선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 논문에서는 IEC 61850 변전소 네트워크에서 주로 사용되는 MMS, GOOSE 패킷들에 대해 정상 행위 프로파일링을 수행함으로써 MMS, GOOSE 패킷에 대한 이상 징후 탐지 시스템을 모델링하였다. 본 논문에서 제안하는 정상 행위 기반 침입 탐지 시스템을 다른 제어시스템 방화벽, 화이트리스트 기법, Anti Virus 솔루션 등과 함께 다중 방호(Defense in Depth)를 형성한다면, APT 공격과 같이 고도화된 공격에 대해서도 효과적으로 대응할 수 있을 것이라 기대한다.
- 본 논문에서는 IEC 61850 변전소 네트워크에서의 이상 징후를 탐지하기 위해 MMS 및 GOOSE 패킷에 대한 정상행위 프로파일링 방법을 제안한다. 앞서 관련 연구에서 살펴보았듯이, 기존 제어시스템에서의 이상 징후 탐지 연구는 대부분 Modbus 또는 DNP3 프로토콜을 대상으로 하거나 또는 TCP 상위 프로토콜을 고려하지 않기 때문에 IEC 61850 환경에 적용하기에 부적합하다.
- 본 논문에서는 IEC 61850 표준의 대표적 프로토콜인 MMS/GOOSE 패킷의 정상 행위 프로파일링을 통한 이상 징후 탐지 모델을 제시하였다. 제안한 기법은 정상 패턴 정보를 이용하기 때문에 제로데이 공격과 같이 알려지지 않은 취약점을 이용한 사이버 공격에 대응할 수 있을 것으로 기대한다.
제안 방법
- GOOSE 패킷의 경우, MAC 주소를 포함한 GOOSE 메시지 간에 변화가 존재하는 11개 필드(APPID, Length, gocbRef 등)를 선택하였다[표 1]. MMS 패킷에서는 Ethernet 헤더, TCP/IP 헤더에서의 주요 필드를 선택하고, MMS 메시지 부분은 20바이트까지만 1바이트씩 잘라서 20개 필드를 추출하였다.[표 2].
- One-class SVM에서는 커널 함수를 사용해 투사된 feature space에서 모든 데이터들을 하나의 클래스로 간주하고, 원점과의 거리가 최대가 되는 hyper-plane을 계산한다. One-class SVM에서 사용할 수 있는 커널함수에는 Linear, Polynomial, Sigmoid, RBF(Radial Basis Function) 등이 있지만, 본 연구에서는 다수의 실험결과 Sigmoid 커널의 성능이 가장 우수하였기 때문에 Sigmoid 커널을 이용하여 학습하였다.
- 순서 패킷 기반 모델 및 패킷 흐름 기반 모델의 경우 전처리에서 메모리 공간과 시간이 소모되기 때문에 우선적으로 현장 적용 적합성 평가를 위해 단일 패킷 기반 모델에 대해서만 성능 평가를 수행하였다. 또한, 현재 알려진 IEC 61850 프로토콜 기반 공격 기법이나 패킷이 존재하지 않기 때문에 우선적으로 정상 패킷에 대한 FPR(False Positive Rate)을 평가하였다. 실험에서 one-class SVM 알고리즘에서 사용되는 error tolerance 값은 0.
- 패킷 전처리 시 선택된 데이터 필드들 각각이 가지는 값의 범위가 상이하기 때문에 정규화 작업이 반드시 필요하다. 본 논문에서는 각 필드의 평균과 표준편차를 이용하여, 아래의 식으로 정규화 하였다.
- 따라서 정상 모델을 만들기 이전에 데이터 집합에 대한 아웃라이어 처리가 반드시 필요하다. 본 논문에서는 아웃라이어 처리를 위해 EM 클러스터링 기법을 이용해 정상행위를 그룹화 하였다. EM 기법은 반복 과정을 통해 각 데이터들이 혼합 클러스터(mixture cluster)에 속할 가능성을 조적하여 최적의 클러스터 모델을 생성하는 알고리즘이다.
- 본 연구에서는 GOOSE/MMS 패킷에 대한 3가지 전처리(3-phase preprocessing) 기법을 새롭게 제시하였으며, 비교사 학습(unsupervised learning) 기반의 EM 알고리즘을 적용한 정상행위 그룹화 방법과, one-class SVM을 이용한 정상 행위 학습 및 비정상 행위 탐지 방법을 제시한다.
- 데이터 집합에 EM 알고리즘을 적용하여 도출되는 클러스터들 중에서 매우 작은 클러스터들은 아웃라이어로 간주하고 정상 행위 학습 시 제외한다. 본 연구에서는 전체 데이터 집합에서 하위 20% 속하는 클러스터들을 아웃라이어로 처리하였다.
