템 취약점(CVE-2025-3699): 이 인증 메커니즘 결함 취약점의 기술 원리, 공격 벡터 및 잠재적 영향에 대한 자세한 분석입니다.
- 슈나이더 일렉트릭 EVLink 월박스 충전기 취약점(CVE-2025-5740): 이 경로 통과 및 명령 주입 취약점의 기술적 특성은 사용 가능한 정보를 기반으로 분석됩니다.
위험 평가 및 영향 분석CVSS 점수 시스템은 여러 측면에서 취약성 위험을 평가하고 다양한 산업에 미치는 잠재적 영향을 분석하는 데 사용됩니다.
방어 전략 및 보안 권장 사항NIST SP 800-82 산업 제어 시스템 보안 가이드라인 및 CISA 보안 권장 사항과 연계한 표적 방어.

연구 방법론

이 보고서에서는 다음과 같은 방법론을 사용하여 연구를 진행했습니다:

문헌 검토보안 게시판, 기술 보고서, 보안 가이드라인을 CISA 및 NIST와 같은 권위 있는 기관에서 수집하고 분석합니다.
취약점 분석CVE 세부 정보 및 기술 보고서를 기반으로 하향식 접근 방식을 사용하여 취약성 원리와 공격 경로를 분석합니다.
위험 평가 프레임워크CVSS 3.1 점수 시스템을 사용하여 취약성을 정량적으로 평가하고 NIST의 자산 분류 표준과 함께 비즈니스에 미치는 영향을 평가합니다.
전문가 합의 방식결합형 멀티 파티보안 전문가체계적인 보안 대응을 위한 국방부 권장 사항입니다.

참고: 슈나이더 일렉트릭 EVLink 월박스 충전기 취약점(CVE-2025-5740)에 대한 자세한 정보는 아직 완전히 수집되지 않았으며, 이 보고서는 사용 가능한 정보의 예비 분석을 기반으로 작성되었으며 추후 업데이트에 추가될 예정입니다.

2. 중요 취약점에 대한 기술적 분석

이 섹션에서는 두 가지 고위험 산업 제어 시스템 취약점의 기술적 세부 사항을 심층 분석하여 그 작동 방식, 공격 벡터 및 잠재적 영향에 대해 설명합니다. 이러한 취약점은 인증 메커니즘의 결함과 웹 애플리케이션 보안 취약점으로, 무단 액세스 및 원격 코드 실행과 같은 심각한 결과를 초래할 수 있는 오늘날 산업 제어 시스템이 직면한 일반적인 보안 위협을 나타냅니다.

2.1 미쓰비시 전기 공조 시스템 취약점(CVE-2025-3699) 분석

미쓰비시 전기 G-50 시리즈 공조 시스템에 심각한 인증 우회 취약점이 존재하며, 이 취약점은 CVE-2025-3699 번호가 할당되었고 CVSS 점수가 최대 9.8(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C/C:H/I:H/A:H)이며 "심각"으로 분류되어 있습니다. " 수준으로 분류됩니다.

2.1.1 취약성 원칙

이 취약점의 본질은 공격자가 유효한 자격 증명을 제공하지 않고도 인증 프로세스를 우회할 수 있는 G-50 시리즈 공조 시스템의 웹 인터페이스 인증 메커니즘의 결함입니다. 구체적인 원리는 다음과 같습니다:

인증 프로세스 결함:: G-50 시스템의 웹 서버는 세션 관리 로직에 결함이 있어 특정 HTTP 요청을 처리할 때 사용자를 제대로 인증하지 못했습니다.
누락된 입력 유효성 검사특정 API 엔드포인트에 대한 액세스에 대해 엄격한 인증 검사를 구현하지 않습니다.
특권의 불충분한 분리인증 우회에 성공하면 공격자는 관리자 수준의 권한을 직접 획득할 수 있습니다.

2.1.2 공격 벡터

공격자는 아래 단계에 따라 이 취약점을 익스플로잇할 수 있습니다:

대상 시스템 검색포트 스캔 또는 검색 엔진(예: 쇼단)을 통해 인터넷에 노출된 G-50 시스템 식별
특별 요청 구성하기: 인증 메커니즘을 우회하여 신중하게 구성된 HTTP 요청을 대상 시스템으로 보냅니다.
시스템 제어권 획득인증이 우회되면 공격자는 관리 인터페이스에 액세스하여 공조 시스템을 조작할 수 있습니다.

이 취약점은 사용자 상호 작용이 필요하지 않고 공격 복잡성이 낮다는 점에서 특히 위험합니다.

2.1.3 영향 범위

이 취약점은 펌웨어 버전 3.37 이하[^1]를 사용하는 모든 미쓰비시 전기 G-50 시리즈 에어컨 시스템에 영향을 미칩니다. 이러한 시스템은 널리 사용되고 있습니다:

상업용 오피스 빌딩
의료 기관
데이터 센터
산업 시설

2.1.4 기술적 영향

이 취약점을 성공적으로 익스플로잇하면 다음과 같은 결과를 초래할 수 있습니다:

무단 제어공격자가 원격으로 온도 설정을 제어하여 정상적인 건물 운영에 영향을 미칠 수 있습니다.
정보 유출시스템 구성 데이터 및 건물 레이아웃 정보에 액세스 가능
시스템 손상시스템 구성을 변경하면 장비 손상 또는 서비스 중단이 발생할 수 있습니다.
트래버스내부 네트워크의 발판으로 공조 시스템 사용

2.1.5 완화 조치

미쓰비시 전기는 아직 공식 패치를 발표하지 않았으며, 다음과 같은 임시 완화 조치를 권장합니다:

