[논문]원자력발전소 디지털 제어기의 사이버보안 기능 적합성 시험방법 연구

송재구; 신진수; 이정운; 이철권; 최종균

doi:10.13089/jkiisc.2019.29.6.1425

원자력발전소 디지털 제어기의 사이버보안 기능 적합성 시험방법 연구
Research of Cyber Security Function Test Method for Digital I&C Device in Nuclear Power Plants 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.29 no.6, 2019년, pp.1425 - 1435

송재구 (한국원자력연구원) , 신진수 (한국원자력연구원) , 이정운 (한국원자력연구원) , 이철권 (한국원자력연구원) , 최종균 (한국원자력연구원)

초록
AI-Helper

디지털 제어기 적용의 확대로 원자력 시설에 대한 사이버보안 이슈가 대두되었다. 이에 대처하기 위해 공표된 국내 원자력 시설에 대한 사이버보안 기술기준 RS-015에서는 원자력 시스템 개발자에게 보안 기능의 적용과 아울러 알려진 취약점 분석, 보안 기능에 대한 시험 및 평가를 요구하고 있다. 이를 위해서는 원자력 사이버보안 기술기준에 따른 보안 기능 적합성 시험 절차 및 방법 개발이 필요하다. 본 연구에서는 RS-015의 기술적, 운영적, 관리적 보안조치에 대한 세부항목을 분류하여 기기 수준에서 요구되는 보안 요건을 도출하고 기기에 구현되는 보안 기능이 보안 요건을 만족하는지를 시험하는 절차와 방법을 개발하였다. 본 논문에서는 보안 기능 적합성 시험 절차 및 방법 개발을 위한 과정을 설명하고 개발된 시험사례를 제시한다.

Abstract ▼ AI-Helper

The expanded application of digital controls has raised the issue of cyber security for nuclear facilities. To cope with this, the cyber security technical standard RS-015 for Korean nuclear facilities requires nuclear system developers to apply security functions, analyze known vulnerabilities, and test and evaluate security functions. This requires the development of procedures and methods for testing the suitability of security functions in accordance with the nuclear cyber security technical standards. This study derived the security requirements required at the device level by classifying the details of the technical, operational and administrative security controls of RS-015 and developed procedures and methods to test whether the security functions implemented in the device meet the security requirements. This paper describes the process for developing security function compliance test procedures and methods and presents the developed test cases.

주제어

표/그림 (12)

그림 Fig. 1. Development procedure for cyber security function test cases
그림 Fig. 2. Elements of Attack Vectors to a Target Critical Digital Asset(CDA)
그림 Fig. 3. Test case relationship between test targets, items, and requirements
표 Table 1. An estimated level of effort [21]
표 Table 2. Example of positive test target for PLC security function
표 Table 3. Example of positive test case for PLC security function
표 Table 4. Example of negative test case for PLC security function
표 Table 5. Example of consequence analysis for digital device
그림 Fig. 4. Test importance level analysis procedures
표 Table 8. Example of risk-based test case for PLC security function
표 Table 6. Example of risk-based test item for PLC security function
표 Table 7. Example of risk-based test target for PLC security function

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

구체적으로 시험대상 기기에 대한 공격 벡터와 장치의 적용 환경을 고려하여 가능한 사이버 공격 방법을 식별하고자 하였다. 대상 기기에 접근하기 위해 발생하는 일반적인 접근 경로 및 방법을 NEI18-08의 Attack Pathway and Attack Vector Discussion에 근거하여 아래 5가지 항목으로 정의하였다[20].
3) 시험 중요도 식별 : 원자력 발전소는 안전계통이 발전소 운영과 별도로 이상상태 발생 시 자동 발전소 정지로 유도하도록 설계되어 있다. 따라서 본 연구에서는 사이버 공격으로 인한 정보 유출, 기능 상실 보다 조작된 정보를 제공하여 이상 상태로 유도하는 경우를 가장 위험한 상황으로 고려한다.
이를 통해 현장장치, 제어, 운영 등 3계층으로 구분하고 각 보안 요구사항 정의를 위한 기준을 제시하고 있다. 본 문서는 기반 시설에 대한 환경을 우선 고려한 가이드로 보안 기능에 대한 시험을 위해 상위 수준에서 고려되어야 하는 항목을 제시하고 있다. 따라서 특정 제어기기에 적용된 보안 기능을 시험하기 위해서는 기기별, 보안 기능별 세분화 된 시험기준 개발이 추가로 요구된다.
본 장에서는 원자력 시설에 적용되는 제어기의 보안 기능 시험 방법 도출을 위해 국내외 규제 지침 및 기술기준을 살펴보고, 정보보호제품 및 정보통신 시설에 대한 사이버보안 시험 및 평가 현황을 알아본다.
이에 본 논문에서는 원전 디지털 계측제어기에 추가되는 사이버보안 기능을 시험하기 위해 규제 기준에 따른 사이버보안 기능 요건 적합성 시험 방법을 제안한다.
이에 본 연구에서는 원자력 시설에 적용되는 디지털 제어기를 대상으로 국내 사이버보안 기술기준에 따라 보안 기능의 적합성 시험방법을 제안함으로써 원자력 시설에 사용되는 기기에 반영된 사이버보안 기능 검증시험의 기반을 마련하고자 하였다.

