[논문]이상행위 분석을 위한 제어명령 수집 시스템 구현

이진흥; 안바울

이상행위 분석을 위한 제어명령 수집 시스템 구현
An Implementation of Control Command Acquisition System for Analysis of Abnormal Behavior 원문보기

한국컴퓨터정보학회 2019년도 제59차 동계학술대회논문집 27권1호, 2019 Jan. 16, 2019년, pp.137 - 140

이진흥 (다운정보통신(주)) , 안바울 (다운정보통신(주))

초록
AI-Helper

본 논문에서는 자동 제어 시스템의 이상행위를 분석하기 위하여 MODBUS 프로토콜 기반의 제어 명령을 수집 분류하여 등록된 화이트리스트 기반으로 이를 탐지하는 시스템을 구현하였다. 구현 시스템은 자동 제어 시스템 기반으로 다양한 생산설비를 동작시키는 스마트팩토리 시스템을 비롯하여 국가기간 산업에 활용 가능하며, 생산설비의 이상 작동을 확인하기 위하여 생산설비의 동작 신호를 주기적으로 수집 분석하여 정상적인 작업형태에서 벗어나는 이상 작업을 판단할 수 있도록 구성하였다. 또한, 소형화된 공장 자동화 설비를 구성하여 실제 스마트팩토리 환경에서 제어명령을 수집하고, 수집된 신호로부터 이상 작동을 검출하는 제안 시스템의 구현 결과를 설명한다.

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 제조 ICT 융합기술과 더불어 제어 시스템을 대상으로 한 취약성 증가에 따른 안전한 산업 제어 시스템 구축을 위하여 제어 신호를 수집하는 시스템을 구축하고, 수집된 제어 신호를 분석하여 이상행위를 판단하고 알려주는 시스템을 구성하였다. 시스템 구성을 위하여 Modbus 기반의 제어 프로토콜을 대상으로 제어 신호를 분류하고, 이를 화이트리스트 기반으로 이상행위를 탐지함으로써 국내외 산업 제어 시스템에 적용 가능한 보안 탐지 시스템을 제시하였다.
본 논문에서는 지능화·고도화된 제어 시스템 공격으로부터 해당 시스템을 보호하기 위하여 화이트리스트 기반으로 사용자의 운영행위를 탐지하고, 설치된 기기의 동작 상태를 분석하여 이상행위를 판단하기 위하여 제어 명령을 수집하는 시스템을 구현하였다.
즉, 스마트팩토리를 통하여 공장의 인적·물적 자원을 최적화하여 제품의 기획, 제조, 유통 등 전 과정을 통합하고 실시간으로 관리하여 생산성 향상, 에너지 절감, 안전한 생산환경 구축, 다품종 복합생산이 가능한 유연한 생산체계를 구축하려고 한다.