네트워크 격리G-50 시스템을 인터넷에서 물리적으로 분리합니다.
액세스 제어권한이 부여된 IP 주소로만 접속을 허용하도록 엄격한 방화벽 규칙을 구성합니다.
VPN 액세스보안 VPN 채널을 통한 관리 인터페이스 액세스
모니터링 및 감사비정상적인 프로토콜 요청을 모니터링하기 위한 IDS/IPS 시스템 배포

2.2 슈나이더 일렉트릭 EVLink 월박스 취약점(CVE-2025-5740) 분석

CVSS 점수가 각각 7.2(v3.1) 및 8.6(v4)인 슈나이더 일렉트릭 EVLink 월박스 충전기에 경로 통과 취약성(CVE-2025-5740)과 명령 주입 취약성(CVE-2025-5743)이 존재합니다. 이 두 가지 취약점을 함께 사용하면 심각한 보안 위험을 초래할 수 있습니다.

2.2.1 취약성 원칙

경로 통과 취약점(CVE-2025-5740):

이 취약점은 핵심 원리인 CWE-22(경로 통과) 유형입니다:

입력 유효성 검사가 누락되었습니다.충전기 웹 서버가 사용자가 입력한 파일 경로의 유효성을 검사하고 살균하지 않습니다.
액세스 제어 결함특정 디렉토리 및 파일에 대한 액세스가 시스템에 의해 제한되지 않습니다.
카탈로그 이동 문자가 잘못 처리됨"..."와 같은 특수 시퀀스를 필터링하거나 이스케이프하지 않습니다. /" 및 기타 특수 시퀀스

명령 인젝션 취약점(CVE-2025-5743):

이 취약점은 CWE-78(OS 명령 인젝션) 유형입니다:

안전하지 않은 명령어 구성웹 애플리케이션이 사용자 입력을 시스템 명령에 직접 연결합니다.
입력 정화 부족특수 문자(예: ";", "|", "&")는 필터링되지 않습니다.
사용 인증이 필요합니다.이 취약점을 트리거하려면 유효한 인증 세션이 필요합니다.

2.2.2 공격 벡터

공격자는 다음 단계에 따라 이러한 취약점을 익스플로잇할 수 있습니다:

경로 통과 공격 흐름:
- "..." 시퀀스가 포함된 특수 요청을 구성합니다. /" 시퀀스
- 시스템 디렉터리 외부의 민감한 파일에 대한 액세스
- 모든 위치에 악성 파일을 업로드할 수 있습니다.
명령 인젝션 공격 흐름:
- 먼저 유효한 인증 세션을 가져옵니다.
- 명령 구분 기호가 포함된 악성 요청을 특정 인터페이스로 전송합니다.
- 대상 시스템에서 명령을 실행합니다.

이 두 가지 취약점을 함께 사용하는 경우 공격자는 먼저 경로 통과 취약점을 사용하여 민감한 정보를 얻거나 악성 파일을 업로드한 다음, 명령 주입 취약점을 통해 이러한 파일을 실행하여 시스템을 완전히 제어할 수 있습니다.

2.2.3 영향 범위

이 취약점은 특히 단종(EOL) 단계에 있는 모든 버전의 슈나이더 일렉트릭 EVLink WallBox 충전기에 영향을 줍니다. 이러한 충전기는 널리 사용되고 있습니다:

공공 충전소
상업용 건물 주차장
주거 지역
기업 차량 관리

2.2.4 기술적 영향

이러한 취약점이 성공적으로 악용될 수 있습니다:

전체 시스템 제어공격자가 충전기 시스템을 완전히 제어할 수 있습니다.
구성 변경 사항충전 매개변수가 변경되어 전기차의 안전에 영향을 미칠 수 있습니다.
코드 실행기기에서 악성 코드 실행
네트워크 침입충전 시설을 기업 네트워크의 발판으로 사용
서비스 중단충전 서비스를 사용할 수 없게 되어 중요 인프라에 영향을 미칠 수 있습니다.

2.2.5 완화 조치

제품이 EOL 단계에 접어들었으므로 슈나이더 일렉트릭은 사용자에게 다음과 같이 권장합니다:

제품 업그레이드차세대 EV링크 프로 AC 제품군으로의 마이그레이션
임시 보호 조치:
- 네트워크 격리VLAN 또는 서브넷을 통한 디바이스 격리
- 방화벽 구성HTTP 포트(80/443)에 대한 액세스 제한

# 방화벽 규칙 예제
iptables -A INPUT -p tcp --dport 80 -s ! 192.168.1.0/24 -j DROP

비밀번호로 보호됨12자리 이상의 복잡한 비밀번호 사용, 90일마다 비밀번호 변경
모니터링 및 감사중앙 집중식 모니터링 플랫폼으로 시스템 로그 포워딩 구성

3. 위험 평가 및 영향 분석

이 섹션에서는 공통 취약점 점수 시스템(CVSS)을 기반으로 두 가지 중요 취약점에 대한 정량적 위험 평가를 제공하고, 다양한 산업에 미치는 잠재적 영향을 분석하며, 가능한 공격 시나리오를 시뮬레이션합니다. 이러한 다차원적 위험 평가 접근 방식은 조직이 취약점의 실제 위협 수준을 이해하고 그에 따라 방어 전략을 수립하는 데 도움이 됩니다.