제안 방법

(2) 무선통신을 이용한 접근 가능성 (Wireless network connection) : 주요 디지털 자산이 무선통신을 지원하는 물리적 모듈을 포함한 경우 이를 통한 접근 가능 여부를 분석한다.
(3) 접근 가능한 매체 및 미디어 (Portable Media and Mobile Devices (PMMD) connection) : 주요 디지털 자산의 개발, 설치 및 유지 보수 시 사용하는 USB, CD 등의 매체와 오실로스코프, 노트북 등의 엔지니어링 장치 등을 이용한 접근 가능 여부를 분석한다.
(4) 공급망 (Supply chain access) : 설계, 개발, 납품, 설치, 운영 단계에서의 발생하는 프로그램 개발 및 수정, 펌웨어 업데이트, 하드웨어 추가 등을 통한 접근 가능 여부를 분석한다.
(5) 물리적 직접 접근 (Physical access) : 내/외부 사용자가 직접 대상 장치에 접근하는 것으로 내부자 위협 또는 비 인가된 사용자의 직접 접근 가능 여부를 분석한다.
1) 공격 취득 대상 분석 : 공격 시나리오에 따라 공격자가 확보할 수 있는 자원, 행위 등을 정성적으로 분석한다. 공격자가 취득할 수 있는 대상은 “엔지니어링 도구 사용 권한 획득”, “계정 DB 작동 불능, 또는 인증 오류 유발”, “제어기 내의 정보 삭제”, “통신 패킷 변조” 등과 같은 수준의 결과로 도출하게 된다.
검증 방법으로 인허가 적합성 검토와 IEEE Std. 1012 요건에 따라 소프트웨어 요구 사항에 대한 시스템 요구 사항을 양방향으로 추적하는 추적성 분석과 페이건 인스팩션 그리고 정형 검증 등을 수행한다[12,13].
Risk-based Testing Approach(Ⅱ)를 통한 시험항목 도출을 위해 Negative Test 시험항목 분석(C) 결과를 기반으로 Risk-based 시험항목 분석(D)을 수행한다. Negative 요건 시험항목에 대하여 공격자가 공격 대상에 대해 취득할 수 있는 공격 효과를 식별하고(Attack Achievement Analysis), 사이버 공격으로 인해 기기에 초래되는 결과를 예상하여(Consequence Analysis) 기기에 초래되는 결과가 궁극적으로 발전소에 파급되는 영향의 수준을 분석한다(Impact level Analysis). 시험항목에 대한 시험의 난이도(E)는 시험자의 역량에 따라 정량적 평가가 어려운 한계로 시험 시 요구되는 예상 시간을 산정함으로써 시험의 난이도를 반영한다.
Risk-based Testing Approach(Ⅱ)은 일반적으로 취약성 점검 시험, 침투 시험, Fuzzing 시험 등을 포함한다. Risk-based Testing Approach(Ⅱ)를 통한 시험항목 도출을 위해 Negative Test 시험항목 분석(C) 결과를 기반으로 Risk-based 시험항목 분석(D)을 수행한다. Negative 요건 시험항목에 대하여 공격자가 공격 대상에 대해 취득할 수 있는 공격 효과를 식별하고(Attack Achievement Analysis), 사이버 공격으로 인해 기기에 초래되는 결과를 예상하여(Consequence Analysis) 기기에 초래되는 결과가 궁극적으로 발전소에 파급되는 영향의 수준을 분석한다(Impact level Analysis).
(1) 주요 디지털 자산 간 직접 연결된 통신(Wired network connection) : 주요 디지털 자산 간 직접 연결된 통신은 대상 디지털 자산 사이에 정보를 송/수신하기 위해서 직접 연결된 모든 통신 환경을 고려한다. 구체적인 예로써 DNP3, RS-485 및 RS-232C 와 같은 제어 기기 간의 통신 프로토콜을 이용한 접근 가능 여부를 분석한다.
구체적으로 시험대상 기기에 대한 공격 벡터와 장치의 적용 환경을 고려하여 가능한 사이버 공격 방법을 식별하고자 하였다. 대상 기기에 접근하기 위해 발생하는 일반적인 접근 경로 및 방법을 NEI18-08의 Attack Pathway and Attack Vector Discussion에 근거하여 아래 5가지 항목으로 정의하였다[20].
표 5는 원자력 복수 계통(Condenser System)에 적용되는 PLC를 대상으로 영향성 분석을 수행한 예를 보여준다. 분석 대상이 되는 기기에 대하여 기기의 기능 및 역할을 정의(Step 1)하고, 이에 대한 가용성, 무결성, 기밀성 측면에서의 보안 기능 분석을 수행(Step 2) 하여, 분석된 결과에서의 사이버 공격이 발생했을 시 계통 수준에서 미치는 영향 및 발전소 수준에서 미치는 영향(Step 3)을 분석한 결과를 보여준다.
RS-015에서는 기술적, 운영적, 관리적 보안조치에 대해 접근제어, 감사 및 책임, 시스템 및 통신의 보호 등 총 13개의 주요 사이버보안 항목으로 구분하고, 이 사이버보안 항목들에 대해 세부항목 101개의 요건을 제시하고 있다. 원전 디지털 제어기의 사이버보안 기능 적합성 시험을 위하여 101개의 제시된 요건을 총 377개의 상세 요구 사항으로 분류하고, 각각의 상세 요구 사항에 대해 제어기에서 기능적으로 구현이 필요한지 정성적 평가를 수행한다. 구현이 필요한 것으로 식별된 요구 사항에 대해서는 적합성 시험 방법으로 Specification-based Testing Approach(Ⅰ) 및 Risk-based Testing Approach(Ⅱ)를 적용하여 구체적인 시험 항목을 도출한다.
이와 더불어 대상 제어기의 적용 환경을 고려한다. 원전 디지털 제어기의 필수 요구 기능과 대안적 보안 통제 적용 가능 여부를 확인하기 위해 아래 4가지 항목을 추가 고려함으로써 제어기 자체의 보안 기능의 중요성을 분석한다.
이러한 Risk-based 시험항목 분석(D) 결과와 시험의 난이도(E) 분석을 근거로 중요도가 높은 시험항목들에 따라 난이도가 상대적으로 낮은 시험 방법을 우선 채택하여 Risk-based 요건에 대한 시험사례(F)를 개발한다. 최종적으로 도출되는 시험항목, 시험대상, 시험사례의 관계는 그림 3과 같다.
이에 정성적 분석을 통해 최소 소요시간이 17-40 시간으로 “높음”으로 산정하였다.

