[논문]제어시스템 침입탐지 시스템 기술 연구 동향

최승오; 김우년

제어시스템 침입탐지 시스템 기술 연구 동향 원문보기

情報保護學會誌 = KIISC review, v.24 no.5, 2014년, pp.7 - 14

최승오 (ETRI 부설연구소) , 김우년 (ETRI 부설연구소)

초록
AI-Helper

국가기반시설 제어시스템은 독립망 운영 정책 적용과 독자적 제어시스템 통신 프로토콜 사용으로 안전하다고 여겨져 왔다. 하지만 최근 국가기반시설 제어시스템을 대상으로 한 최초의 사이버 무기인 스턱스넷(Stuxnet) 악성코드의 발견 이래로 현재까지도 지속적인 사이버 위협 및 사고사례가 보고되고 있다. 이에 따라 사회경제적으로 큰 혼란을 야기할 수 있는 제어시스템 대상 사이버공격에 대응하기 위해 일반 IT 환경과는 다른 제어시스템만의 특성이 반영된 보안기술이 요구되고 있다. 본 논문에서는 제어시스템 보안기술 중 침입탐지 시스템 기술 연구 동향을 분석하고 해당 기술이 적용되는 제어시스템 영역과 제어시스템 통신 프로토콜별 특성에 따른 기술들의 특징을 분석한다. 또한, 탐지 기법에 따른 제어시스템 공격 탐지 성능을 비교 및 분석한다.

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 제어시스템의 특성을 고려한 제어시스템 특화 침입탐지 시스템의 탐지 기술 연구 동향에 대해 분석하고 제어시스템 운영영역, 침입탐지 활용 정보, 탐지 기법에 따른 기술의 분류를 제시했다. 더불어, 제어시스템의 특성을 고려한 탐지 기법의 공격 탐지 성능을 비교하여 현재 탐지 가능한 제어시스템 공격과 공격별 최적 탐지 기법에 대해 기술했다.
본 논문에서는 제어시스템의 특성을 고려한 제어시스템 특화 침입탐지 시스템의 탐지 기술 연구 동향에 대해 분석하고 제어시스템 운영영역, 침입탐지 활용 정보, 탐지 기법에 따른 기술의 분류를 제시했다. 더불어, 제어시스템의 특성을 고려한 탐지 기법의 공격 탐지 성능을 비교하여 현재 탐지 가능한 제어시스템 공격과 공격별 최적 탐지 기법에 대해 기술했다.
본 논문에서는 제어시스템의 환경적 특성을 고려한 제어시스템 특화 침입탐지 시스템(IDS, Intrusion Detection System)의 연구 동향에 대해 소개한다. 또한, 제어시스템 운영영역(Domain-specific)과 침입탐지에 사용되는 정보의 출처(Information source)와 탐지 기법(IDS Analysis)에 따라 기술 분류를 제시한다.

제안 방법

제어기기 영역은 현장장치 영역에서 전달되는 정보를 수집하고 제어센터 영역에 전송한다. 또한 제어센터 영역에서 전달되는 제어명령을 현장장치에 전송하여 해당 제어명령을 반영토록 한다. 마지막으로, 제어센터 영역은 제어시스템의 운영을 총괄적으로 관리하는 영역으로써 현장장치의 상태값을 주기적으로 수집하고 제어명령을 내리는 SCADA(Supervisory Control And Data Acquisition) 서버가 설치된 영역이다.
본 논문에서는 제어시스템의 환경적 특성을 고려한 제어시스템 특화 침입탐지 시스템(IDS, Intrusion Detection System)의 연구 동향에 대해 소개한다. 또한, 제어시스템 운영영역(Domain-specific)과 침입탐지에 사용되는 정보의 출처(Information source)와 탐지 기법(IDS Analysis)에 따라 기술 분류를 제시한다. 또한, 제어시스템 통신 프로토콜 관점에서 탐지 활용 정보 및 단위와 탐지 기법 및 성능을 비교하고 분석한다.
또한, 제어시스템 운영영역(Domain-specific)과 침입탐지에 사용되는 정보의 출처(Information source)와 탐지 기법(IDS Analysis)에 따라 기술 분류를 제시한다. 또한, 제어시스템 통신 프로토콜 관점에서 탐지 활용 정보 및 단위와 탐지 기법 및 성능을 비교하고 분석한다.
본 장에서는 제어시스템을 대상으로 한 침입탐지 기술 연구 동향을 침입탐지 특성을 기반으로 분석하였다. 제어시스템 특성과 통신 프로토콜 특성을 기반으로 관련연구의 특징을 분류하고, 각 연구의 기술별 성능을 분석 · 비교한다.
본 절에서는 2장에 언급한 일반적인 침입탐지 시스템의 분류 기준에 따라 제어시스템 네트워크 침입탐지기술 연구를 적용 분야, 탐지 기법, 탐지에 사용되는 정보의 출처로 분류하였다.
제어시스템 네트워크 침입탐지 기술의 탐지 대상이 되는 공격과 해당 공격의 탐지 성능은 [표 3]과 같다. 우리는 관련 연구 간 성능 비교의 지표로 활용될 수 있는 요소를 FPR(False Positive Rate), TPR(True Postive Rate), 정확도(Accuracy)로 구분하였다.
제어시스템 특성과 통신 프로토콜 특성을 기반으로 관련연구의 특징을 분류하고, 각 연구의 기술별 성능을 분석 · 비교한다.
탐지 분석 단위는 대부분 네트워크 트래픽을 대상으로 한 단일 패킷 또는 트래픽 흐름(복수개 이상의 패킷) 단위로 분석하였다. 예외적으로 상태 관계형 그래프 모델을 이용한 침입탐지 기술의 경우, 시스템에서 사용되는 변수를 단위로 한다[25].

