[논문]제어시스템 DNP3 프로토콜 취약점과 보안 현황

권성문; 손태식

초록
AI-Helper

과거의 제어 시스템은 외부 네트워크와 연결되지 않아 그 자체로 보안성을 보장 받을 수 있었다. 그러나 제어시스템의 디바이스들이 다양해지고 효율적인 제어를 필요로 하여 현재의 제어시스템은 기존 네트워크에 접속되어 효율적으로 관리되고 있다. 따라서 제어시스템 관리 효율은 증대 되었으나, 기존 네트워크가 가진 사이버 공격에 노출되어 보안적인 요소가 필요해 졌다. 본 논문은 많은 제어 시스템의 프로토콜 중 컨트롤 센터와 변전소간의 통신에 사용되는 DNP(Distributed Network Protocol)3 프로토콜을 중점으로 다루며 어떠한 취약점에 노출이 되어 있는지, 어떠한 보안 요소의 연구가 행해지고 있는지에 대해 다룬다.

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

결과적으로 효율성은 증대 되었으나, 기존 네트워크가 가진 수많은 사이버 공격의 위험에 노출되었으며, 보안적인 요소를 고려하지 않았던 제어 시스템의 프로토콜에도 보안적인 요소가 필요해졌다. 따라서 제어 시스템의 여러 부분의 통신 프로토콜에 대한 보안연구 및 표준개발이 행해지고 있으며, 본 논문은 컨트롤 센터와 변전소간의 통신에 쓰이는 DNP3 프로토콜의 취약점과 보안 요소의 연구에 대해 알아본다.

제안 방법

이 ICS CERT Alert들은 SCADA/ICS 프로토콜의 취약점을 찾는 "Project Robus"[2]에 의해 찾아진 것으로, IOServer, Kepware, Triangle Microworks 등 많은 벤더의 DNP3 제품이 포함되어 있었으나, 입력 값의 타당성을 제대로 체크 하지 않아 일어나는 오류들로 서비스 거부 공격과 같은 결과를 초래하였다. DNP 유저 그룹은 표준에 입력 값의 타당성을 체크 하기 위한 정보가 부족한 부분에 대해 시인하고, 이를 바로 잡기 위해 2013년 12월 20일 DNP3 데이터에 대한 입력 값의 타당성을 검사하기 위한 상세 문서를 공지하였다.
SA는 IEC 62351-2에 정의되어있는 spoofing, modification, repudiation, replay, eavesdropping와 같은 공경에 대응하기 위해 만들어졌다. DNP3와 IEC 60870-5-101,104의 보안 표준인 IEC 62351-5를 준수하며 인증 국제표준인 ISO/IEC 9798-4를 기반으로 하여 응용 계층만 변경하여 메시지 인증기능을 제공한다. 2007년 버전 1을 시작으로 버전 2에서 Pre-shared 키와 강도가 약한 해시를 포함하여 IEEE 1815-2010 표준에 포함되었으며, 현재의 버전인 버전 5에 오면서 기존의 버전 4까지의 구조적 문제점을 해결하기 위해 취약한 feature들을 삭제하여 보안성을 근본적으로 높였다.
알려지지 않은 공격은 탐지가 불가능하며, 제어 시스템 프로토콜에 대해 알려진 공격의 시그니쳐가 적은 점은 시그니쳐 탐지 기술에 더욱더 한계를 가져다 준다. 따라서 이를 해결하기 Whitelist 기법과 Bump-In-The-Wire, 명령코드에 따른 각기 다른 수준의 암호화 및 인증기법 적용을 제시한다. Whitelist 기법은 정상행위를 정의하여 이에 위반되는 행위를 탐지하는 기법으로, 시그니쳐 기반 탐지의 반대 격이다.
이 방법은 디바이스의 수정이 필요 없어 기존 전력망에 유연하게 적용할 수 있으며, 현장 기기의 성능저하 문제를 최소화 할 수 있다. 마지막으로, 빠르게 처리 되어야 하는 명령이나 느린 링크 구간을 가진 통신에 있어 암호화 및 인증 기법 보안의 강도를 다르게 하여 가용성에 큰 문제를 주지 않으면서 암호화 및 인증을 구현 하는 방법을 제시한다.
표의 취약성 중 단순 변경 명령 및 쉽게 탐지 가능한 체크섬 오류와 원활한 공격 실험을 위해 서버를 재시작 시키는 공격을 제외한 10개의 취약성을 아래 [그림 2]와 같은 환경에서 실험하였으며, 실제로 취약성이 유효함을 검증 할 수 있었다.

대상 데이터

데이터 링크 계층은 최대 프레임 사이즈가 CRC(Cyclic Redundancy Check) 코드를 포함하여 292바이트이며, 이 중 상위 계층으로 부터의 메시지 정보를 담을 수 있는 최대 크기는 250바이트이다. 슬레이브 스테이션 또한 링크 계층 통신을 시작할 권한이 있는 Balanced 통신을 지원하며 Start, Length, Control, Destination Address, Source Address CRC 필드를 가진다.

이론/모형

트랜스포트 계층에서 DNP3 프로토콜의 기밀성 및 인증 기능을 제공하기 위함이며 RSA, DSS(Digital Signature Standard)를 사용한 서명을 포함한다. 키 교환은 1024비트의 RSA나 Diffie-Hellman 알고리즘을 사용한다. 공개키 인증 및 인증 폐기에 관한 표준인 RFC 3280을 준수하며 IEC 62351-3 또한 준수한다.