대상 데이터

미국 국립 표준 기술연구소(NIST)는 산업 제어 시스템을 대상으로 보안 요구 사항 및 위험 분석에 따른 보안대책을 설명한 SP 800-53을 발표했다[8]. 본 문서는 미국 규제 기준인 RG5.71에 원자력 시설에 요구되는 보안 통제 항목 참고 자료로써 활용되고 있다.

이론/모형

원전 디지털 제어기의 사이버보안 기능 적합성 시험을 위하여 101개의 제시된 요건을 총 377개의 상세 요구 사항으로 분류하고, 각각의 상세 요구 사항에 대해 제어기에서 기능적으로 구현이 필요한지 정성적 평가를 수행한다. 구현이 필요한 것으로 식별된 요구 사항에 대해서는 적합성 시험 방법으로 Specification-based Testing Approach(Ⅰ) 및 Risk-based Testing Approach(Ⅱ)를 적용하여 구체적인 시험 항목을 도출한다. Specification-based Testing Approach(Ⅰ)은 사이버보안 요건 및 설계 사양서를 기준으로 명시된 보안 기능이 정상적이고 신뢰적으로 작동하는지에 대한 시험항목을 식별한다.
RS-015를 기준으로 제어기 수준에서 요구되는 사이버보안 요건을 분석(A) 한다. 본 연구에서는 요건 도출 분석을 위해 J.G. Song[19]이 제안한 원자력 사이버보안 요건 도출 방법을 활용하였다.
시험항목에 대한 시험의 난이도(E)는 시험자의 역량에 따라 정량적 평가가 어려운 한계로 시험 시 요구되는 예상 시간을 산정함으로써 시험의 난이도를 반영한다. 본 연구에서는 표 1과 같이 NESCOR의 Guide to Penetration Testing for Electric Utilities Version 3에서 정의한 시험 난이도 산정기준 시간을 활용하였다.