제안 방법

CERT Dataset을 이용한 이상행위 탐지 연구 논문 중 Haedong Kim외 5인의 논문[1]에서 이상치 탐지 알고리즘을 이용하여 각 내부 구성원의 행위의 위협 정도를 예측하는 모델을 제시하였다. 연구 과정은 과거 연구된 내부 침입 탐지에서 사용된 변수를 CERT Dataset에서 사용가능한 변수들로 생성하고, 시간단위를 하루로 하여 근무시간 과 근무 외 시간으로 나누는 방식으로 60개의 변수를 생성하였다.
연구 과정은 과거 연구된 내부 침입 탐지에서 사용된 변수를 CERT Dataset에서 사용가능한 변수들로 생성하고, 시간단위를 하루로 하여 근무시간 과 근무 외 시간으로 나누는 방식으로 60개의 변수를 생성하였다. 비정상 범주의 관측치가 약 90% 정도 집중되어 세 가지 테이블만으로 내부 침입탐지 실험을 진행하였다. 사용된 알고리즘은 Gauss(Gaussian density estimation), Parzen(Parzen window density estimation), PCA(Principal component analysis), and KMC(K-Means clustering) 네 가지 일 범주 분류 모형이 사용되었다.
본 논문에서는 제조 ICT 융합기술과 더불어 제어 시스템을 대상으로 한 취약성 증가에 따른 안전한 산업 제어 시스템 구축을 위하여 제어 신호를 수집하는 시스템을 구축하고, 수집된 제어 신호를 분석하여 이상행위를 판단하고 알려주는 시스템을 구성하였다. 시스템 구성을 위하여 Modbus 기반의 제어 프로토콜을 대상으로 제어 신호를 분류하고, 이를 화이트리스트 기반으로 이상행위를 탐지함으로써 국내외 산업 제어 시스템에 적용 가능한 보안 탐지 시스템을 제시하였다.
Autoencode은 기계학습 알고리즘이며, 스스로 학습을 할 수 있다. 실험에서는 정상행위 학습을 마친 Autoencode데이터를 이용하였으며, 정상패턴과 하루단위의 패턴을 비교하여 이상행위를 탐지하였다. 결과 값은 95%이상의 민감도를 보였으며 정상데이터와 일 단위 데이터를 비교하여 이상행위를 탐지할 수 있었다.
CERT Dataset을 이용한 이상행위 탐지 연구 논문 중 Haedong Kim외 5인의 논문[1]에서 이상치 탐지 알고리즘을 이용하여 각 내부 구성원의 행위의 위협 정도를 예측하는 모델을 제시하였다. 연구 과정은 과거 연구된 내부 침입 탐지에서 사용된 변수를 CERT Dataset에서 사용가능한 변수들로 생성하고, 시간단위를 하루로 하여 근무시간 과 근무 외 시간으로 나누는 방식으로 60개의 변수를 생성하였다. 비정상 범주의 관측치가 약 90% 정도 집중되어 세 가지 테이블만으로 내부 침입탐지 실험을 진행하였다.
자동제어 관리시스템(PMS)은 운용자 PC를 통하여 전달된 Modbus 기반의 제어 명령 패킷을 수신하고, 수신된 패킷으로부터 제어 데이터를 추출하여 분석엔진(Analysis Engine)과 검출엔진(DAD Filter) 포맷에 맞게 제어 명령 패킷을 가공한다. 이때, 검출엔진의 성능을 높이기 위하여 PMS 내의 Job Queue를 이용하여 검출 엔진을 병렬 구조로 구성하였다.
제안 시스템 구현을 위하여 이래 그림과 같이 테스트베드를 구성하여 PLC에 연결된 모형 설비를 동작하였다. 이로부터 제어 데이터를 수집하고, 등록된 화이트리스트 기반의 사용자 행위를 탐지하였다.
이상징후 분석을 위하여 그림6과 같이 작동 중인 PLC 시스템으로부터 주기적으로 작동 상태 신호를 전달받고, 전달받은 상태 신호의 이전 동작 패턴과 비교, 분석하여 이상 행위 패턴을 검출하였다. 기존의 테스트베드 동작 범위가 벗어나는 작동 명령을 전달하는 시험을 시행하고, 이를 성공적으로 구현 시스템이 검출하는 것을 확인하였다.
제안 시스템 구현을 위하여 이래 그림과 같이 테스트베드를 구성하여 PLC에 연결된 모형 설비를 동작하였다. 이로부터 제어 데이터를 수집하고, 등록된 화이트리스트 기반의 사용자 행위를 탐지하였다.
제안 시스템은 MODBUS 프로토콜을 이용하여 공장 내 여러 기기를 작동시키는 시스템을 대상으로 기기를 작동하거나 기기로부터 특정 정보를 수집하는 시스템을 대상으로 제어 신호를 수집하는 시스템을 구현하였다.
제안된 시스템은 제어 시스템을 실시간 관리하는 HMI 시스템, 제어 명령을 수집하는 패킷 캡쳐 시스템, 제어명령을 분석하고, 이상행위를 검출하는 분석시스템으로 구성되며, 스마트그리드 사이버 보안가이드라인 및 표준을 반영하여 설계하고 구현하였다.
제어 신호 수집을 위아여 대상 프로토콜인 MODBUS 패킷을 분석하여 아래와 같이 패킷 데이터 구조를 정의하고 각각의 동작을 위한 Function code를 정규화 하였다.

대상 데이터

분석 엔진은 수신된 제어 명령 패킷 데이터를 각각의 제어신호 속성별로 구분되고 내부 스키마 정의에 따라 데이터베이스에 저장하고, 제어 신호별로 시각화 기능을 통하여 관리자 인터페이스로 재구성된다. 또한 분석 엔진은 자동화 설비와 연결된 PLC 시스템의 설비상태 정보 수집기( DAD Collector)로부터 설비의 상태 정보를 수집한다. 수집된 기계 상태 정보는 미리 정의된 규격에 맞게 분석되고 내부 데이터베이스에 저장된다.
특이성의 검출 방법의 다중 알고리즘 앙상블은 36 억 개 로그 라인 이루어지는 실제 데이터 세트로 연구 되었다. 이 논문의 결과는 시스템이 보이지 않는 공격으로부터 시스템을 보호하는 것으로 확인되었으며, 피드백이 시간에 걸쳐 수집됨으로 수집된 데이터를 통해 이상행위 탐지의 검출 속도, 검출 속도가 증가했다.

이론/모형

비정상 범주의 관측치가 약 90% 정도 집중되어 세 가지 테이블만으로 내부 침입탐지 실험을 진행하였다. 사용된 알고리즘은 Gauss(Gaussian density estimation), Parzen(Parzen window density estimation), PCA(Principal component analysis), and KMC(K-Means clustering) 네 가지 일 범주 분류 모형이 사용되었다.

