[논문]Sysmon과 ELK를 이용한 산업제어시스템 사이버 위협 탐지

김용준; 손태식

doi:10.13089/jkiisc.2019.29.2.331

Sysmon과 ELK를 이용한 산업제어시스템 사이버 위협 탐지
Cyber-Threat Detection of ICS Using Sysmon and ELK 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.29 no.2, 2019년, pp.331 - 346

김용준 (아주대학교 정보통신공학과(사이버보안 전공)) , 손태식 (아주대학교 사이버보안학과)

초록
AI-Helper

국내 외에서 산업제어시스템을 대상으로 한 사이버 위협이 증가하고 있다. 이에 따라 관련 연구와 협력이 활발히 진행되고 있다. 하지만 물리적인 망 분리와 경계선에 대한 보안을 강화에 치중하고 있어 내부에서 발생하는 위협에 대해서는 여전히 취약한 편이다. 왜냐하면, 가장 손쉽고 강력한 대응방법이 경계선 보안을 강화하는 것이며 내부의 보안을 강화하기 위한 솔루션들은 시스템의 가용성 문제로 인하여 적용이 쉽지 않기 때문이다. 특히, 산업제어시스템 전반에 걸쳐 레거시 시스템이 상당수 잔존하고 있어 취약점이 많이 존재하고 있다. 이러한 취약한 시스템들이 보안 프레임워크에 따라 새롭게 구축되지 않는 한 이에 대한 대응방안이 필요함에 따라 가용성을 고려한 보안 솔루션을 검증하고 활용방안을 제시하였다. Sysmon과 ELK를 이용하는 방법으로 보안 솔루션이 미구축된 산업제어시스템에서 탐지하기 어려운 사이버 위협을 탐지할 수 있다.

Abstract ▼ AI-Helper

Global cyber threats to industrial control systems are increasing. As a result, related research and cooperation are actively underway. However, we are focusing on strengthening security for physical network separation and perimeter. Internal threats are still vulnerable. This is because the easiest and strongest countermeasure is to enhance border security, and solutions for enhancing internal security are not easy to apply due to system availability problems. In particular, there are many vulnerabilities due to the large number of legacy systems remaining throughout industrial control systems. Unless these vulnerable systems are newly built according to the security framework, it is necessary to respond to these vulnerable systems, and therefore, a security solution considering availability has been verified and suggested. Using Sysmon and ELK, security solutions can detect Cyber-threat that are difficult to detect in unstructured ICS.

주제어

표/그림 (18)

그림 Fig. 1. General structure of CS[3]
표 Table 1. Comparison “IT System” and “ICS/ SCADA”[5]
표 Table 2. Function of Sysmon[6]
그림 Fig. 2. ELK(Elastic search, Logstash, Kibana)
그림 Fig. 3. SaintSecurity, malware.com
그림 Fig. 4. Darktrace EIS(Enterprise Immune System)
그림 Fig. 5. Major damage cases of Domestic and international ICS[13]
표 Table 3. Critical attacks cases of Domestic and international ICS[13]
그림 Fig. 6. ICS security threat factor[15]
표 Table 4. Comparison of White·Black-List based Detection[20]
표 Table 5. Sysmon Log Event
그림 Fig. 7. Sysmon log based threat detection model
그림 Fig. 8. Screenshot -Kibana Dashboard(Visualize)
그림 Fig. 9. ICS attack scenario
표 Table 6. Ransomware infection case
그림 Fig. 10. Screenshot - Ransomeware Detection
표 Table 7. Supply Chain Attack cases
그림 Fig. 11. Screenshot – Network, Static Analysis

질의응답

핵심어	질문	논문에서 추출한 답변
	ICS(Industrial Control System)은 무엇인가?	ICS(Industrial Control System)란 통상 산업현장에서 이용하는 제어시스템을 말하며, 센서의 측정값과 현장의 운용 정보를 수집하고, 이 정보들을 처리/표시하며, 원격의 장치로 제어정보를 전달하는 역할을 하는 시스템을 말한다. 이러한 제어시스템의 예로 간단히는 요즘에 스마트폰을 이용하여 가정의 조명, 난방 등을 제어하는 홈 IoT부터 발전소의 다양한 설비들은 운용하는 전력시스템까지 다양하게 들 수 있다.
	ICS(Industrial Control System)의 역할은 무엇인가?	ICS(Industrial Control System)란 통상 산업현장에서 이용하는 제어시스템을 말하며, 센서의 측정값과 현장의 운용 정보를 수집하고, 이 정보들을 처리/표시하며, 원격의 장치로 제어정보를 전달하는 역할을 하는 시스템을 말한다. 이러한 제어시스템의 예로 간단히는 요즘에 스마트폰을 이용하여 가정의 조명, 난방 등을 제어하는 홈 IoT부터 발전소의 다양한 설비들은 운용하는 전력시스템까지 다양하게 들 수 있다.
	ICS/SCADA을 정보통신기반보호법에서 어떻게 정의하는가?	DCS는 보통 작은 지역에서 운영되는 것이며, SCADA는 지역적으로 분산된 시스템의 감시제어와 데이터를 취득하는 시스템을 말하고, 시스템이 대형화되고 복잡해지면서 SCADA와 ICS는 용어적으로 큰 구분 없이 사용되고 있으며,[2] ICS/SCADA로 통칭해서 부르기도 한다. 이것에 대해 정보통신기반보호법은 ‘국가안전보장·행정·국방·치안·금융·통신·운송·에너지 등의 업무와 관련된 전자적 제어·관리 시스템’이라고 정의하고 있다.

