상용 OS기반 제어시스템 확률론적 취약점 평가 방안 연구 = A Study on the Probabilistic Vulnerability Assessment of COTS O/S based I&C System

다국어 초록 (Multilingual Abstract)

The purpose of this study is to find out quantitative vulnerability assessment about COTS(Commer- cial Off The Shelf) O/S based I&C System. This paper analyzed vulnerability's lifecycle and it's impact. this paper is to develop a quantitative assessment of overall cyber security risks and vulnerabilities I&C System by studying the vulnerability analysis and prediction method. The probabilistic vulnerability assessment method proposed in this study suggests a modeling method that enables setting priority of patches, threshold setting of vulnerable size, and attack path in a commercial OS-based measurement control system that is difficult to patch an immediate vulnerability.

국문 초록 (Abstract)

본 연구는 즉시 패치가 어려운 상용 운영체제 기반의 계측제어시스템의 취약점 평가 방안 및 시간의 경과에 따른 위험의 크기를 정량적으로 파악하는 것이다. 연구 대상은 상용 OS가 탑재된 계측제어시스템의 취약점 발견과 영향의 크기이다. 연구에서는 즉각 취약점 조치가 힘든 디지털 계측제어시스템의 취약점 분석 및 조치방법을 연구함으로써, 계측제어시스템이 존재하는 핵심기반시설의 전체적인 사이버보안 위험과 취약점을 정량적으로 파악하는 것이다. 본 연구에서 제안한 확률론적 취약점 평가 방안은 즉각적인 취약점 패치가 어려운 상용 운영체제 기반의 계측제어시스템에서 취약점 패치 우선 순위 및 패치가 불 가능시 수용 가능한 취약점의 임계값 설정, 공격 경로에 대한 파악을 가능하게 하는 모델링 방안을 제시한다.

참고문헌 (Reference)

1 G. Laurent, "Vulnerability Discrimination Using CVSS Framework" 2011

2 J. Y. Kim, "Vulnerability Discovery in Multi version software systems" 2007

3 오상윤, "Vulnerability Case Analysis of Wireless Moving Vehicle" 한국융합학회 9 (9): 41-46, 2018

4 A. Andan, "Verifying continuous time Markov chains" 269-276, 2005

5 S. Jah, "Two formal analyses of attack graphs" 2002

6 P. Ammann, "Scalable, graph-based network vulnerability analysis" 217-224, 2002

7 "Recommended Practice for Patch Management of Control Systems"

8 조진근, "PC보안 강화를 위한 기술적 취약점 진단항목 개선 연구" 중소기업융합학회 9 (9): 1-7, 2019

9 Andrew Reibman, "Numerical transient analysis of markov models" Elsevier BV 15 (15): 19-36, 1988

10 Pubudu, "Non-Homogeneous Stochastic Model for Cyber Security Predictions" 12-24, 2018

11 Andrew Reibman, "Markov and Markov reward model transient analysis: An overview of numerical approaches" Elsevier BV 40 (40): 257-267, 1989

12 N. Skku, "Exploitability analysis using predictive cyber security framework" 2015

13 Bruce A. Craig, "Estimation of the transition matrix of a discrete-time Markov chain" Wiley 11 (11): 33-42, 2002

14 L. S. IS, "Digital I&C System Diagram"

15 Sasith M. Rajasooriya, "Cyber Security: Nonlinear Stochastic Models for Predicting the Exploitability" Scientific Research Publishing, Inc. 08 (08): 125-140, 2017

16 Subil Abraham, "Cyber Security Analytics: A Stochastic Model for Security Quantification Using Absorbing Markov Chains" Engineering and Technology Publishing 9 (9): 899-907, 2014

17 Swapna S. Gokhale, "Analysis of Software Fault Removal Policies Using a Non-Homogeneous Continuous Time Markov Chain" Springer Science and Business Media LLC 12 (12): 211-230, 2004

18 Karen Scarfone, "An analysis of CVSS version 2vulnerability scoring" 516-525, 2009