3.1 CVSS 점수 및 위험 정량화

CVSS(공통 취약점 점수 시스템)는 일련의 메트릭을 통해 취약점 위험을 정량화하고 취약점의 심각도를 평가하기 위해 널리 채택된 업계 표준입니다. 이 보고서에서는 CVSS v3.1 및 최신 CVSS v4 표준을 사용하여 두 가지 중요한 취약점을 점수화하고 분석합니다.

3.1.1 미쓰비시 전기 공조 시스템 취약점(CVE-2025-3699) 점수 분석

기본 등급:

CVSS v3.1 점수:9.8/10(심각한 수준)
CVSS v4 점수:9.3/10(심각한 수준)

평가 지표 분석:

공격 벡터(AV)네트워크 - 물리적 접촉 없이 네트워크를 통해 원격으로 활용 가능
공격 복잡도(AC)낮음 - 간단한 공격 조건, 특별한 조건 필요 없음
권한 요구 사항(PR)없음 - 활용에 필요한 권한이 없습니다.
사용자 인터랙션(UI)없음 - 공격을 완료하는 데 사용자 상호 작용이 필요하지 않습니다.

이 취약점의 CVSS 점수는 거의 만점에 가까운데, 그 주된 이유는 다음과 같습니다:

인터넷을 통해 원격으로 활용 가능
권한이나 사용자 상호 작용이 필요하지 않습니다.
익스플로잇에 성공하면 시스템을 완전히 제어할 수 있습니다.

아래는 이 취약점에 대한 CVSS v3.1 벡터 문자열입니다:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

3.1.2 슈나이더 일렉트릭 EVLink 월박스 취약점(CVE-2025-5740) 점수 분석

기본 등급:

CVSS v3.1 점수:7.2/10(고위험 수준)
CVSS v4 점수:8.6/10(고위험 수준)

평가 지표 분석:

공격 벡터(AV)네트워크 - 네트워크를 통해 원격으로 활용 가능
공격 복잡도(AC)낮음 - 간단한 공격 조건
권한 요구 사항(PR)높음 - 사용하려면 높은 권한이 필요합니다.
사용자 인터랙션(UI)없음 - 사용자 상호 작용이 필요하지 않음

이 취약점은 CVSS 점수는 높지만 미쓰비시 취약점보다 낮은데, 그 주된 이유는 다음과 같습니다:

원격으로 사용할 수 있지만 고급 권한이 필요합니다.
취약점 유형은 경로 통과(CWE-22), 인증 우회보다 상대적 위험도 낮음입니다.
연결된 취약점 CVE-2025-5743(명령 인젝션)과 함께 사용하면 더 큰 피해를 입힐 수 있습니다.

아래는 이 취약점에 대한 CVSS v3.1 벡터 문자열입니다:

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

3.1.3 위험 정량화 비교 분석

	미쓰비시 전기 CVE-2025-3699	슈나이더 일렉트릭 CVE-2025-5740
CVSS v3.1 등급	9.8(심각 수준)	7.2(고위험 수준)
공격 벡터	망상	망상
공격 복잡성	아래(머리)	아래(머리)
필요한 권한	가지고 있지 않다	귀하의(경칭)
사용자 상호작용	가지고 있지 않다	가지고 있지 않다
주요 위험	인증 우회	경로 순회
잠재적 결과	전체 시스템 제어	정보 유출/문서 액세스

위험도 정량화 측면에서 미쓰비시 전기 취약점은 슈나이더 일렉트릭 취약점보다 훨씬 더 위험합니다. 전자는 권한 없이 익스플로잇이 가능한 반면, 후자는 고급 권한을 먼저 획득해야 하기 때문입니다. 그러나 슈나이더 일렉트릭 취약점은 명령 주입 취약점(CVE-2025-5743)과 함께 사용될 경우 위험 수준이 훨씬 더 높습니다.

3.2 산업 영향 분석

산업 제어 시스템 취약성의 영향은 인프라 종속성, 비즈니스 중요도, 잠재적 손실이 산업마다 다르기 때문에 산업별로 다릅니다. 이 두 가지 주요 취약점이 각 산업에 미치는 구체적인 영향은 아래에서 분석됩니다.

3.2.1 미쓰비시 전기 공조 시스템 누출(CVE-2025-3699) 산업 영향

1. 상업용 건설업

영향권사무실 건물, 리테일 센터, 호텔 등을 위한 중앙 공조 시스템입니다.
잠재적 결과:
- 비정상적인 온도 제어, 업무 환경과 고객 경험에 영향을 미침
- 에너지 소비 증가로 인한 운영 비용 증가
- 시스템 다운타임으로 인해 건물을 일시적으로 사용할 수 없는 경우

2. 데이터 센터 산업

영향권정밀한 온도 제어가 필요한 서버실 및 데이터 센터
잠재적 결과:
- 비정상적인 온도는 서버 과열 및 하드웨어 손상으로 이어질 수 있습니다.
- 시스템 다운타임은 데이터센터 가동 중단을 유발할 수 있습니다.
- 서비스 중단으로 인해 SLA 위반 및 재정적 손실이 발생할 수 있습니다.

3. 의료 산업

영향권병원, 진료소, 의약품 보관 시설
잠재적 결과:
- 특수 구역(예: 수술실, 의약품 보관소)의 비정상적인 온도는 진료의 질에 영향을 미칠 수 있습니다.
- 온도에 민감한 의료 장비 또는 의약품에 손상을 줄 수 있습니다.
- 시스템 장애는 환자 안전 및 의료 서비스 제공에 영향을 미칠 수 있습니다.

4. 제조

영향권정밀한 온도 제어가 필요한 생산 환경
잠재적 결과:
- 생산 환경의 비정상적인 온도는 제품 품질에 영향을 미칠 수 있습니다.
- 생산 라인 중단 및 재정적 손실로 이어질 수 있습니다.
- 정밀 장비는 온도 변화로 인해 손상될 수 있습니다.