대상 데이터

본 논문은 총 5장으로 구성되어 있다. Ⅱ장에서는 일반적인 침입탐지 시스템에 대한 정의와 기술 분류에 따른 기능상의 특징을 설명한다.

이론/모형

탐지 기법에 사용된 기술은 기계학습(Machine learning) 알고리즘인 인공 신경망(Artificial neural network)과 베이지안 네트워크(Bayesian network) 분석법이 사용되고 있다. 또한, 규칙 기반 기술로 흔히 쓰이는 Snort나 Whitelist를 활용하여 트래픽의 패턴이나 행위(Behavior) 기반 개념을 적용한 혼합된 기술이 사용되었다.

후속연구

본 논문을 통해 제안된 제어시스템 침입탐지에 적용된 탐지기법 및 모델의 분류를 참조하고, 제어시스템 특성을 반영한 침입탐지 기술 개발에 필요한 객관적인 자료로써 활용될 수 있을 것이라 기대한다.

질의응답

핵심어	질문	논문에서 추출한 답변
	침입탐지 시스템이 제공하는 기능은 무엇인가?	침입탐지 시스템(IDS, Intrusion Detection System) 은 컴퓨터 또는 네트워크의 감시를 통해 침입 발생 시 이를 적시에 탐지하고 대응하는 기능을 제공한다. 침입 탐지 시스템은 [그림 1]과 같이 다양한 분류기준이 존재한다.
	비정상 기반 탐지 기법의 문제점은 무엇인가?	비정상 기반 탐지 기법은말 그대로 정상적인 동작 및 행위로 정의된 상태를 벗어난 모든 상황을 비정상으로 간주하여 탐지하게 된다. 따라서 오용 탐지 기법과는 달리 제로데이 공격에 대한 탐지에 적합하지만 정상 동작 및 행위를 판단할 수 있는 근거로써 방대한 데이터가 요구되거나 학습을 통한 모델 수립에 어려움이 있다.
	침입탐지 시스템은 침입 감시에 사용되는 정보에 따라 어떻게 구분할 수 있는가?	우선, 침입 감시에 사용되는 정보에 따라 호스트 기반, 네트워크 기반, 응용프로그램 기반, 호스트와 네트워크 특징을 결합한 혼합 기반 침입탐지 시스템으로 구분된다. 호스트 기반 침입탐지 시스템은 해당 호스트에서 생성된 이벤트 및 로그를 분석하여 네트워크 기반에서 탐지할 수 없는 침입도 탐지 가능하지만 모든 호스트에 설치되어 관리에 어려움이 있다.

참고문헌 (25)

