선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 이렇게 살펴본 빅데이터 분석 기술들은 사이버 보안 기술에 다양하게 적용되고 있는 상황이다. 본 논문에서는 분석 기술들과 함께 시뮬레이션 기법도 활용하여 제안하는 기법의 유효성 검증을 수행하고자 한다. 다음 장에서는 본 논문에서 제안하는 기법을 사용하기 위한 빅데이터 분석 도구들에 대해 간략히 논의한다.
- 본 논문에서는 빅데이터 분석 기술을 네트워크 트래픽의 정상행위 규정에 활용하는 기법에 대해 제안한다. 기존과는 달리 빅데이터 기술을 필요로 할 정도로 대규모의 트래픽이 생성 및 사용되고 있고, 정형 데이터라 할지라도 프로토콜의 다양성으로 인해 복잡도가 증가하여 빅데이터 기반의 분석 기술의 도입이 적합하다고 판단된다.
- 본 논문의 실험에서는 산업 제어시스템에서 널리 활용되고 있는 DNP3 프로토콜의 트래픽을 대상으로 제안하는 기법의 유효성을 입증하였다. 사용된 프로토콜이 바이너리 기반의 프로토콜이기 때문에 텍스트 마이닝 등의 기법은 활용되지 않았으나, 응용 계층이 텍스트 기반의 프로토콜일 경우 통계 분석 도구인 R을 이용한 텍스트 마이닝 등의 기법을 적용하여 더욱 상세한 정상 행위의 규정이 가능할 것으로 판단 된다.
- 이러한 내용을 토대로 유추해볼 때, 공격자는 전체 Item 들을 파악하지 못하고 있어 모든 Data Object에 이러한 내용을 요청하여 전송되고 있는 데이터를 파악하고자 하였을 것으로 예상된다.
- 이러한 사물인터넷 기기들의 보안 문제점 해결을 위해 본 논문에서는 사이버 공격을 감지하기 위해 빅데이터 분석 방법을 적용한 네트워크 정상행위 규정 방법을 제안한다. 침입 탐지를 위해 패킷과 트래픽의 특성을 빅데이터 분석 방법을 이용하여 더욱 빠르고 효과적으로 파악한다.
제안 방법
- Hadoop/Hive를 사용해 트래픽의 특징들에 대해 개략적인 분석을 수행하였다. 가장 첫 번째로 확인한 내용은 통신 대상들에 대한 식별이다.
- 총 4단계로 수행되는 침입탐지를 위한 정상행위 규정에는 3장에서 언급한 Hadoop/Hive, R, Arena가 각 단계에 활용된다. 다음 5장에서는 사물인터넷 환경 중 하나인 산업 사물인터넷을 대상으로 본 기법을 적용하여 침입탐지 방법을 개발한다.
- 따라서 트래픽과 패킷 단위의 수준에서 데이터를 분석할 필요가 있다. 두 관점으로 데이터를 분석하여 유의미한 패킷의 필드와 트래픽 특성들을 이 단계에서 추출한다.
- Unsolicited Response와 Read Request등 메시지들이 주기성을 가진다는 것을 Hadoop/Hive 분석 결과 개략적으로 확인 할 수 있었다. 따라서 이를 R을 이용하여 Fig. 6과 같이 시각적으로 나타내어 상관관계를 분석하였다.
- 제안한 기법은 트래픽 분석에 빅데이터 기법을 활용하고, 상세 분석이 필요한 필드들을 추출하여 정교한 정상행위를 규정 할 수 있기 때문에 다양한 프로토콜들이 사용되는 사물인터넷 환경에서 더욱 적합하게 활용 될 수 있을 것으로 판단된다. 본 논문에서 제안하는 정상행위 규정 기법은 프로토콜에 무관하게 대상 구간에 적합한 탐지 모델을 생성 할 수 있다. 따라서 5장 실험에서 수행한 DNP3 프로토콜의 침입 탐지 외에도 다양한 프로토콜에 적용하여 각 통신구간에 적합한 정상행위를 규정하고 이를 이용한 침입 탐지 시스템을 구축 할 수 있을 것으로 사료된다.
- 빅데이터 분석 기술을 비정상 트래픽의 침입탐지 기술에 접목한 방법의 유효성을 검증하기 위해 전력 시스템에서 주로 사용되는 DNP3(Distributed Network Protocol) 트래픽 로그를 이용하여 실험을 수행하였다. 실험에 사용되는 DNP3 프로토콜은 변전소와 SCADA(Supervisory Control and Data Acquisition)사이의 통신에서 사용되고 있는 프로토콜이다[15].