영향을 받는 제품 목록에 따르면 미쓰비시전기의 취약한 기기는 AE 시리즈(AE-200A, AE-50A 등), EW 시리즈(EW-50A, EW-50J 등), G 시리즈(G-50, GB-50 등), CMS 시리즈(CMS-RMD-J), EB-50GU 및 TW 시리즈 제품 등이 있습니다.

3.2.2 슈나이더 일렉트릭 EVLink 월박스 취약점(CVE-2025-5740) 업계에 미치는 영향

1. 에너지 분야

영향권공공 충전소, 상업용 충전 시설
잠재적 결과:
- 전기 자동차 사용자에게 영향을 미치는 충전 서비스 중단
- 그리드 부하 관리 문제로 이어질 수 있음
- 그리드 인프라에 대한 공격의 진입점 역할을 할 수 있습니다.

2. 운송 부문

영향권: 대중교통 전기 자동차, 물류 회사 차량
잠재적 결과:
- 차량 충전이 중단되면 운영 일정에 영향을 미칠 수 있습니다.
- 운송 서비스가 지연될 수 있습니다.
- 중요 운송 서비스에 대한 잠재적 영향

3. 소매 및 상업 부문

영향권쇼핑몰, 호텔, 오피스 빌딩 등에서 제공되는 충전 시설입니다.
잠재적 결과:
- 고객 서비스 및 경험에 미치는 영향
- 상용 네트워크에 대한 공격의 진입점으로 사용될 수 있습니다.
- 잠재적인 브랜드 평판 손상

4. 주거 커뮤니티

영향권주거 지역 내 공공 충전 시설
잠재적 결과:
- 가정용 충전 서비스 중단
- 커뮤니티 안전 시스템에 미칠 수 있는 잠재적 영향
- 커뮤니티 관리 문제로 이어질 수 있음

슈나이더 일렉트릭은 EVLink 월박스 충전기 제품 라인의 단종(EOL)을 발표하고 사용자에게 EVLink Pro AC 제품 라인으로 업그레이드할 것을 권장합니다.

3.3 공격 시나리오 시뮬레이션

이 섹션에서는 이러한 취약점의 실제 위협을 보다 직관적으로 보여드리기 위해 몇 가지 가능한 공격 시나리오를 시뮬레이션하고 공격자가 악용할 수 있는 경로와 잠재적인 결과를 분석합니다.

3.3.1 미쓰비시 전기 공조 시스템 취약점 공격 시나리오

시나리오 1: 상업용 건물에 대한 표적 공격

공격 전 준비:
- 공격자는 Shodan과 같은 검색 엔진을 사용하여 인터넷에 노출된 미쓰비시 G-50 시스템을 식별합니다.
- 대상 시스템이 취약한 버전의 펌웨어 3.37 이하를 사용하고 있는지 확인합니다.
공격 실행 프로세스:

1단계: 특수하게 조작된 HTTP 요청을 전송하여 인증 우회하기
2단계: 시스템 관리 권한 얻기
3단계: 온도 설정을 수정하여 극한 온도 설정하기

잠재적 결과:
- 직원 생산성에 영향을 미치는 비정상적인 사무실 환경 온도
- 더운 여름철에 에어컨을 끄면 서버 과열 및 IT 시스템 장애로 이어질 수 있습니다.
- 추운 겨울철에 난방을 끄면 배관이 얼고 재산 피해가 발생할 수 있습니다.

시나리오 2: 데이터 센터에 대한 파괴적인 공격

공격 전 준비:
- 공격자는 소셜 엔지니어링 또는 기타 수단을 통해 내부 네트워크에 액세스합니다.
- 인트라넷에서 미쓰비시 공조 제어 시스템 식별하기
공격 실행 프로세스:

1단계: 내부 네트워크에서 공격을 시작하여 인증을 우회합니다.
2단계: 공조 시스템 제어권 획득
3단계: 온도 경보가 트리거되지 않도록 서버실 온도를 점진적으로 높입니다.
4단계: 냉각 시스템을 종료하거나 극도로 높은 온도를 설정합니다.

잠재적 결과:
- 서버 과열로 인한 자동 종료
- 하드웨어 손상 및 데이터 손실이 발생할 수 있습니다.
- 클라우드 서비스에 의존하는 많은 비즈니스에 영향을 미치는 데이터 센터 서비스 중단
- 수백만 달러의 경제적 손실로 이어질 수 있습니다.

3.3.2 슈나이더 일렉트릭 EVLink 월박스 취약점 공격 시나리오

시나리오 1: 취약점을 결합한 다단계 공격

공격 전 준비:
- 공격자는 먼저 피싱 또는 기타 수단을 통해 충전소 관리자 자격 증명을 획득합니다.
- 대상 장치가 영향을 받는 EVLink WallBox 충전기인지 확인합니다.
공격 실행 프로세스:

1단계: 관리자 자격 증명을 사용하여 웹 관리 인터페이스에 로그인합니다.
2단계: 경로 통과 취약점(CVE-2025-5740)을 악용하여 중요한 시스템 파일에 액세스합니다.
3단계: 시스템 디렉토리에 악성 파일을 업로드합니다.
4단계: 명령 인젝션 취약점(CVE-2025-5743)을 사용하여 악성 파일을 실행합니다.
5단계: 영구 백도어를 생성하여 시스템을 완전히 제어합니다.