ICS-CERT, "ICS-CERT Monitor: October/Novbember/December," 2013.
ICS-CERT, "Alert (ICS-ALERT-10-301-01): Control System Internet Accessibility," Oct. 2010.
ICS-CERT, "Year in Rreview 2012," Mar. 2013.
ICS-CERT, "Year in Review 2013," Feb. 2014.
R. Bace, P. Mell, "NIST Special Publication on Intrusion Detection Systems," September 2001.
S. Cheung, B. Dutertre, M. Fong, U. Lindqvist, K. Skinner, "Using Model-based Intrusion Detection for SCADA Networks," In Proceedings of the SCADA Security Scientific Symposium, 2006.
O. Linda, T. Vollmer, M. Manic, "Neural Network Based Intrusion Detection System for Critical Infrastructures," Neural Networks, International Joint Conference on, pp.1827-1834, June 2009.
I. N. Fovino, M. Masera, M. Guglielmi, A. Carcano, A. Trombetta, "Distributed Intrusion Detection System For SCADA Protocols," Critical Infrastructure Protection IV, IFIP Advances in Information and Communication Technology, vol.342, pp.95-110, 2010.
R. Ramos, R. Barbosa, A. Pras, "Intrusion Detection in SCADA Networks," Mechanisms for Autonomous Management of Networks and Services, Lecture Notes in Computer Science, vol.6155, pp.163-166, 2010.
W. Gao, T. Morris, B. Reaves, D. Richey, "On SCADA Control System Command and Response Injection and Intrusion Detection," eCrime Researchers Summit (eCrime), pp.1-9, Oct. 2010.
A. Carcano, I. N. Fovino1, M. Masera1, A. Trombetta, "State-Based Network Intrusion Detection Systems for SCADA Protocols A Proof of Concept," Critical Information Infrastructures Security, Lecture Notes in Computer Science, vol.6027, pp.138-150, 2010.
U. K. Premaratne, J. Samarabandu, T. S. Sidhu, R. Beresh, J. Tan, "An Intrusion Detection System for IEC61850 Automated Substations," Power Delivery, IEEE Transactions on, vol.25, no.4, pp.2376-2383, Oct. 2010.

상세보기
I. N. Fovino, A. Carcano, T. D. L. Murel, A. Trombetta, M. Masera, "Modbus/DNP3 State-based Intrusion Detection System," Advanced Information Networking and Applications (AINA), 24th IEEE International Conference on, pp.729-736, April 2010.
A. Carcano, A. Coletta, M. Guglielmi, M. Masera, I. Nai Fovino, A. Trombetta, "A Multidimensional Critical State Analysis for Detecting Intrusions in SCADA Systems," Industrial Informatics, IEEE Transactions on, vol.7, no.2, pp.179-186, May 2011.

상세보기
J. Reeves, A. Ramaswamy, M. Locasto, S. Bratus, S. Smith, "Lightweight Intrusion Detection for Resource-Constrained Embedded Control Systems," Critical Infrastructure Protection V, IFIP Advances in Information and Communication Technology, vol.367, pp.31-46, 2011.
S. Parthasarathy, D. Kundur, "Bloom Filter based Intrusion Detection for Smart Grid SCADA," Electrical & Computer Engineering (CCECE), 25th IEEE Canadian Conference on, pp.1-6, April 2012.
J. Reeves, A. Ramaswamy, M. Locasto, S. Bratus, S. Smith, "Intrusion Detection for Resource-constrained Embedded Control Systems in the Power Grid," International Journal of Critical Infrastructure Protection, vol.5, Issue 2, pp.74-83, July 2012.

상세보기
N. Goldenberg, A. Wool, "Accurate Modeling of Modbus/TCP for Intrusion Detection in SCADA Systems," International Journal of Critical Infrastructure Protection, vol.6, Issue 2, pp.63-75, June 2013.

상세보기
J. Yun, S. Jeon, K. Kim, W. Kim, "Burst-based Anomaly Detection on the DNP3 Protocol," International Journal of Control and Automation, vol.6, no.2, pp.313-324 April 2013.
A. Anoop, M. S. Sreeja, "New Genetic Algorithm Based Intrusion Detection," International Journal of Engineering Innovation & Research, vol.2, Issue 2, pp.171-175, 2013.
Y. Yang, K. McLaughlin, T. Littler, S. Sezer, H. F. Wang, "Rule-based intrusion detection system for SCADA networks," Renewable Power Generation Conference (RPG), pp.1-4, September 2013.
Q. Chen, S. Abdelwahed, "A Model-based Approach to Self-Protection in SCADA Systems," 9th International Workshop on Feedback Computing, June 2014.
Y. Yang, K. McLaughlin, S. Sezer, B. Pranggono, T. Littler, B. Pranggono, H. F. Wang, E. G. Im, "Multiattribute SCADA-Specific Intrusion Detection System for Power Networks," Power Delivery, IEEE Transactions on, vol.29, no.3, pp.1092-1102, June 2014.

상세보기
N. Sayegh, I. H. Elhajj, A. Kayssi, A. Chehab, "SCADA Intrusion Detection System Based on Temporal Behavior of Frequent Patterns," 17th IEEE Mediterranean Electrotechnical Conference (MELECON), pp.432-438, April 2014.
Y. Wang, Z. Xu, J. Zhang, L. Xu, H. Wang, G. Gu, "SRID: State Relation Based Intrusion Detection for False Data Injection Attacks in SCADA," Computer Security - ESORICS, Lecture Notes in Computer Science, vol.8713, pp.401-418, 2014.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증