- 이 단계에서 각 공격들의 탐지와 탐지로그 생성이 수행된다. 세 번째 단계 (Submodel - Checking that server is normal)는 두 번째 단계와 동시에 진행되는 단계로 로그를 남긴 패킷의 특성에 따라 이후 진행되는 ACK의 수를 계산하여 공격과는 무관하게 서버의 정상 동작 여부를 검사하도록 구성하였다.
- 시그니처를 기반으로 탐지하는 공격은 총 5가지로 공격에만 존재하는 시그니처를 통해 공격을 파악한다. 일례로 Warm Restart, Cold Restart공격은 Function code가 0x0E, 0x0D인 패킷을 막는 것으로 공격에 대응 가능하다.
- 시뮬레이션에서는 Fig. 3과 같이 실제 환경보다 간략화하여 하나의 FEP(Front End Processor) 와 하나의 RTU(Remote Terminal Unit)가 통신하는 모델을 사용하였다. 캡처된 패킷은 2일 동안 23MB, 158,403개의 패킷으로 Table 1과 같이 정상 트래픽을 구성하고, Table 2와 같이 Digital Bond에서 제공하는 공격을 기반으로 공격 트래픽을 구성하였다.
- 마지막 단계는 규정한 정상행위의 입증을 수행한다. 실제 적용에 앞서 실제 환경과 유사하게 모델링하여 규정한 정상행위를 사용했을 때 발생 가능한 문제점들을 사전에 조사한다. 패킷의 송수신은 각각 별개의 사건이기 때문에 이산사건모델링 기법이 활용된다.
- 앞서 분석한 내용을 통해 총 11가지의 공격에 대한 대응 방안을 수립하였다. 허가된 통신 대상의 IP와 포트, 사용되는 Function, 특정 Function들의 정상 동작 시 나타나는 특징 등을 정상으로 규정하여, 정상행위 기반의 침입 탐지가 가능하다.
- Unsol Response는 주기성이 간단히 확인되지 않아 양일간의 Unsol Response 메시지의 수를 분석한 결과 특정 시간대에 패킷이 몰려 있는 것이 확인되었다. 이 경우 해당 시간대에 Unsol Response 메시지를 이용한 DoS(Denial of Service) 공격이 있었을 것으로 추측 할 수 있으나, 주기적으로 보고하는 메시지가 중첩된 것일 수 있기 때문에 5.2절에서 통계적 분석 도구를 활용하여 추가 분석을 수행하였다.
- 일례로 Warm Restart, Cold Restart공격은 Function code가 0x0E, 0x0D인 패킷을 막는 것으로 공격에 대응 가능하다. 이렇게 두 가지 방법을 사용하여 구성한 침입 탐지 시스템의 유효성을 검증하고자 Arena를 이용하여 모델링을 수행하였다.
- 빅데이터 분석 기술은 많은 양의 비정형 데이터를 정형화하고, 특정 요소를 추출하여 분석하는 것에 초점을 맞추고 있다. 이를 활용하여 본 논문에서는 기존 트래픽 레벨의 정상행위 규정과 함께 패킷의 세부 필드까지 분석한 정상행위도 규정하고, 이를 토대로 침입탐지를 수행하는 기법을 제안한다. Fig.
- 이후 정상행위 규정 단계에서 추출한 특징들에 통계적 분석을 수행하여 구체적인 정상행위를 규정한다. 일례로 패킷이 5초로 오는 경향이 있다는 사실은 빅데이터 분석 플랫폼에서도 확인 할 수 있다.
- 정상행위를 기반으로 탐지하는 공격은 총 5가지로, 서버와 클라이언트의 IP, Port등 통신과 관련된 주소들, DNP3 프로토콜의 특성, 트래픽의 특징 등을 이용한다. Port Scan 공격의 경우 서버와 클라이언트의 통신에 활용되는 정상포트를 알고 있기 때문에 정상 포트만 통과할 수 있도록 설정하여 공격을 검출한다.
- 이러한 사물인터넷 기기들의 보안 문제점 해결을 위해 본 논문에서는 사이버 공격을 감지하기 위해 빅데이터 분석 방법을 적용한 네트워크 정상행위 규정 방법을 제안한다. 침입 탐지를 위해 패킷과 트래픽의 특성을 빅데이터 분석 방법을 이용하여 더욱 빠르고 효과적으로 파악한다. 제안한 기법은 다양한 프로토콜이 사용되고 있는 사물인터넷 환경에서 네트워크 침입 탐지를 위한 기초적인 패킷 및 트래픽의 특성 분석과 정상행위의 정의에 많은 영향을 미칠 것으로 사료된다.