참고문헌 (27)

SecurityFocus, "SCADA vulnerabilities", https://www.securityfocus.com/news/11402, Sep. 2018.
Gyeongyeong Song, "Security technology trend for SCADA system", The Magazine of the IEEK, pp.1-2, Aug. 2015.
GAO, "Critical Infrastructure Threats", GAO 04-354, pp.2, Mar. 2004.
MSS, "Technology Roadmap for SME 2018-2020 Information Security", MSS, pp. 257, Jan. 2018.
NIST, "Guide to Industrial control systems security", NIST Special Publication 800-82 Revision 2, pp. 29-31, May. 2015.
Microsoft, "Sysmon Setup", https://docs. microsoft.com/ko-kr/sysinternals/downloads/sysmon, Aug. 2018.
JPCERT Coordination Center, "Sysmon Malware Detection", https://blogs.jpcert.or.jp /en/2018/09/visualise-sysmon-logs-and-detect-suspicious-device-behaviour-sysmonsearch.html, Sep. 2018.
CISA, "ICS Sysmon", https://ics-cert.us-cert.gov/Industrial-Control-Systems-Joint-Working-Group-ICSJWG, Sep. 2018.
Plura Blog, "Windows Sysmon", http:// blog.plura.io/?p9481, Sep. 2018
Elastic, "Elasticsearch Logstash Kibana", https://www.elastic.co/kr/products/, Sep. 2018
"4th Industrial Revolution and 'Cyber Threat Intelligence'", DT, 2. May. 2018. http://www.dt.co.kr/contents.html?article_no2018050302102351607001
Darktrace Blog, "ICS SCADA EDR", https://blog.naver.com/darktrace-ray/221045454630, Sep. 2018.
MSS, "Technology Roadmap for SME 2018-2020Information Security", MSS, pp. 252-254, Jan. 2018.
DRAGOS, "CRASHOVERRIDE; Analysisof the Threat to Electric Grid Operations", DRAGOS, pp.6-11, Jun. 2017.
Ahnlab, "Critical Infrastructure Threats", Analysis Report, pp. 36-37, May. 2016.
Boannews, "Seungyeon Han, The impo rtance of ICS /SCADA security and co unter measures, ISEC 2018", https://www.youtube. com/watch?vk2oJO-_nkRw, Nov. 2018.
Seonghun Eom, Jaepyo Bag, "A Study on the Security Threats Detection through Analysis of Endpoint Integration Security Log", Soongsil Univ., pp.9-24, Dec. 2016.
Jungchan Na, Hyunsook Cho, "Classification of ICS abnormal behavior in terms of security", Journal of the Korea Institute of Information Security & Cryptology 23(2), pp. 329-33, Apr. 2013.

원문보기 상세보기
Hyunguk Yoo, Jeong-Han Yun, Taeshik Shon, "Whitelist-Based Anomaly Detection for Industrial Control System Security", The Journal of The Korean Institute of Communication Sciences 38(8), pp. 642-643, April. 2013.
Younghun Lee, Junghyun Ryu, Jonghyuk Park, "Research Trends and Considerations of Security Technology of Industrial Control System", SeoulNational University of Science and Technology, pp.3, May. 2018.
Procon, "SCADA OS Windows Unix", http://www.procon.co.kr/page/sub.htm l?main2&sub1, DEC. 2018.
Univ. Hoseo, "Analysis of Overseas System based Evaluation Cases and Technology", KISA-WP-2009-0011. pp. 8, Jun. 2009.
Josh Brower, "Using Sysmon to Enrich Security Onion's Host-Level Capabilities", GIAC (GCFA) Gold Certification, pp.6-15, Mar. 2015.
Vasileios Mavroeidis . Audcun Josang, "Data-Driven Threat Hunting Using Sysmon", ICCSP 2018, pp.5-6, Mar. 2018.
Financial Security Institute, "Cyber Threat Intelligence", https://www.fsec.or.kr/user /bbs/fsec/163/344/bbsDataView/1139.do?page1&column&search&searchSDate&searchEDate&bbsDataCategory, Sep. 2018.
Mitre Corp, "Mitre ATT&CK", https://mitre-attack.github.io/caret, Sep. 2018.
Kaspersky Lab, "ShadowPad", https://securelist.com/shadowpad-in-corporate-networks/81432/, Oct. 2018.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증