성능/효과

2.1절에서 밝혔듯이, DNP3 프로토콜의 구조는 IEC 60870-5-101,104와 다른데, Pseudo-트랜스포트 계층을 추가로 가지고 있어 물리 계층, 데이터 링크 계층, 트랜스포트 계층(Pseudo-트랜스포트), 응용 계층으로 총 4계층 구조를 가진다.
Unsolicited Response 명령을 뜻하는 명령 코드 0x82의 패킷이 짧은 시간 다량 검출 된 것을 볼 수 있다. DNP3 프로토콜의 경우 2초간 응답을 받지 못하면 해당 연결이 끊긴 것으로 판단하기 때문에, 10초에 5개 이상의 Unsolicited Response 명령을 가진 패킷이 검출되면, 이는 정상적인 패킷의 흐름이 아니라고 판단할 수 있어 0x82명령코드와 10초간 카운팅을 하여 5개 이상인 경우라는 Snort Rule을 통해 탐지가 가능하였다. 이와 같이 각 취약점 별 Snort Rule을 통한 탐지가 가능하였으나, 이러한 시그니쳐 기반 탐지에는 한계가 존재한다.
그러나 현재의 제어시스템은 수천 개의 디바이스와 수백 개의 가동 시스템의 상호 운용하는 구조로 효율적인 관리 시스템이 필요해졌으며 결국 기존 네트워크에 연결하여 관리하게 되었다. 결과적으로 효율성은 증대 되었으나, 기존 네트워크가 가진 수많은 사이버 공격의 위험에 노출되었으며, 보안적인 요소를 고려하지 않았던 제어 시스템의 프로토콜에도 보안적인 요소가 필요해졌다. 따라서 제어 시스템의 여러 부분의 통신 프로토콜에 대한 보안연구 및 표준개발이 행해지고 있으며, 본 논문은 컨트롤 센터와 변전소간의 통신에 쓰이는 DNP3 프로토콜의 취약점과 보안 요소의 연구에 대해 알아본다.

후속연구

현재 DNP 유저 그룹에 인증 받은 SAv5가 적용된 제품은 단 4개의 제품만이 존재할 정도이다.[3] 이 사항을 해결하기 위해 2013년 9월 DNP3 Secure Authentication Tutorial을 발표하였으며 더 나아가 DNP 제품을 생산하는 벤더들과 소비자단 까지 어떻게 SAv5를 공급할지에 대한 가이드라인을 2014년 2월 발표 할 예정이다. 그러나 이 외에도 처리가 빨라야 하는 명령이나 낮은 전송율의 링크를 가진 구역을 포함하는 통신구간 등의 문제가 있어 100% 안전하게 인증과 암호화가 이루어지기 힘들며 여전히 보안이 고려되지 않은 DNP3 프로토콜이 사용되고 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	명령코드 등의 환경에 따른 보안의 강도가 다른 암호 및 인증 기법을 택하면서 Whitelist 기법이나 Bump-In-The-Wire기법을 추가로 적용해야 하는 이유는 무엇인가?	DNP3 프로토콜을 위한 보안 사항은 SAv5, TLS의 암호 및 인증 기법이 있으나 가용성이 중요시 되는 제어 시스템에서 이를 적용하기는 쉽지가 않다. 따라서 명령코드 등의 환경에 따른 보안의 강도가 다른 암호 및 인증 기법을 택하면서 Whitelist 기법이나 Bump-In-The-Wire기법을 추가적으로 적용하여 다계층적인 보안을 제공할 필요가 있다.
	DNP3 프로토콜은 무엇인가?	DNP3 프로토콜은 1993년 11월 캐나다 GE-Harris社가 SCADA(Supervisory Control and Data Acquisition) 시스템의 표준인 IEC 60870-5를 기반으로 만들었으며 컨트롤 센터와 변전소간의 통신을 위한 표준이다. 1998년, IEC 60870-5-101이라는 DNP3 프로토콜과 같은 역할을 하는 표준이 발표되었으나, 이는 DNP3 프로토콜과 근본만이 같을 뿐 구조 자체도 달라서 호환이 되지 않는 다른 프로토콜이다.
	DNP3 프로토콜의 구조는?	2.1절에서 밝혔듯이, DNP3 프로토콜의 구조는 IEC 60870-5-101,104와 다른데, Pseudo-트랜스포트 계층을 추가로 가지고 있어 물리 계층, 데이터 링크 계층, 트랜스포트 계층(Pseudo-트랜스포트), 응용 계층으로 총 4계층 구조를 가진다.

참고문헌 (6)

IEEE Std 1815-2012, IEEE Standard for Electric Power Systems Communications
Adam Crain, Chris Sistrunk, "Project Robus", http://www.automatak.com/ro bus/
DNP3 Product, http://www.dnp.org/pag es/Dnp- ProductsDefault.aspx
Digital Bond, http://www.digitalbond.com
Erfan Ibrahim, Overview of DNP3-SA, IEC 61850, IEC 62351, IEC 61970 and IEC 61968, Dec 2013
장문수, 이건희, 김신규, 민병길, 김우년, 서정택, "DNP3 제어시스템 프로토콜 취약점 실험", 보안공학연구논문지, 7(1), pp. 15-28 Feb 2010

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

[국내논문] 제어시스템 DNP3 프로토콜 취약점과 보안 현황 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (6)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

[국내논문] 제어시스템 DNP3 프로토콜 취약점과 보안 현황 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (6)

이 논문을 인용한 문헌

저자의 다른 논문 :

권성문 (6) 손태식 (58)

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

초록
AI-Helper

AI 본문요약
AI-Helper