초록 ▼

□ 연구개요
◼ 연구 필요성
- 최근 지속적으로 국가기반시설 및 산업제어시스템이 사이버 공격으로부터 피해가 발생하고 있음. 제어시스템은 특성상 기존의 시그너처 기반의 IDS/IPS의 적용 및 운영에 한계가 있고, UnKnown 취약점을 이용하는 새로운 형태의 지능화된 공격에 대한 탐지기술 확보가 필요함.
- 이와 관련 하여 국외에서 연구가 진행 중이지만 제어시스템의 운영환경 별로 기술 적용의 차이점이 존재하며, 정상적인 명령 체계 안에서 메시지를 전송하며 데이터 값만 변조하는 Stuxnet 형태의 공격을 탐지하는 데

□ 연구개요
◼ 연구 필요성
- 최근 지속적으로 국가기반시설 및 산업제어시스템이 사이버 공격으로부터 피해가 발생하고 있음. 제어시스템은 특성상 기존의 시그너처 기반의 IDS/IPS의 적용 및 운영에 한계가 있고, UnKnown 취약점을 이용하는 새로운 형태의 지능화된 공격에 대한 탐지기술 확보가 필요함.
- 이와 관련 하여 국외에서 연구가 진행 중이지만 제어시스템의 운영환경 별로 기술 적용의 차이점이 존재하며, 정상적인 명령 체계 안에서 메시지를 전송하며 데이터 값만 변조하는 Stuxnet 형태의 공격을 탐지하는 데 있어 한계가 있음.
◼ 연구 목표 및 내용
- 기술 분석 및 제어시스템 네트워크 패킷 분석
• 이상징후 탐지기술 연구 동향 분석 및 AI 알고리즘 분석
• DPBI(Deep Protocol Behavior Inspection) 기법을 활용한 발전제어시스템 네트워크 패킷 데이터 분석
- WhiteList 생성 및 AI를 이용한 네트워크 트래픽 특징 추출
• 네트워크 패킷 분석을 통한 WhiteList 생성 기법 연구
• AI를 이용한 제어시스템 네트워크 트래픽 특징 추출 및 학습 연구
- 이상징후 탐지시스템 개발 및 검증
• WhiteList를 이용한 이상징후 탐지시스템 개발 및 실증
• AI를 이용한 이상징후 탐지시스템 개발 및 실증
◼ 연구 결과
- 국가기반시설 및 산업제어시스템의 제어망에서 사이버 공격, 위협 등과 같은 이상 징후를 실시간 탐지하기 위하여 이상징후 탐지기술 연구 동향을 분석하였고, 제어 시스템 운영환경에 적합한 AI알고리즘을 분석·연구함
- 앞서 분석한 내용을 기반으로 실제 발전 제어시스템 네트워크에서 사용하는 3종류의 프로토콜에 대한 WhiteList를 생성하여 이상 징후를 탐지하는 기술을 연구·개발하였고, WhiteList기반의 이상징후 탐지 모델의 정확도가 99.93%로 유의미한 성능을 도출함
- 실제 발전 제어시스템의 네트워크 패킷을 대상으로 Fine-tuning이 가능한 Autoencoder-LSTM 기반의 이상징후 탐지 모델을 연구·개발하였고, 테스트한 결과 F1-score가 99.5%로 유의미한 성능을 도출함.
- 본 과제에서 연구·개발한 WhiteList 및 AI 기반 이상징후 탐지 시스템을 활용한다면 제어시스템에서의 잠재적인 사이버 위협을 탐지하여 보안성을 확보할 수 있음.