- 순서 패킷 기반 모델 및 패킷 흐름 기반 모델의 경우 전처리에서 메모리 공간과 시간이 소모되기 때문에 우선적으로 현장 적용 적합성 평가를 위해 단일 패킷 기반 모델에 대해서만 성능 평가를 수행하였다.
- Partrick Dussel 등[5]은 payload 기반의 실시간 이상 징후 탐지 시스템을 제안하였다. 이 시스템은 TCP payload 데이터를 n 바이트(n-gram)씩 나누어 feature space를 나타내고, 정상 byte sequence와 유사도(similarity)를 비교하여 비정상 패킷을 탐지한다. 이 기법은 TCP payload 부분을 n-gram으로 일괄적으로 자르기 때문에 상위 프로토콜 종류에 대해 독립적으로 적용할 수 있다.
- 이상 징후 탐지부에서는 실시간으로 수집되는 패킷들에 대해 3-phase 전처리 모듈을 통해 처리 가능한 형태로 변형한 후, one-class SVM 알고리즘을 이용해 기존 정상행위 패턴화부에서 만들어진 정상 패턴 모델과 비교함으로써 이상 여부를 판단하고 로그 기록을 남긴다.
- 정상 행위 학습 모듈에서 one-class SVM 알고리즘을 이용해 만든 정상 행위 모델들은 이상 탐지 엔진에 탑재된다. 이후 실시간 패킷들이 들어올 때 이상 탐지부에서는 패킷들에 대한 전처리(3-phase pre-processing)를 수행하고, 기 탑재된 정상 모델들을 이용 패킷들의 정상/비정상 여부를 판단한다. 패킷에 대한 정상/비정상 여부는 로그 기록으로 남겨서 차후 분석을 위해 사용한다.
- 제시하는 IEC 61850 이상 징후 탐지 시스템은 네트워크 레벨의 탐지 시스템으로 IEC 61850 네트워크 Substation Level 및 Bay Level 기기들의 통신 패킷을 수집하고, 이를 대상으로 이상 징후를 탐지한다. [그림 1]은 IEC 61850 변전소 네트워크에서의 패킷 수집 및 탐지 위치를 나타낸다.
- 패킷 필터링 부분에서는 MMS와 GOOSE 패킷의 fingerprint를 이용하여 전체 패킷 집합에서 MMS와 GOOSE 패킷만을 추출한다.
대상 데이터
- 필드 선택에서 주요하게 고려된 것은 패킷 간에 값의 변화로써, 패킷 간의 값의 변화가 없을 것이라 예상되는 필드들을 제외하였다. GOOSE 패킷의 경우, MAC 주소를 포함한 GOOSE 메시지 간에 변화가 존재하는 11개 필드(APPID, Length, gocbRef 등)를 선택하였다[표 1]. MMS 패킷에서는 Ethernet 헤더, TCP/IP 헤더에서의 주요 필드를 선택하고, MMS 메시지 부분은 20바이트까지만 1바이트씩 잘라서 20개 필드를 추출하였다.
- 본 논문에서는 제안하는 기법의 유효성을 검증하기 위해 실제 운영되고 있는 IEC 61850 변전소에 수집한 패킷을 이용해 실험하였다. 개발한 IEC 61850 이상 징후 탐지 시스템은 리눅스(우분투 12.04)에서 동작하며, one-class SVM 적용을 위해 libsvm v3.14 라이브러리를 일부 이용하였다. 한편, EM을 통한 정상행위 그룹화 부분은 윈도우 환경에서 WEKA v3.
- 본 논문에서는 제안하는 기법의 유효성을 검증하기 위해 실제 운영되고 있는 IEC 61850 변전소에 수집한 패킷을 이용해 실험하였다. 개발한 IEC 61850 이상 징후 탐지 시스템은 리눅스(우분투 12.
데이터처리
- 또한, 현재 알려진 IEC 61850 프로토콜 기반 공격 기법이나 패킷이 존재하지 않기 때문에 우선적으로 정상 패킷에 대한 FPR(False Positive Rate)을 평가하였다. 실험에서 one-class SVM 알고리즘에서 사용되는 error tolerance 값은 0.01로 고정하였으며, 학습 패킷 데이터를 이용한 10-fold cross validation 방법과 새로운 테스트 패킷을 이용한 방법을 통해 FPR을 평가하였다[표 5].
이론/모형
- 본 논문에서 정상 행위 모델을 만들기 위해 사용한 방법은 one-class SVM 알고리즘이다. SVM은 성능이 우수한 binary classification 알고리즘으로 잘 알려져 있다.
- 패킷 흐름 전처리에서는 단위 시간당 전송 바이트 및 단위 시간당 패킷 수를 계산하여 데이터를 만든다. 정상행위 그룹화부에서는 3가지 전처리 프로세스를 거쳐서 만들어진 데이터 집합들에서 아웃라이어(outlier)를 제거하기 위해 잘 알려진 클러스터링 기법인 EM(Expectation Maximization) 알고리즘을 적용한다. 본 연구에서는 EM 알고리즘을 통해 그룹화 된 결과에서 하위 20%의 소규모 그룹에 대해서는 아웃라이어로 간주하고 학습 데이터에서 제외하였다.
- SVM은 성능이 우수한 binary classification 알고리즘으로 잘 알려져 있다. 하지만 정상행위만을 이용한 학습 기법으로는 binary class SVM 사용이 부적합하며 이에 따라 본 논문에서는 정상 데이터 클래스만을 가지고 학습 모델을 도출할 수 있는 one-class SVM을 사용하였다. One-class SVM에서는 커널 함수를 사용해 투사된 feature space에서 모든 데이터들을 하나의 클래스로 간주하고, 원점과의 거리가 최대가 되는 hyper-plane을 계산한다.
성능/효과
- 위 실험 결과를 통해 확인한 FPR 값은 처음으로 시도된 IEC 61850 변전소 네트워크에서 MMS 및 GOOSE를 이용한 이상 징후 탐지 시스템임을 고려할 때 나쁘지 않은 수치라고 판단하였다. 하지만 실제 변전소에 적용되기 위해서는 FPR 값을 더 낮출 필요가 있으며, 공격 시뮬레이션을 통해 FNR(False Negative Rate)에 대해서도 평가할 필요가 있다.
후속연구
- 그리고 IEC 61850 공격 패킷에 대한 탐지율을 검사하기 위해서는 공격 패킷을 만들 수 있는 방법이 연구되어야 할 것이다. IEC 61850에 대한 공격 기법들이 정형화되어 도출된다면 공격 패킷들에 대해서도 모델링을 수행할 수 있을 것이며, 이를 통해 탐지 정확도 향상 및 맞춤형 공격 대응이 가능할 것이다.
- 향후 연구에서는 순서 패킷 기반 모델 및 패킷 흐름 기반 모델에 대한 성능 평가가 수행되어야 할 것이며, 탐지 정확도를 높이기 위해 노드 간 플로우(Flow) 별로 각각 다른 정상 행위 모델을 만들어 적용하는 방법 또한 고려해 볼 수 있다. 그리고 IEC 61850 공격 패킷에 대한 탐지율을 검사하기 위해서는 공격 패킷을 만들 수 있는 방법이 연구되어야 할 것이다. IEC 61850에 대한 공격 기법들이 정형화되어 도출된다면 공격 패킷들에 대해서도 모델링을 수행할 수 있을 것이며, 이를 통해 탐지 정확도 향상 및 맞춤형 공격 대응이 가능할 것이다.
- 본 논문에서는 IEC 61850 변전소 네트워크에서 주로 사용되는 MMS, GOOSE 패킷들에 대해 정상 행위 프로파일링을 수행함으로써 MMS, GOOSE 패킷에 대한 이상 징후 탐지 시스템을 모델링하였다. 본 논문에서 제안하는 정상 행위 기반 침입 탐지 시스템을 다른 제어시스템 방화벽, 화이트리스트 기법, Anti Virus 솔루션 등과 함께 다중 방호(Defense in Depth)를 형성한다면, APT 공격과 같이 고도화된 공격에 대해서도 효과적으로 대응할 수 있을 것이라 기대한다. 2장에서는 제어시스템에서의 이상 징후 탐지 관련 기존 연구들에 대해 소개하고, 3장에서 IEC 61850 변전소 네트워크 구성과 트래픽 특성에 대해 기술한다.
- 본 논문에서는 IEC 61850 표준의 대표적 프로토콜인 MMS/GOOSE 패킷의 정상 행위 프로파일링을 통한 이상 징후 탐지 모델을 제시하였다. 제안한 기법은 정상 패턴 정보를 이용하기 때문에 제로데이 공격과 같이 알려지지 않은 취약점을 이용한 사이버 공격에 대응할 수 있을 것으로 기대한다. 향후 연구에서는 순서 패킷 기반 모델 및 패킷 흐름 기반 모델에 대한 성능 평가가 수행되어야 할 것이며, 탐지 정확도를 높이기 위해 노드 간 플로우(Flow) 별로 각각 다른 정상 행위 모델을 만들어 적용하는 방법 또한 고려해 볼 수 있다.
- 제안한 기법은 정상 패턴 정보를 이용하기 때문에 제로데이 공격과 같이 알려지지 않은 취약점을 이용한 사이버 공격에 대응할 수 있을 것으로 기대한다. 향후 연구에서는 순서 패킷 기반 모델 및 패킷 흐름 기반 모델에 대한 성능 평가가 수행되어야 할 것이며, 탐지 정확도를 높이기 위해 노드 간 플로우(Flow) 별로 각각 다른 정상 행위 모델을 만들어 적용하는 방법 또한 고려해 볼 수 있다. 그리고 IEC 61850 공격 패킷에 대한 탐지율을 검사하기 위해서는 공격 패킷을 만들 수 있는 방법이 연구되어야 할 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.