잠재적 결과:
- 충전 과정을 제어하며 기기가 손상될 수 있습니다.
- 사용자에게 영향을 미치는 충전 서비스 중단
- 연결된 기업 네트워크를 공격하기 위한 발판으로 사용될 수 있습니다.

시나리오 2: 충전 인프라에 대한 대규모 공격

공격 전 준비:
- 공격자들이 인터넷에서 EV링크 월박스 디바이스를 식별하는 자동화된 툴 개발
- 획득한 자격 증명 또는 기본 자격 증명을 사용하여 액세스를 시도하는 경우
공격 실행 프로세스:

1단계: 접근 가능한 충전 디바이스 일괄 스캔 및 식별
2단계: 취약점 조합을 악용하여 시스템 제어권 획득
3단계: 특정 시점에 여러 충전소 서비스를 동시에 중단시키기 위해 공격을 조정합니다.

잠재적 결과:
- 지역별 충전 서비스 중단
- 그리드 안정성에 영향을 줄 수 있음
- 공공 충전 인프라 서비스 중단

3.3.3 공격 시나리오 분석 요약

위에서 설명한 공격 시나리오는 이러한 취약점이 즉각적인 서비스 중단으로 이어질 뿐만 아니라 더 광범위한 시스템과 서비스에 영향을 미치는 연쇄 반응을 일으킬 수 있음을 보여줍니다. 특히 중요 인프라 영역에서 이러한 취약점이 존재한다는 것은 심각한 보안 위험을 의미합니다.

특히, IoT 디바이스와 산업 제어 시스템이 점점 더 상호 연결됨에 따라 공격자는 이러한 취약점을 대규모 네트워크에 대한 진입 지점으로 사용하여 더욱 정교한 공격 작전을 수행할 수 있습니다.

4. 방어 전략 및 보안 권장 사항

이 섹션에서는 CISA 보안 경보와 산업 제어 시스템 보안에 대한 최신 NIST 가이드라인을 기반으로 두 가지 주요 취약점의 기술적 특성에 따른 목표 방어 전략과 보안 권장 사항을 제시합니다. 이러한 권장 사항은 단기 완화 조치, 장기 보안 강화 전략 및 ICS 보안 모범 사례의 세 가지 수준으로 나누어 조직이 다층적이고 심층적인 산업 제어 시스템 보안 시스템을 구축하는 데 도움이 되도록 합니다.

4.1 단기 완화 조치

발견되었지만 아직 수정되지 않은 취약점에 직면한 조직은 공격 위험을 줄이기 위해 긴급한 완화 조치를 취해야 합니다. 다음은 두 가지 중요한 취약점에 대한 구체적인 완화 권장 사항입니다.

4.1.1 미쓰비시 전기 공조 시스템 취약점(CVE-2025-3699) 완화 조치

네트워크 격리 및 세분화
- 별도의 VLAN에 HVAC 시스템 배포하기
- 엄격한 네트워크 액세스 제어 목록(ACL)을 구현하세요.
- 단방향 게이트웨이/데이터 다이오드를 통한 HVAC 네트워크 분리

# 방화벽 규칙 예시(Linux iptables)
# 특정 관리 IP만 G-50 시스템에 액세스 허용
iptables -A FORWARD -p tcp -d [HVAC_IP] --dport 80 -s [ADMIN_IP] -j ACCEPT
iptables -A FORWARD -p tcp -d [HVAC_IP] --dport 443 -s [ADMIN_IP] -j ACCEPT
iptables -A FORWARD -p tcp -d [HVAC_IP] -j DROP

보안 프록시 및 VPN 액세스
- 보안 프록시를 배포하여 HVAC 웹 인터페이스에 대한 직접 액세스를 비활성화합니다.
- 암호화된 VPN 채널을 통한 관리 인터페이스 강제 액세스
- 2단계 인증(2FA) 구현
감시 및 침입 탐지
- 네트워크 침입 탐지 시스템(IDS)을 배포하여 HVAC 시스템 트래픽 모니터링하기
- HVAC 시스템 로그 수집 및 분석을 위한 SIEM 시스템 구성
- 비정상적인 온도 변화 및 비정상적인 명령 실행에 대한 경보 메커니즘 구축
비상 대응 계획
- 냉방 시스템의 수동 작동을 위한 비상 계획 준비
- 시설 관리 팀과의 비상 조정 메커니즘 구축
- 비상 격리 프로세스를 위한 장비 준비

4.1.2 슈나이더 일렉트릭 EVLink 월박스 취약성(CVE-2025-5740/5743) 완화 조치

제품 업그레이드 및 교체
- 슈나이더 일렉트릭의 권장 사항에 따라 EVLink Pro AC 제품군으로 업그레이드하기
- 즉시 업그레이드할 수 없는 장치의 경우 네트워크에서 일시적으로 연결을 끊어 보세요.
네트워크 보호
- 방화벽을 통해 충전기의 웹 인터페이스에 대한 액세스 제한하기
- 인증된 IP 주소만 관리 포트에 액세스하도록 허용하기
- 불필요한 원격 액세스 기능 비활성화하기

# 방화벽 규칙 예제
iptables -A INPUT -p tcp --dport 80 -s ! 192.168.1.0/24 -j DROP
iptables -A INPUT -p tcp --dport 443 -s ! 192.168.1.0/24 -j DROP

비밀번호 강화 및 액세스 제어
- 모든 기본 비밀번호 변경
- 강력한 비밀번호 정책(대문자, 소문자, 숫자, 특수문자를 포함한 12비트 이상의 길이)을 구현합니다.
- 90일마다 비밀번호 변경 의무화
트래픽 모니터링
- 네트워크 트래픽 분석 도구를 배포하여 충전기 통신 모니터링
- 비정상적인 HTTP 요청, 특히 "..." 등의 경로 통과 시도가 포함된 요청을 모니터링합니다. /" 및 기타 경로 통과 시도를 모니터링합니다.
- 의심스러운 명령 실행 패턴 모니터링

4.1.3 일반적인 단기 완화 조치

자산 인벤토리 업데이트
- 영향을 받는 시스템의 자산 목록을 긴급하게 업데이트합니다.
- 영향을 받는 모든 디바이스의 펌웨어 버전과 노출 여부를 확인합니다.
- 우선순위를 정하기 위해 고위험 자산에 플래그 지정하기
임시 액세스 제어 강화
- 시간 기반 액세스 제어 구현
- 액세스 시간 및 세션 길이 제한
- 관리 세션에 대한 감사 로그 추가하기
보안 구성 기준
- 필수적이지 않은 모든 서비스 및 포트 사용 중지
- 테스트 계정 및 기본 계정 제거
- 보안 웹 서비스 구성(예: 디렉토리 목록 비활성화 등)

4.2 장기적인 보안 강화 전략

조직은 현재의 취약점을 해결하기 위한 단기적인 조치 외에도 산업 제어 시스템의 전반적인 보안을 개선하기 위해 체계적인 장기 보안 강화 전략을 구현해야 합니다.

4.2.1 보안 아키텍처 최적화

계층화된 방어 모델
- NIST에서 권장하는 동적 네트워크 계층 모델 채택
- 12가지 범주의 위협 분류 매트릭스 평가 시스템 구현
- 18개 기술 영역에 걸쳐 계층화된 보호 전략 구축

제로 트러스트 아키텍처 구현
- "절대 신뢰하지 말고 항상 확인하라" 원칙 채택
- 네트워크 위치가 아닌 신원 기반 액세스 제어
- 마이크로 세분화 및 최소 권한 원칙 구현
공급망 보안 관리
- 공급업체 보안 평가 프레임워크 구축
- 중요 구성 요소에 대한 펌웨어 유효성 검사 수행
- 타사 구성 요소 위험 데이터베이스 구축

4.2.2 취약점 관리 시스템

패치 관리 프로세스 최적화
- NIST "섀도 시스템" 테스트 검증 프레임워크 구현
- 가상화 환경에서의 완벽한 패치 호환성 검증
- OT 시스템에 특화된 패치 배포 프로세스 수립
취약점 스캔 및 평가
- 정기적인 수동 취약성 검사 수행
- ICS 전용 취약점 리포지토리 구축
- 비즈니스 영향에 기반한 취약성 우선순위 평가 실시
구성 관리 개선 사항
- "구성 액세스 최소화" 원칙 구현
- 화이트리스트 기반 펌웨어 업그레이드 메커니즘 사용
- 구성 변경 감사 프로세스 구축

4.2.3 지속적인 모니터링 및 대응

보안 운영 센터(SOC) 구축
- OT 보안에 중점을 둔 SOC 팀 구축
- 산업용 프로토콜 해상도 프로브 배포
- OT-IT 융합을 위한 보안 모니터링 시스템 구축
위협 인텔리전스 통합
- 산업 제어 시스템을 위한 전용 위협 인텔리전스 소스 액세스
- 위협 인텔리전스 공유 메커니즘 구축
- 표적 위협 헌팅 활동
비상 대응을 위한 역량 강화
- ICS별 비상 대응 계획 개발
- 탁상 및 라이브 연습의 정기적인 실행
- 국가 CERT 및 업계 ISAC와의 협력 메커니즘 구축

4.3 ICS 보안 모범 사례

다음은 산업 제어 시스템 보안에 대한 최신 NIST 가이드라인과 업계 모범 사례를 바탕으로 산업 제어 시스템 보안 관리를 위한 체계적인 권장 사항입니다.

4.3.1 안전한 설계 원칙

심층 방어 전략
- 다계층 보안 제어 구축
- 단일 보호 지점에 대한 종속성 방지
- 기술적 조치와 관리적 조치의 통합
보안 기본 구성
- 배포 전에 장비의 보안 강화 구현
- 기본적으로 비필수 기능 및 서비스 비활성화하기
- 최소 권한 원칙의 구현
페일 세이프 설계
- 안전 제어 실패 시에도 시스템이 안전하게 유지되도록 보장합니다.
- 독립적인 보안 보호 메커니즘 구현
- 주요 기능의 중복 설계

4.3.2 IT-OT 융합 보안

"디지털 트윈 보안 샌드박스" 개념 적용
- OT 시스템을 위한 가상 복제 환경 구축
- 디지털 트윈 환경에서의 보안 제어 테스트
- OT 시스템 실시간 요구 사항과 보안 요구 사항의 균형 맞추기
보안 도메인 분리 및 국경 보호
- IT와 OT 네트워크 경계를 명확하게 정의하기
- 단방향 보안 게이트웨이 구현
- DMZ 버퍼 생성
ID 및 액세스 관리
- OT 시스템 계정의 중앙 집중식 관리
- 역할 기반 액세스 제어 구현
- 권한 있는 계정 관리 및 감사

4.3.3 보안 표준 및 규정 준수

표준 시너지 애플리케이션
- NIST 및 IEC 62443 표준의 조합
- IEC 62443-3-3 자산 분류 표준 통합
- 통합 산업 장비 위험 평가 모델 구축
산업별 안전 표준
- 에너지 부문: NERC CIP
- 제조: ISA/IEC 62443
- 빌딩 자동화: ISO 16484
보안 성숙도 평가
- 보안 제어의 효과에 대한 주기적 평가
- C2M2와 같은 성숙도 모델 채택
- 안전 관리 시스템의 지속적인 개선

4.3.4 미래 트렌드에 대한 적응

AI 보안 애플리케이션
- AI 기반 이상 징후 탐지 사용
- 자동화된 보안 대응 구현
- 예측 위협 분석
양자 보안 전환 준비
- 기존 암호화에 대한 양자 컴퓨팅의 위협 평가하기
- 양자 암호화 이후 마이그레이션 계획 개발
- NIST PQC 표준 개발에 집중
보안 자동화 및 안무
- 보안 오케스트레이션 자동 응답(SOAR) 구현
- 자동화된 규정 준수 점검
- DevSecOps 프로세스 통합

산업 제어 시스템의 보안에는 보안, 가용성, 생산성 간의 균형이 필요합니다. 위의 모범 사례는 특정 산업 특성, 시스템 중요도 및 리소스 제약에 따라 조정하고 최적화해야 합니다. 조직은 보안 제어의 효과를 정기적으로 평가하고 위협 환경의 변화에 따라 방어 전략을 적시에 조정할 수 있는 지속적인 개선 메커니즘을 구축해야 합니다.

5. 결론 및 전망

이 보고서는 미쓰비시전기 공조 시스템 취약점(CVE-2025-3699)과 슈나이더 일렉트릭 EV링크 월박스 충전기 취약점(CVE-2025-5740)을 심층 분석하여 현재 산업 제어 시스템 보안이 직면한 심각한 문제를 드러내고 있습니다. 이러한 취약점은 산업 제어 시스템 보안의 기술적 결함을 반영할 뿐만 아니라 현재 ICS 보안 환경의 시스템적 문제를 나타냅니다.

5.1 주요 결과

중요 취약점 분석 결과

취약성 특성으로 인한 시스템적 문제 발생
- 미쓰비시 전기 G-50 시리즈 공조 시스템 취약점(CVE-2025-3699)은 산업 제어 시스템의 인증 메커니즘에 근본적인 결함을 노출하며, CVSS 점수는 9.8로 "심각"으로 분류되고 펌웨어 버전 3.37 이하를 사용하는 여러 제품 라인에 영향을 미치며, AE 시리즈, EW 시리즈, G 시리즈, CMS 시리즈, EB-50GU 및 TW 시리즈 등 펌웨어 버전 3.37 이하를 사용하는 여러 제품군에 영향을 미칩니다.
- 슈나이더 일렉트릭 EVLink 월박스 충전기 취약점(CVE-2025-5740)은 산업 제어 시스템에서 경로 탐색 및 명령어 주입과 같은 기존 웹 보안 문제가 지속되고 있음을 반영합니다. 더 큰 문제는 이러한 제품이 단종(EOL) 단계에 접어들었다는 점이며, 이는 산업 제어 시스템의 '레거시 디바이스 보안'에 대한 심각한 문제를 반영합니다.
업계에 미치는 영향은 광범위하고 광범위합니다.
- 미쓰비시 전기의 취약점은 주로 상업용 건물과 산업 시설에 영향을 미치며 온도 제어 이상 및 시스템 다운타임과 같은 운영 중단을 초래할 수 있으며, 특히 데이터 센터와 같이 온도 제어에 민감한 환경에 심각한 영향을 미칠 수 있습니다.
- 반면 슈나이더 일렉트릭의 취약점은 주로 에너지 부문의 충전 인프라에 영향을 미쳐 충전 서비스의 중단이나 이상을 초래할 수 있으며 내부 네트워크에 대한 공격의 발판으로 사용될 수 있습니다.
안전 결함의 여러 가지 근본 원인
- 기술 수준: 기본적인 설계 결함, 불충분한 인증 메커니즘, 느슨한 입력 유효성 검사
- 관리 수준: 수명 주기 관리 문제, 패치 관리 딜레마, 보안 인식 부족
- 생태학적 수준: 공급망 보안 위험 전달, 기존 기술과 신기술의 부적절한 통합

현재 ICS 보안 태세 요약

기술 혁신과 기술 불법 복제의 양방향 위험AI 및 양자 컴퓨팅과 같은 신흥 기술은 산업 제어 시스템에 혁신을 가져오는 동시에 고가의 공격 대상이 되었으며, 오픈 소스 도구의 오용은 공격의 문턱을 더욱 낮췄습니다.
신기술과 오래된 기술의 두 가지 함정생성형 AI는 매우 사실적인 피싱 공격을 만드는 데 사용되는 반면, 구형 IIoT 디바이스는 하드웨어 제한으로 인해 최신 보안 프로토콜을 배포하는 데 어려움을 겪고 있어 보안 기능이 불균일합니다.
공급망 보안 위기 심화소규모 공급업체의 부적절한 사이버 보안 투자로 인해 공급망 공격이 타사 파트너로 확대되고 있습니다.
제로데이 취약점과 스텔스 전략의 실패2024년에는 40,289개의 새로운 취약점이 발생하고 코드 실행 취약점은 53.88%까지 증가할 것이며, '시스템 숨기기' 전략에 과도하게 의존해서는 더 이상 현재의 위협 환경에 대응할 수 없습니다.