□ 연구 목표대비 연구결과
- 1차년도 연구 결과의 목표로 이상징후 탐지기술 연구동향을 분석하고, 발전 제어 시스템의 실제 네트워크 패킷을 활용하여 데이터 분석을 실시한다. 신경망 알고리즘, 앙상블 알고리즘, 클러스터링 알고리즘에 대한 이상징후 탐지기술 연구 동향 분석을 수행하였고, 제어시스템 운영환경에 적합한 AI알고리즘 방식과 기술에 분석하였다. 또한 실제 발전사 발전제어시스템을 활용하여 분석을 통해 WhiteList 생성 및 이상징후 탐지기술에 활용이 가능한 feature를 분석하였다.
- 2차년도 연구 결과의 목표로 네트워크 패킷 분석 결과를 활용하여 WhiteList 생성 기법을 연구하고, 다양한 AI 알고리즘을 활용하여 제어시스템 네트워크 트래픽의 특징을 추출 및 학습한다. 실제 발전사 발전제어시스템의 네트워크 패킷 (X 프로토콜)을 대상으로 하여 AI 기반 WhiteList 생성 모델 학습 방안 연구를 수행하였다. 가장 높은 WhiteList 생성 모델의 성능의 정확도는 99.93%로 높은 수준을 보여주었다. 또한 현장 제어시스템 환경과 유사한 환경에서 관측된 데이터인 HAI 데이터 셋을 활용하여 N-gram 기법을 도입, 별도의 라벨 데이터 없이 트래픽의 특징(시퀀스, 주기 등)을 학습할 수 있는 방안을 구현해 Flow 환경에 특화한 이상징후 탐지 방안을 도출하였다. 해당 연구를 통해 제어시스템에 적용 가능한 Behavior Inspection 기술의 Baseline를 마련하였다.
- 3차년도에는 WhistList를 이용한 이상징후 탐지 시스템과 AI를 이용한 이상징후 탐지 시스템을 개발 및 실증한다. 실제 발전사 발전제어시스템에서 사용하는 네트워크 패킷(Y, Z 프로토콜)을 활용하여 WhiteList 생성 기법 기반의 이상징후 탐지시스템을 개발 및 실증하였다. 지능형 퍼징 및 데이터 증강기술을 적용하여 비정상 데이터를 생성하였고 모델 검증 및 테스트에 활용하였다. WhiteList기반의 이상징후 탐지 모델의 가장 높은 정확도는 98.91%이다. 또한 제 발전사 발전제어시스템에서 사용하는 네트워크 패킷을 활용하여 Fine-tuning이 가능한 Autoencoder-LSTM 기반 이상징후 탐지시스템을 개발 및 실증하였다. 모델의 F1-score는 99.5%로 충분히 실제 제어시스템에 적용 가능한 수치가 도출되었다.
- 논문의 정량적 연구개발성과로 3년의 연구기간 동안 SCI 저널 논문 8건이 게재되었고 국제 학술대회 논문 13건 및 국내 학술대회 논문 11건을 제출하고 발표하였다. 한국정보보호학회장상 등 3건의 우수논문을 수상 하였고, 전문인력양성을 5건의 달성하였다. 또한 매년마다 기존에 계획한 내용을 만족하는 연차보고서를 제출하였다.

□ 연구개발성과의 활용 계획 및 기대효과(연구개발결과의 중요성)
◼ 기술적 측면 기대효과
- 기존 시그니처 기반 탐지 기법은 Unknown 취약점을 이용하는 새로운 형태의 공격을 탐지해내지 못하는 한계점을 가지고 있는데 제어시스템 내의 정상행위를 학습하여 이상징후를 탐지하는 접근법으로 Unknown 취약점을 이용하는 새로운 공격을 탐지가 가능하다. 국가기반시설 및 산업제어시스템에 적용 가능하다.
- 발전 제어시스템의 네트워크 패킷을 분석함으로써 자산분석이 부가적으로 가능하며, 이상징후 탐지에 활용 가능한 효과적인 WhiteList의 생성이 가능하다.
- 제어명령 상의 임계치(Threshold)에 대한 학습 및 탐지를 통하여 Stuxnet처럼 정상적인 명령 체계 내에서 데이터 값만 변경하는 공격 형태에 대해서도 탐지가 가능하다.
◼ 경제·산업적 측면 기대효과
- 제어시스템 대상으로 사이버공격 발생 시 경제적인 큰 피해와 인명피해가 발생가능한데 본 연구 결과를 통하여 대응이 가능하다.
- 연구개발을 통하여 국내 보안업체의 해외수출 경쟁력을 높일 수 있다.
◼ 인력양성 측면 기대효과
- 국내에서 턱없이 부족한 제어시스템 보안 전문인력과 AI기법을 활용한 보안기술 전문 인력을 양성 및 배출 가능하다.

(출처 : 연구결과 요약문 2p)

목차 Contents

• 표지 ... 1
• 연구결과 요약문 ... 2
• 목차 ... 4
• 1. 연구개발과제의 개요 ... 5
• 2. 연구개발과제의 수행 과정 및 수행 내용 ... 5
• 1) 1차년도 연구개발과제의 수행 과정 및 수행 내용 ... 5
• 2) 2차년도 연구개발과제의 수행 과정 및 수행 내용 ... 9
• 3) 3차년도 연구개발과제의 수행 과정 및 수행 내용 ... 12
• 3. 연구개발과제의 수행 결과 및 목표 달성 수준 ... 18
• 1) 정성적 연구개발성과(연구개발결과) ... 18
• 2) 세부 정량적 연구개발성과 ... 18
• 3) 목표 달성 수준 ... 18
• 4. 연구개발성과의 관련 분야에 대한 기여 정도(연구개발결과의 중요성) ... 19
• 5. 연구개발성과의 관리 및 활용 계획 ... 19
• 6. 자체점검표 ... 20
• 7. 참고문헌 ... 20
• [붙임1] 세부 정량적 연구개발성과 ... 22
• [붙임2] 연구책임자 대표적 연구실적 및 증빙(요약문 및 사본) ... 28
• 끝페이지 ... 43