성능/효과

실험에서는 정상행위 학습을 마친 Autoencode데이터를 이용하였으며, 정상패턴과 하루단위의 패턴을 비교하여 이상행위를 탐지하였다. 결과 값은 95%이상의 민감도를 보였으며 정상데이터와 일 단위 데이터를 비교하여 이상행위를 탐지할 수 있었다.
이상징후 분석을 위하여 그림6과 같이 작동 중인 PLC 시스템으로부터 주기적으로 작동 상태 신호를 전달받고, 전달받은 상태 신호의 이전 동작 패턴과 비교, 분석하여 이상 행위 패턴을 검출하였다. 기존의 테스트베드 동작 범위가 벗어나는 작동 명령을 전달하는 시험을 시행하고, 이를 성공적으로 구현 시스템이 검출하는 것을 확인하였다.
연구의 결과는 KMC알고리즘의 K=3,5,7값 그리고 Parzen과 PCA를 앙상블한 방법을 더해 총 일곱 가지 알고리즘으로 결과를 도출하였으며, 결과로 보았을 때 각 알고리즘 모두 각 테이블마다 탐지비율이 달랐으나, Parzen과 PCA를 앙상블한 방법이 일반적으로 우수한 성능을 나타낸다는 것을 연구 결과를 통해 확인하였다.
특이성의 검출 방법의 다중 알고리즘 앙상블은 36 억 개 로그 라인 이루어지는 실제 데이터 세트로 연구 되었다. 이 논문의 결과는 시스템이 보이지 않는 공격으로부터 시스템을 보호하는 것으로 확인되었으며, 피드백이 시간에 걸쳐 수집됨으로 수집된 데이터를 통해 이상행위 탐지의 검출 속도, 검출 속도가 증가했다.

질의응답

핵심어	질문	논문에서 추출한 답변
	국내 연구 개발된 제어 시스템을 대상으로 하는 보안기술 분야은 무엇이 있는가?	국내에서는 한전이 전력 제어 시스템 보호를 위하여 화이트리스트 기반 이상징후 감시 시스템과 DNP3(Distributed Network Protocol 3) 보안 인증 기술을 개발하였다. 또한 독립된 산업 제어 시스템 망에 대하여 특화된 탐지 기능을 제공하고 SCADA 프로토콜을 이용하여 산업 네트워크를 분석하고 오작동을 탐지하는 SCADA Shield 제품이 출시하는 등 산·학·연 각계에서 산엽용 네트워크 트래픽 분석 및 제어 시스템의 상태 분석과 관련한 연구가 진행되고 있다. 그러나, 제어 시스템 보안에 대한 국가별 출원 동향을 보면 미국이 172건으로 59%를 차지하고 있으며 그 뒤를 74건으로 한국이 25%, 일본이 26건으로 9%를 차지하고 있어, 미국과 한국에서 활발하게 연구되고 있는 것으로 나타났다.
	화이트리스트 기반으로 사용자의 운영행위를 탐지하고, 설치된 기기의 동작 상태를 분석하여 이상행위를 판단하기 위하여 제어 명령을 수집하는 시스템을 구현을 위해 Modbus-TCP 패킷은 어떻게 구성되는가?	Modbus-TCP 패킷은 TCP-Header와 Modbus/ADU로 구성되며 Modbus/ADU는 7byte 고정길이의 헤더 정보와 예약된 명령어 코드의 집합으로 구성된다. 또한 7byte의 고정길이 헤더 내에는 트랜잭션 회수, 프로토콜 아이디, 페이로드 길이, PLC 아이디를 포함한다.
	규칙기반 이상행위 탐지 기술은 무엇인가?	규칙기반 이상행위 탐지 기술은 네트워크 관리자에 의해 네트워크 사용자들의 행동을 규칙화 하고 어떤 행위에 규칙을 위반하고 데이터가 유출되었는지를 탐지할 수 있는 시스템이다. 규칙기반 탐지 시스템의 문제는 내부자 이상행위 탐지 시스템은 정해진 규칙을 벗어나는 내부자의 공격에 대해 능동적이지 못한 반응을 보였으며, 이를 통해 내부자의 공격도 많이 이루어졌으며 시스템 환경에 변화가 생기면 기존규칙이 제대로 탐지하지 못하였다.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

이상행위 분석을 위한 제어명령 수집 시스템 구현
An Implementation of Control Command Acquisition System for Analysis of Abnormal Behavior 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

질의응답

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

이상행위 분석을 위한 제어명령 수집 시스템 구현 An Implementation of Control Command Acquisition System for Analysis of Abnormal Behavior 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

질의응답

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

이상행위 분석을 위한 제어명령 수집 시스템 구현
An Implementation of Control Command Acquisition System for Analysis of Abnormal Behavior 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper