STPA위성은 멀쩡한데 서비스가 멈췄다 — 우주 보안·안전 분석을 '서비스 손실'에서 시작해야 하는 이유
01요약
02장면: 2022년 2월 24일, 위성은 그대로였다
2022년 2월 24일 새벽, 유럽 전역에서 KA-SAT 위성 인터넷 단말 수만 대가 동시에 접속을 잃었습니다. Viasat이 3월 30일 공개한 설명에 따르면 공격자는 잘못 설정된 VPN 장비를 통해 지상 관리망에 들어왔고, 그 안에서 정상적인 관리 명령을 많은 가정용 모뎀에 동시에 보냈습니다. 명령은 모뎀 플래시 메모리의 핵심 데이터를 덮어썼고, 모뎀은 네트워크에 다시 붙지 못했습니다. Viasat은 이후 교체용 모뎀 약 3만 대를 보냈습니다. 독일 풍력발전기 제조사 Enercon은 이 통신망을 쓰던 풍력발전기 5,800기(약 11 GW)의 원격 감시·제어가 끊겼다고 밝혔습니다. 발전기는 계속 돌았지만 원격으로 재설정할 수 없었습니다.
이 사건에서 위성 자체는 아무 이상이 없었습니다. 피해는 지상 관리망 → 관리 명령 → 사용자 단말이라는, 위성 밖의 제어 경로에서 생겼습니다. 보안 연구 기관 SentinelLabs는 악성 코드가 관리 기능을 통해 배포되었다고 분석하며 Viasat의 설명이 불완전하다고 보았지만, 피해가 지상 관리 경로에서 시작되었다는 점은 양쪽이 같습니다.
New Space Economy 기사가 말하는 "서비스 사슬 전체"가 바로 이것입니다. 위성 운용자의 고객은 위성이 얼마나 정교한지보다 데이터를 받을 수 있는지, 믿을 수 있는지를 봅니다.
03자산에서 시작하면 놓치는 것
| 출발점 | 먼저 묻는 것 | 이 사건에서 놓치기 쉬운 것 |
|---|---|---|
| 위성 자산에서 시작 | 위성 버스·탑재체·관제 링크가 공격받으면? | 위성을 건드리지 않는 공격(관리망 → 단말) |
| 구성요소 고장에서 시작 | 관문국 A가 고장 나면? B가 대신한다 | A와 B가 같은 관리 계정·설정 템플릿을 쓰면 한 번에 같이 멈춘다 |
| 서비스 손실에서 시작 | 사용자가 통신을 잃는 길은 모두 무엇인가? | — (관리망, 단말, 공유 의존성이 손실로 이어지는 경로라서 분석 범위에 들어온다) |
자산 중심 분석이 틀렸다는 뜻은 아닙니다. TARA는 자산과 공격 경로를 구체적으로 평가하는 데 꼭 필요합니다. 다만 어디까지를 자산으로 볼지는 분석 범위를 정할 때 이미 결정됩니다. 그 범위를 손실에서 거꾸로 정하면 위성 밖의 관리망과 단말이 빠지지 않습니다.
STPA는 처음부터 이 순서로 갑니다. 손실을 정의하고, 손실로 이어지는 위험 상태를 정하고, 제어 구조를 그린 뒤 제어행동마다 비안전 제어행동(UCA)을 묻습니다. 고장과 공격을 따로 묻지 않고 "제어가 어떻게 잘못될 수 있는가"를 묻기 때문에, 보안 손실까지 같은 틀로 다룰 수 있습니다. Young과 Leveson은 이를 STPA-Sec이라는 이름으로 제안했습니다(2014).
04예제 1 — STPA: 서비스 손실에서 출발하기
교육용 가상 위성통신 서비스입니다(특정 운용자의 설계가 아닙니다). 정지궤도 통신위성 1기, 관문국 2곳(A·B 이중화), 위성 관제 센터, 사용자 단말을 원격 관리하는 네트워크 관리 시스템(NMS)이 있고, 가입자에는 가정·기업과 함께 원격 설비 감시와 비상 통신 사용자가 있습니다.
손실
- L-1 사용자가 통신 서비스를 잃는다(원격 설비 감시·비상 통신 포함)
- L-2 위성 제어를 잃는다(위성 손상과 궤도 잔해 발생 포함)
L-1은 보안 사건이 만드는 서비스 손실이고, L-2는 안전과 우주 지속가능성의 손실입니다. 같은 분석에 둘을 함께 둡니다.
위험원
- H-1 다수의 사용자 단말이 동시에 동작할 수 없는 상태가 된다 (L-1)
- H-2 두 관문국이 동시에 서비스를 제공하지 못한다 (L-1)
- H-3 위성이 승인되지 않은 명령을 실행한다 (L-2)
시스템 제약
- SC-1 단말 관리 명령은 다수의 단말을 동시에 동작 불능으로 만들 수 없어야 하며, 되돌릴 수 있어야 한다
- SC-2 이중화된 관문국은 관리 계정·설정·관리망 같은 공통 의존성을 공유하지 않아야 한다
- SC-3 위성은 인증된 관제 명령만 실행해야 하며, 관제 인증은 지상 업무망 계정과 분리되어야 한다
UCA 5건
| ID | 제어행동 | 비안전 제어행동 | 위험원 |
|---|---|---|---|
| UCA-P-1 | 단말 관리 명령 | NMS가 승인된 운영 작업이 아닌 단말 관리 명령(플래시 덮어쓰기 등)을 실행한다 | H-1 |
| UCA-P-2 | 단말 관리 명령 | NMS가 단말 관리 명령을 단계적 확인 없이 전체 단말에 한꺼번에 적용한다 | H-1 |
| UCA-N-3 | 단말 관리 명령 | 다수의 단말이 응답하지 않는데 NMS가 복구 명령을 제공하지 않는다 | H-1 |
| UCA-P-4 | 관문국 설정 변경 | NMS가 같은 설정 변경을 두 관문국에 동시에 적용한다 | H-2 |
| UCA-P-5 | 위성 관제 명령 | 위성 관제 센터가 탈취된 계정으로 입력된 명령을 위성에 송신한다 | H-3 |
UCA-P-1과 UCA-P-5는 보안 분석이라면 위협으로 적었을 내용이고, UCA-P-2와 UCA-N-3은 운영 절차와 설계의 문제입니다. 공격이 없어도 잘못된 펌웨어 하나를 전체 단말에 한꺼번에 배포하면 같은 손실이 납니다. STPA에서는 이 넷이 같은 제어행동 아래 나란히 놓입니다.
손실 시나리오 5건
| ID | UCA | 시나리오 요지 | 무엇이 보이나 |
|---|---|---|---|
| LS-1 | P-1 | 원격 접속 VPN 장비 설정 오류로 외부에서 관리망에 들어와 정상 운영자 권한으로 관리 명령을 낸다. NMS는 명령을 낸 계정만 확인하고, 명령 내용이 파괴적인지는 보지 않는다 | Viasat 사건과 같은 구조 |
| LS-2 | P-2 | NMS의 배포 알고리즘에 단계적 적용(소수 단말 → 확인 → 확대) 개념이 없어, 어떤 명령이든 전체 단말 그룹에 한 번에 나간다 | 공격이 없어도 같은 손실 |
| LS-3 | N-3 | 플래시가 지워진 단말은 원격 관리 채널 자체를 잃어 복구 명령을 받을 수 없다. 단말 상태 피드백이 "응답 없음"과 "재부팅 중"을 구분하지 않아 NMS가 대량 이상을 늦게 안다 | 복구 경로가 피해 경로와 같다 |
| LS-4 | P-4 | 관문국 A·B가 같은 관리 계정과 같은 설정 템플릿을 쓴다. 템플릿 오류 하나 또는 계정 하나의 탈취가 두 관문국에 동시에 적용된다 | 이중화를 무력화하는 공유 의존성 |
| LS-5 | P-5 | 위성 관제 계정과 단말 관리 계정이 같은 사내 계정 체계를 쓴다. 관리망 침해가 관제 계정 탈취로 이어지고, 잘못된 추진 명령이 궤도 이탈과 잔해 위험으로 이어진다 | 보안 사건이 안전 손실(L-2)로 넘어가는 길 |
대응방안 6건
| ID | 대응방안 | 연결 시나리오 |
|---|---|---|
| CM-1 | 관리망 원격 접속에 다중 인증과 정기 설정 점검. 플래시·펌웨어를 바꾸는 파괴적 명령은 2인 승인 | LS-1 |
| CM-2 | 단계적 적용(소수 단말 → 상태 확인 → 확대)과 자동 중단 기준 | LS-2 |
| CM-3 | 단말에 이전 펌웨어 영역을 남겨 원격 관리 채널 없이도 되돌릴 수 있게 하고, 부트 영역은 관리 명령으로 지울 수 없게 보호 | LS-3 |
| CM-4 | 단말 "응답 없음" 피드백을 집계해 대량 이상을 경보 | LS-3 |
| CM-5 | 관문국별로 관리 계정·설정 배포 창을 분리 | LS-4 |
| CM-6 | 위성 관제 인증을 사내 계정 체계와 분리하고, 관제 링크에 명령 인증 적용(예: CCSDS SDLS) | LS-5 |
05예제 2 — FTA: 이중화를 무력화하는 공유 의존성
LS-4는 STPA에서 "공유 의존성이 있다"는 사실을 알려 줍니다. 그것이 설계의 이중화를 얼마나 무너뜨리는지는 고장 나무(FTA)로 보면 분명해집니다.