성능/효과

상세 시험사례 정의를 통해 Positive, Negative 시험의 경우 평가자의 역량과 관계없이 일관된 평가가 가능하였으며, 개발된 보안 기능에 연관된 기술기준 항목 준수 여부를 쉽게 판단할 수 있었다. 결과적으로 사이버보안 규제 요건에 대한 추적성 분석과 함께 적합성 시험 절차와 기준으로 활용 가능함을 확인하였다.
본 논문에서 제안한 디지털 제어기의 사이버보안 기능 적합성 시험방법을 원전 주요 제어기기인 PLC 평가에 활용한 결과 제어기기의 특성에 따라 국내 사이버보안 기술기준 RS-015에서 요구하는 보안 기능항목을 파악할 수 있었다.
상세 시험사례 정의를 통해 Positive, Negative 시험의 경우 평가자의 역량과 관계없이 일관된 평가가 가능하였으며, 개발된 보안 기능에 연관된 기술기준 항목 준수 여부를 쉽게 판단할 수 있었다. 결과적으로 사이버보안 규제 요건에 대한 추적성 분석과 함께 적합성 시험 절차와 기준으로 활용 가능함을 확인하였다.
시험사례 도출을 위해서는 기기 제작사와의 협력이 필수적으로 요구되며, 제작사의 개발 자료에 근거한 시험대상 식별 및 사례 도출의 중요성을 확인할 수 있었다.

후속연구

Risk-based 시험은 원자력 발전소 계통, 사이버보안, 제어기기 개발자 등 전문가 그룹 협의에 근거하여 중요도, 시험의 난이도 분석을 통해 요구되는 필수 시험항목, 시험대상, 시험사례 정의가 가능하였다. 다만 시험사례 평가 시 평가자의 역량에 따라 일관된 시험 결과가 도출되지 않는다는 한계가 있음을 확인하였다.
본 문서는 기반 시설에 대한 환경을 우선 고려한 가이드로 보안 기능에 대한 시험을 위해 상위 수준에서 고려되어야 하는 항목을 제시하고 있다. 따라서 특정 제어기기에 적용된 보안 기능을 시험하기 위해서는 기기별, 보안 기능별 세분화 된 시험기준 개발이 추가로 요구된다.
본 연구는 원자력발전소의 계측제어시스템의 핵심이 되는 주요 디지털 제어기기인 PLC를 대상으로 수행된 연구로 발전소에 도입된 서버 등과 같은 IT장비의 보안 기능 적합성 평가를 위해 기존 IT 사이버보안 검증기술을 활용한 시험사례 개발이 추가로 요구된다.
따라서 해당 시험항목의 중요도는 “높음”으로 분류된다. 시험의 난이도는 직접 제어기로의 접근하기 위한 임베디드 보드 접근 시도, 엔지니어링 도구를 통한 접근 시 요구되는 응용프로그램, 암호화, 제어기의 운영체제 분석 등이 요구된다. 이에 정성적 분석을 통해 최소 소요시간이 17-40 시간으로 “높음”으로 산정하였다.
원자력 시설에 적용되는 수많은 디지털 제어기에 대해 일관성 있는 평가 기준을 마련하기 위해 본 연구에서 제안하는 시험방법을 이용하여 다양한 디지털 제어기의 시험사례를 지속해서 개발할 예정이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	한국 원자력 통제기술원(KINAC)의 역할은 무엇인가?	국내 원자력 시설에 대한 물리적 방호, 사이버보안 규제를 담당하는 한국 원자력 통제기술원(KINAC)은 2014년 KINAC/RS-015 “원자력 시설 등의 컴퓨터 및 정보시스템 보안 기술기준”을 발표하고 사이버 공격의 대상이 되는 필수 디지털 자산에 대해 운영적, 관리적, 기술적 사이버보안 조치를 적용 및 이행하도록 하고 있다[6]. 특히, 개발자 보안 테스트 항목을 통해 모든 보안 요건을 만족하는지 테스트 및 평가하도록 하여, 시스템에 알려진 취약점 및 악성코드가 없음을 보장하도록 명시하고 있다.
	우리나라 기술적 사이버보안 적용에 어려움이 따르는 이유는 무엇인가?	71 규제 지침의 발표로 시작된 원자력 사이버보안 규제는 우리나라의 규제 기준 RS-015의 공표로 이어졌으며 이에 따라 원자력 시설 운영 기관은 보안성 평가와 함께 다양한 보안 조치를 이행하기 위해 노력 중에 있다. 하지만 기존 운영 중인 원자력 시설 대부분은 아날로그 시스템으로 운영 중이며, 디지털화된 일부 시스템 또한 자원의 한계로 기술적 사이버보안 적용에 어려움이 따른다.
	공격 취득 대상 분석에서 공격자가 취득할 수 있는 대상에는 어떤 것이 있는가?	1) 공격 취득 대상 분석 : 공격 시나리오에 따라 공격자가 확보할 수 있는 자원, 행위 등을 정성적으로 분석한다. 공격자가 취득할 수 있는 대상은 “엔지니어링 도구 사용 권한 획득”, “계정 DB 작동 불능, 또는 인증 오류 유발”, “제어기 내의 정보 삭제”, “통신 패킷 변조” 등과 같은 수준의 결과로 도출하게 된다.

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증