- 3과 같이 실제 환경보다 간략화하여 하나의 FEP(Front End Processor) 와 하나의 RTU(Remote Terminal Unit)가 통신하는 모델을 사용하였다. 캡처된 패킷은 2일 동안 23MB, 158,403개의 패킷으로 Table 1과 같이 정상 트래픽을 구성하고, Table 2와 같이 Digital Bond에서 제공하는 공격을 기반으로 공격 트래픽을 구성하였다.
- 허가된 통신 대상의 IP와 포트, 사용되는 Function, 특정 Function들의 정상 동작 시 나타나는 특징 등을 정상으로 규정하여, 정상행위 기반의 침입 탐지가 가능하다. 하지만 본 실험에 사용된 공격 중 일부는 시그니처를 기반으로 찾을 경우 더욱 간편하게 찾을 수 있는 요소들이 있어 이 둘을 병행하여 침입탐지 방법을 개발하였다.
대상 데이터
- 이후 대상 트래픽이 사용되고 있는 포트에 대한 내용을 확인하여 30,000번대의 포트가 비정상적인 한두 개의 패킷만을 전송한 것을 확인하였고, 30,000번대 포트의 동작 내용에 대해 출력한 결과 다음 Fig. 5와 같은 포트 스캐닝 공격을 받은 것으로 추측되는 포트의 리스트를 획득하였다.
성능/효과
- DNP3 패킷 로그 중 Item의 개수를 나타내는 DNP_NumOfItem 필드를 확인한 결과 비정상적으로 전체 Item을 요청하고 있는 패킷은 총 3개로 확인되었고, 각 Data Object별로 하나씩 전송되었음이 확인된다.
- DNP3가 사용하는 20,000번 포트로 들어온 패킷 로그를 살펴보면, DNP3의 시작을 나타내는 0564가 정상적으로 표기된 것이 100,781개, 비정상적으로 표시된 것이 총 2개로 확인된다. 비정상적인 값 이 사용된 패킷은 DNP3 포트로 다른 프로토콜의 메시지를 전송하여 예상하지 못한 에러 상황을 유발하기 위한 공격으로 예상된다.
- Read는 데이터 분석 중 Data Object 별로 주기적인 Request와 Response가 이루어지고 있음이 확인되었다. Unsol Response는 주기성이 간단히 확인되지 않아 양일간의 Unsol Response 메시지의 수를 분석한 결과 특정 시간대에 패킷이 몰려 있는 것이 확인되었다. 이 경우 해당 시간대에 Unsol Response 메시지를 이용한 DoS(Denial of Service) 공격이 있었을 것으로 추측 할 수 있으나, 주기적으로 보고하는 메시지가 중첩된 것일 수 있기 때문에 5.
- Read Request와 Response의 경우 전체 시간 동안 계속 진행된 것이 확인 되었고, 앞서 확인한 내용과 동일하게 Warm Restart, Stop Application, Cold Restart, Disable Unsolicited Response 메시지가 전체시간 중 한 번 혹은 두 번 발견되는 것이 확인된다. Unsol_Response의 수와 Confirm의 수가 동일하게 증감하는 것을 토대로 이 두 Function이 연관성을 가지고 있다고 판단되며, 실제 패킷 로그를 확인한 결과 Unsol_Response 메시지를 받은 클라이언트가 서버 측으로 Confirm 메시지를 송신하는 것이 확인되었다.
- Unsolicited Response와 Read Request등 메시지들이 주기성을 가진다는 것을 Hadoop/Hive 분석 결과 개략적으로 확인 할 수 있었다. 따라서 이를 R을 이용하여 Fig.
- 8과 같이 특정 시간에 수많은 Unsol Response 메시지가 전달되어 Unsolicited Response Storm 공격이 발생함을 확인 할 수 있다. 공격을 제외한 Unsol Response 메시지를 통계적으로 분석 한 결과 메시지 간의 시간 간격이 최소 1초 이상이라는 특징을 파악하였다.
- 본 논문은 사용되고 있는 많은 양의 트래픽을 빅 데이터 분석 도구를 활용하여 정상행위를 규정하는 방안을 제안하고, 실험을 통해 정상행위를 기반으로 생성한 규칙을 통해 공격을 성공적으로 탐지할 수 있음을 보였다. 제안한 기법은 트래픽 분석에 빅데이터 기법을 활용하고, 상세 분석이 필요한 필드들을 추출하여 정교한 정상행위를 규정 할 수 있기 때문에 다양한 프로토콜들이 사용되는 사물인터넷 환경에서 더욱 적합하게 활용 될 수 있을 것으로 판단된다.