정상 사건은 "광대역 서비스 전면 상실"입니다. 그 아래에 세 갈래를 둡니다.
- 두 관문국 모두 기능 상실(OR) — 관문국 A·B 장비의 독립 고장이 겹침(AND: 관문국 A 장비 고장, 관문국 B 장비 고장), 공유 의존성으로 두 관문국 동시 상실(OR: 공유 관리 계정 탈취, 공유 설정 템플릿 오류 배포)
- 사용자 단말 대량 동작 불능(AND): 관리망 무단 접근, 파괴적 관리 명령의 무검사 일괄 적용
- 위성 중계기 고장
핵심은 공유 의존성을 이중화(AND) 안에 섞지 않고, 이중화 바로 위에 별도의 OR 갈래로 세운다는 점입니다. 이중화 고장 나무를 "A도 고장, B도 고장"으로만 그리면 두 관문국이 같은 계정과 템플릿을 쓴다는 사실이 나무에 나타나지 않고, 컷셋은 모두 2차로 보입니다. 공통 원인을 따로 한 갈래로 그려야 그 사건 하나로 두 관문국이 함께 멈춘다는 논리가 나무에 들어갑니다.
| 컷셋 | 차수 | 의미 |
|---|---|---|
| {공유 관리 계정 탈취} | 1 | 이중화가 있어도 단일 고장점 |
| {공유 설정 템플릿 오류 배포} | 1 | 이중화가 있어도 단일 고장점 |
| {위성 중계기 고장} | 1 | 위성 1기 예제라 원래 단일점 |
| {관문국 A 장비 고장, 관문국 B 장비 고장} | 2 | 설계자가 의도한 이중화 |
| {관리망 무단 접근, 파괴적 명령 무검사 일괄 적용} | 2 | Viasat 유형 |
VisualPro가 계산한 컷셋은 모두 5개이고, 결과 요약의 최소 컷셋 탭에는 1차 컷셋 3개가 나옵니다. 설계 문서에는 "관문국 이중화"라고 적혀 있지만, 서비스 전체를 멈추는 단일 고장점이 위성 중계기 외에 두 개 더 있는 것입니다. 기사가 말한 "위성 수만으로는 생존성을 잴 수 없다"를 그대로 보여 주는 결과입니다. 관문국을 세 곳으로 늘려도 같은 계정과 템플릿을 공유하면 이 두 줄은 그대로 남습니다. CM-5로 계정과 설정 배포를 관문국별로 나누면 공유 의존성 갈래가 사라지고, 각 관문국의 독립 고장으로 내려가 2차 이상의 컷셋이 됩니다.
보안 사건에는 고장률 같은 확률을 매기기 어렵습니다. 이 예제에서는 확률을 계산하지 않고 컷셋의 구조만 봅니다. 공격이 얼마나 쉬운지는 다음 단계인 TARA에서 평가합니다.
06예제 3 — TARA: 같은 시나리오의 공격 실현 가능성
STPA가 찾은 시나리오 가운데 공격자가 개입하는 LS-1과 LS-5를 TARA로 가져가 공격 경로와 실현 가능성을 평가합니다.
| TARA 항목 | LS-1에서 | LS-5에서 |
|---|---|---|
| 자산 | NMS 단말 관리 기능(무결성·가용성) | 위성 관제 명령 기능(무결성) |
| 피해 시나리오 | 다수 단말 동작 불능으로 서비스 상실 | 승인되지 않은 추진 명령으로 위성 제어 상실 |
| 공격 경로 | VPN 설정 오류 → 관리망 접근 → 정상 권한으로 파괴적 명령 | 관리망 침해 → 공유 계정 탈취 → 관제 명령 입력 |
| 사이버보안 목표 | 파괴적 관리 명령은 승인된 작업으로만 실행된다 | 관제 명령은 관제 전용 인증으로만 실행된다 |
| 영향 등급 · 공격 벡터 | Severe · Network | Severe · Network |
| 공격 실현 가능성 · 위험 등급 (VisualPro 산출) | High · 5 | High · 5 |
| CAL (VisualPro 산출) | CAL4 | CAL4 |
| 대응 | CM-1, CM-2 | CM-6 |
두 공격 경로 모두 영향 등급이 Severe이고 네트워크로 접근할 수 있어, VisualPro가 공격 실현 가능성을 High, 위험 등급을 가장 높은 5로, 사이버보안 보증 수준(CAL)을 CAL4로 산출했습니다. 위성 본체를 직접 공격하지 않아도 지상 관리 경로만으로 가장 높은 위험 등급이 나온다는 뜻입니다.
STPA는 어디서 손실이 시작되는지, FTA는 얼마나 적은 사건으로 손실이 나는지, TARA는 공격자에게 얼마나 쉬운지를 묻습니다. 세 질문의 답이 한 프로젝트 안에 같은 이름과 ID로 놓여 있어야, 보안팀·신뢰성팀·운영팀이 같은 대응방안을 두고 이야기할 수 있습니다.
07VisualPro에서 이 흐름이 쓸모 있는 이유
1한 프로젝트에 STPA·FTA·TARA를 함께 둡니다.
2STPA는 손실에서 대응방안까지 연결합니다.
3FTA는 컷셋을 계산해 단일 고장점을 바로 보여 줍니다.
4TARA는 자산 → 피해 → 위협 → 공격 경로 → 사이버보안 목표 흐름으로 평가하고, CAL을 자동으로 산출합니다.
5MCP 연결로 AI와 함께 작성합니다.
08내일 확인할 것
위성 운용·서비스 운영 담당
- 우리 분석의 손실 정의에 "위성 상실"만 있고 "사용자 서비스 상실"은 빠져 있지 않은가?
- 단말 관리 명령 가운데 단말을 되돌릴 수 없게 만드는 명령은 무엇이며, 단계적 적용과 2인 승인을 거치는가?
보안 담당
- 지상 관리망과 원격 접속 장비가 TARA 범위 안에 들어가 있는가?
- 위성 관제 계정이 사내 업무망 계정 체계와 분리되어 있는가?
신뢰성·시스템 엔지니어
- 이중화된 관문국·위성이 공유하는 계정, 설정 템플릿, 소프트웨어, 공급사를 FTA에 이중화 위의 별도 공통 원인 갈래로 그렸는가?
- 컷셋에서 의도하지 않은 1차 컷셋이 나오지 않는가?
09마무리
10자주 묻는 질문
Q1우주 보안은 TARA로 충분하지 않나요? 왜 STPA와 FTA까지 필요합니까?
Q2STPA-Sec은 일반 STPA와 다른 기법인가요?
Q3보안 사건에 확률을 매겨 FTA를 정량 계산해도 되나요?
Q4위성을 여러 기 띄우는 군집 위성이면 이런 문제가 줄지 않나요?
Q5처음 시작한다면 무엇부터 하면 됩니까?
· New Space Economy, "Can Space Security Keep Pace With Growing Dependence on Satellites?", 2026.10.29 — 기사 보기
· Defense Intelligence Agency, Challenges to Security in Space 2026
· Secure World Foundation, Global Counterspace Capabilities 2026 (13개국 평가) — SWF Counterspace
· Viasat, KA-SAT Network cyber attack overview, 2022.3.30 — Viasat 발표
· SentinelLabs, "AcidRain: A Modem Wiper Rains Down on Europe", 2022.3.31 — 분석 보기
· Enercon 발표(2022.2.28) 관련 보도 — 풍력발전기 5,800기 원격 감시 중단
· William Young, Nancy G. Leveson, "An Integrated Approach to Safety and Security Based on Systems Theory", Communications of the ACM 57(2), 2014 — DOI 10.1145/2556938
· Nancy G. Leveson, John P. Thomas, STPA Handbook, MIT, 2018 — STPA Handbook 원문(PDF) / MIT PSASS STAMP Tools
· CCSDS 355.0-B, Space Data Link Security Protocol