CISA "수처리 시설 PLC 노출" 경고, Censys 조사서 로크웰 4148대·지멘스 4117대 인터넷에 그대로 노출

이번 건은 정치 싸움으로 번졌는데 트럼프가 이란 탓한 게 틀린 말은 아님. CISA가 15년 전부터 경고했는데 아직도 기본 비밀번호로 인터넷에 PLC를 연결해두는 건 명백한 IT 부실 관리임. 집에서 Plex 서버 보안에 더 신경 쓰면서 화학물질 다루는 수도 시설은 방치하는 게 말이 되냐

PLC 다뤄본 입장에서 말하면 기본 비밀번호 여부를 떠나서 이렇게 보안 약한 장비가 아예 공인망에 노출돼 있다는 사실 자체가 충격적임

이건 부주의라기보다 인프라 보안을 제대로 할 줄 아는 인력을 구하고 돈 줄 여력이 없는 게 진짜 문제인 듯. 개발자들도 자기 회사 네트워크 엔지니어링은 마법처럼 취급하는 경우 많잖아

책임자들이 감방 갈 일 없으면 왜 신경 쓰겠음. 정부는 경고만 할 게 아니라 명령하고 잡아넣어야 함. 동시에 진짜 부족한 부분엔 예산과 교육도 지원해야지

이건 정치 문제가 아니라 기술 문제임. 인터넷 연결 끊고 패치하고 로그 확인하면 됨. 수도 공급은 중요한 인프라니까 그냥 일을 제대로 하라는 거임

연방정부가 국가안보 책임지는 건 100% 맞는 말인데, 취약점이 그렇게 뻔했다면 그걸 몰랐던 연방정부가 더 무능한 거 아님? 게다가 전쟁 시작할 걸 아는 유일한 쪽이었으면서. 남 탓만 하는 건 본인도 마찬가지임

트럼프 발언은 완전히 틀렸음. 미네소타가 부실 관리했다는 거랑 미네소타가 공격 주체라는 건 완전히 다른 얘긴데 후자는 음모론 수준임

이건 IT 부실이 아니라 산업 자체가 다른 문제임. IT 인력은 이런 OT 시스템을 이해 못 하는 경우가 많고, IT 모범 사례가 OT엔 안 맞는 경우도 많음. 조직들은 리소스 부족으로 매일 불끄기 바쁘고 벤더들은 사람 교육 대신 툴만 팔아치웠음

CISA는 2018년에 생겼으니 15년까지는 아니고 그 절반쯤임. 다만 보안 업계 전체는 부시 행정부 이전부터 유틸리티가 손쉬운 타겟이라고 계속 외쳐왔음

산업 자동화 업계랑 그 고객사들 네트워크 보안 상태를 한 문장으로 표현하라면 이 통계 수치가 답임. 웃김

실제 상황은 이보다 더 심각함. 지난주에 인프라 아키텍처 점검했는데 아직도 다이얼업이랑 3G로 연결된 장비가 핵심 인프라에 남아있더라

Water ISAC 공동의장 Andy Krapf가 쓴 글이 벤더 관점 아닌 시각에서 물 관리 업계의 구조적 문제를 잘 짚었음. 이쪽 관점을 더 선호함