5.2 향후 트렌드와 과제

산업 제어 시스템 보안에 대한 최신 CISA 경고 및 NIST 가이드라인을 기반으로 산업 제어 시스템 보안에 대한 다음과 같은 트렌드와 과제를 예상할 수 있습니다:

기술 개발 동향

보안 아키텍처 혁신
- NIST가 제안한 동적 네트워크 계층화 모델은 기존의 정적 계층화를 점진적으로 대체할 것입니다.
- 12개 범주의 위협 분류 매트릭스와 18개 기술 도메인을 사용하는 계층화된 보호 전략이 표준 관행이 될 것입니다.
- '디지털 트윈 보안 샌드박스' 개념은 OT 시스템의 실시간 요구 사항과 보안 심층 보호 간의 충돌을 해결하는 데 도움이 됩니다.
AI 보안의 양날의 검
- AI 기반 위협 탐지가 주류가 되어 비정상적인 행동 식별을 개선합니다.
- 또한 공격자는 AI를 사용하여 더욱 은밀하게 공격할 것입니다.
- 적응형 보안 아키텍처는 AI 공격과 방어의 대결에 대응하는 핵심이 될 것입니다.
보안의 비약적인 도약
- 기존 암호화 알고리즘에 대한 양자 컴퓨팅의 위협이 ICS 보안을 위한 포스트-퀀텀 암호화로의 전환을 촉진할 것입니다.
- 산업 제어 시스템에 단계적으로 적용될 포스트-NIST 양자 암호화 표준
- 양자 보안과 기존 시스템의 호환성은 기술적 과제가 될 것입니다.

업계 과제

업그레이드된 장비 인증 표준
- 업계는 특히 커넥티드 ICS 디바이스에 대해 더욱 엄격한 디바이스 인증 표준을 필요로 할 것입니다.
- 단종(EOL) 디바이스의 보안 관리는 장기적인 과제가 될 것입니다.
- 호환성과 보안의 균형을 맞추기가 더 어려워집니다.
공급망 보안 감사
- 표준 관행으로 자리 잡은 공급망 보안 감사
- 타사 보안 위험 평가를 더욱 체계화하기 위한 노력
- 소규모 공급업체는 보안 역량을 구축하는 데 있어 리소스 문제에 직면하게 됩니다.
업계 간 협업 요구 사항
- 산업과 국경을 넘어 위협 인텔리전스 공유 메커니즘을 구축해야 합니다.
- 민관 파트너십(PPP) 모델은 지능형 위협에 대응하는 데 더욱 중요한 역할을 할 것입니다.
- 표준 시너지 효과(예: NIST 및 IEC 62443)는 산업 장비에 대한 조화로운 위험 평가 모델을 촉진할 것입니다.

미래 방어 우선 순위

능동적 방어 시스템 구축
- 사후 대응에서 사전 예방적 방어로의 전환
- 정기적인 보안 운영 활동으로 자리 잡은 위협 헌팅
- 예측 보안 분석으로 잠재적 위험을 사전에 식별합니다.
계층화된 보안 아키텍처 설계
- 제로 트러스트 아키텍처는 ICS 환경에서 더 널리 사용될 것입니다.
- 마이크로 세분화 기술로 사이버 보안 경계를 세분화할 수 있습니다.
- ID 중심 접속 제어가 네트워크 위치 중심 모델을 대체할 것입니다.
지능형 공격 및 방어 대책
- 자동화된 보안 오케스트레이션 대응(SOAR)으로 방어 속도 향상
- 지능형 레드팀 평가 정례화
- 보안 자동화를 통한 인재 격차 해소

산업 제어 시스템 보안은 기술 혁신과 보안 문제가 맞물려 있는 중요한 전환점에 서 있습니다. 조직은 미래의 복잡한 위협 환경에 효과적으로 대응하기 위해 보안 요구 사항과 비즈니스 연속성의 균형을 맞추는 보다 체계적이고 사전 예방적인 보안 전략을 채택해야 합니다.

참고 문헌

미쓰비시 전기 G-50 에어컨 시스템 취약점(CVE-2025-3699) - 알리클라우드 취약점 라이브러리
산업 제어 시스템을 위한 NIST SP 800-82 안전 가이드
CISA ICS 안전 게시판(ICSA-25-148 시리즈)
알려진 익스플로잇 취약점의 CISA 카탈로그 - https://www.cisa.gov/known-exploited-vulnerabilities
2025년 카스퍼스키 ICS CERT 예측
2025년 사이버 보안의 10대 트렌드(Chianson 선정)
슈나이더 일렉트릭 EVLink 월박스 안전 게시판
CISA 공식 회람(ICSA-25-175-04) - https://www.cisa.gov/news-events/ics-advisories/icsa-25-175-04
미쓰비시 전기 G-50 시리즈 취약점 기술 분석 보고서
슈나이더 일렉트릭 EVLink 월박스 취약점 기술 분석 보고서

부록

용어집

abridge	전체 이름	지침
ICS	산업 제어 시스템	산업용 제어 시스템
HVAC	난방, 환기 및 에어컨	HVAC 시스템
CVSS	공통 취약점 점수 시스템	일반 취약점 점수 시스템
CISA	사이버 보안 및 인프라 보안 기관	미국 사이버 보안 및 인프라 보안 기관
NIST	국립표준기술연구원	국립표준기술연구원
CWE	일반적인 약점 열거	일반적인 약점 분류
EOL	수명 종료	수명 주기 종료
OT	운영 기술	운영 기술
IT	정보 기술	정보 기술
DMZ	비무장 지대	검역 구역
SOAR	보안 오케스트레이션, 자동화 및 대응	보안 오케스트레이션에 대한 자동화된 대응

최고 보안 책임자의 원본 기사, 복제할 경우 출처 표시: https://www.cncso.com/kr/2025-ics-security-vulnerability-analysis-report.html