- 이와 같이 트래픽의 특징과 프로토콜의 특성을 바탕으로 살펴본 결과 앞의 공격 분류 중 총 8가지를 손쉽게 파악 할 수 있었고, DNP3에 대한 큰 사전 정보 없이도 트래픽의 특징 도출에는 큰 어려움이 없다는 것이 확인되었다.
- 총 1만개의 패킷로그를 이용하여 테스트를 수행하였고, 총 테스트 수행 시간은 1분 15초가 소요되었고, 공격은 모두 탐지되었다. 따라서 본 논문에서 제안한 기법이 유효하며, 빠른 시간에 효과적으로 공격을 검출 할 수 있는 침입탐지 방법을 개발 할 수 있음이 입증되었다.
후속연구
- 본 논문에서 제안하는 정상행위 규정 기법은 프로토콜에 무관하게 대상 구간에 적합한 탐지 모델을 생성 할 수 있다. 따라서 5장 실험에서 수행한 DNP3 프로토콜의 침입 탐지 외에도 다양한 프로토콜에 적용하여 각 통신구간에 적합한 정상행위를 규정하고 이를 이용한 침입 탐지 시스템을 구축 할 수 있을 것으로 사료된다.
- 총 1만개의 패킷로그를 이용하여 테스트를 수행하였고, 총 테스트 수행 시간은 1분 15초가 소요되었고, 공격은 모두 탐지되었다. 따라서 본 논문에서 제안한 기법이 유효하며, 빠른 시간에 효과적으로 공격을 검출 할 수 있는 침입탐지 방법을 개발 할 수 있음이 입증되었다.
- 사용된 프로토콜이 바이너리 기반의 프로토콜이기 때문에 텍스트 마이닝 등의 기법은 활용되지 않았으나, 응용 계층이 텍스트 기반의 프로토콜일 경우 통계 분석 도구인 R을 이용한 텍스트 마이닝 등의 기법을 적용하여 더욱 상세한 정상 행위의 규정이 가능할 것으로 판단 된다. 또한 본 실험에서는 빅데이터 분석 기술을 이용한 정상행위 정의가 유의미함을 보이기 위해 제외하였지만, 필드간의 상관관계 분석을 통한 유의미한 도출도 가능할 것으로 판단된다.
- 본 논문의 실험에서는 산업 제어시스템에서 널리 활용되고 있는 DNP3 프로토콜의 트래픽을 대상으로 제안하는 기법의 유효성을 입증하였다. 사용된 프로토콜이 바이너리 기반의 프로토콜이기 때문에 텍스트 마이닝 등의 기법은 활용되지 않았으나, 응용 계층이 텍스트 기반의 프로토콜일 경우 통계 분석 도구인 R을 이용한 텍스트 마이닝 등의 기법을 적용하여 더욱 상세한 정상 행위의 규정이 가능할 것으로 판단 된다. 또한 본 실험에서는 빅데이터 분석 기술을 이용한 정상행위 정의가 유의미함을 보이기 위해 제외하였지만, 필드간의 상관관계 분석을 통한 유의미한 도출도 가능할 것으로 판단된다.
- 침입 탐지를 위해 패킷과 트래픽의 특성을 빅데이터 분석 방법을 이용하여 더욱 빠르고 효과적으로 파악한다. 제안한 기법은 다양한 프로토콜이 사용되고 있는 사물인터넷 환경에서 네트워크 침입 탐지를 위한 기초적인 패킷 및 트래픽의 특성 분석과 정상행위의 정의에 많은 영향을 미칠 것으로 사료된다. 특히 정상행위를 기반으로 침입 탐지 규칙을 생성할 경우 사전에 발생 가능성을 식별할 수 있는 요소(known-unknown)와 발생 가능성을 사전에 식별할 수 없는 요소(unknown-unknown) 둘 모두에 적합한 기법이기 때문에 고도화된 공격에도 적합한 방법으로 판단된다.
- 본 논문은 사용되고 있는 많은 양의 트래픽을 빅 데이터 분석 도구를 활용하여 정상행위를 규정하는 방안을 제안하고, 실험을 통해 정상행위를 기반으로 생성한 규칙을 통해 공격을 성공적으로 탐지할 수 있음을 보였다. 제안한 기법은 트래픽 분석에 빅데이터 기법을 활용하고, 상세 분석이 필요한 필드들을 추출하여 정교한 정상행위를 규정 할 수 있기 때문에 다양한 프로토콜들이 사용되는 사물인터넷 환경에서 더욱 적합하게 활용 될 수 있을 것으로 판단된다. 본 논문에서 제안하는 정상행위 규정 기법은 프로토콜에 무관하게 대상 구간에 적합한 탐지 모델을 생성 할 수 있다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.