한국형 스마트 정수장 계측제어망 보안강화를 위한 산업용 L2 switch 운영 알고리즘 개발 = Development of an industrial L2 switch operation algorithm to strengthen the security of the instrumentation and control network for Korean Smart Water Treatment

국문 초록 (Abstract)

사회기반 시설 중 하나인 상수도 정수장의 주요 운영 설비를 감시제어하는 메인 시스템의 감시제어 네트워크는 산업현장의 중앙제어실(상황실)에서 감시 제어하는 소프트웨어인 HMI(Human Machine Interface)와 각종 밸브, 모터, 펌프 등의 물리적인 Actuator를 감시 제어하는 PLC(Programmable Logic Controller), DCS(Distribute Control System) 또는 RTU(Remote Terminal Unit)와 이러한 네트워크의 관할하는 각종 게이트웨이(gateway), FEP(Front End Processor)등으로 구성되어 있다.
여기서 주어진 산업제어 시스템 전체를 관장하는 HMI에서 현장 감시제어설비들을 통제하는 장치인 PLC를 감시제어 하는데 이때, 제어대상의 상태와 물리량을 현장 감시제어설비인 PLC의 내부 메모리에 일정한 형식으로 저장이 된다. 이러한 내부 메모리에는 현장 설비에서 올라오는 데이터(유량, 압력, 밸브개도, 기기 동작상태 등)를 ‘0’과 ‘1’의 bit 단위 표현되는 디지털 정보와 16 bit 또는 32 bit 의 word 단위로 표현되는 아날로그 값들을 디지털 처리하여 내부 메모리에 일정 형태의 데이터로 저장된다.
상수도 정수장 운영을 위한 각종 설비의 감시와 제어는 상부 시스템의 HMI와 현장 감시제어설비인 PLC의 메모리에 저장되어 있는 디지털 및 아날로그 bit 데이터들의 주소와 내부 데이터를 일정한 포맷과 주기로 주고 받으며 공유(swap)하는 방식으로 이루어지는데, 일반적으로 국내 상수도 시설인 정수장의 감시제어 네트워크는 주로 TCP/IP protocol 기반으로 운영하고 있는데, 이러한 현상은 정수장 시설내 각종 설비가 많다보니 과거에는 비연결형 UDP(User Datagram Protocol)를 사용하다가 통신 효율성을 높이기 위해 점차 연결지향성 TCP protocol로 전환되었으며, 특별히 별도의 인증과정 없이 출발지와 목적지의 설비 IP 및 MAC 주소를 확인하고 네트워크에 연결되어 있는 각종 네트워크 장비들을 통해 해당 설비나 장치들에 전달(forwarding)되는 구조로 되어 있다.
이에 따라 데이터 송수신 전달 과정에서 불법적으로 중간에 접속하여 송수신 통신 데이터 패킷을 가로채어 변경할 수 있다면 TCP/IP protocol의 구조적인 취약점을 악용한 공격에 의해 각종 설비를 감시, 제어하는 메시지 전송을 차단하거나 변경하여 전송한다면 충분히 정수장 감시제어 시스템의 오동작을 발생시킬 수 있다.
이러한 사회기반시설 통신망은 그 중요성 때문에 폐쇄망으로 구성되어 있어서 외부에서의 접속을 어렵게 하고 있을 뿐이지만, 망 내부에서 발생하는 인위적인 해킹 위협에 대해서는 그대로 노출되어 있는 구조이다.
따라서, 해당 시스템 및 설비에 대해 제어 권한이 허가된 사용자만이 네트워크에 접속할 수 있고, 사전에 허가된 단말(client)이나 설비(device)간에만 권한이 허용된 통신만을 보장하며 해당 설비 간의 전송 메시지를 암호화를 하여 산업제어 시스템에서 운영되는 TCP/IP protocol 구조의 보안 취약 문제에 대한 보완 대책이 요구된다.
이에 본 논문에서는 사회기반 시설의 주요 산업제어 시스템이나 일반 산업 현장의 FA 시스템 제어망에 대해서 사용자 인증, 구간 암호화, 화이트 리스트 및 보안장비의 고장등의 각종 비상 상황 대비 등을 고려하여 실질적으로 산업제어 시스템에서 적용과 무정지 운영이 가능한 보안장비 개발을 위한 연구를 하였다. 특히, 각종 감시제어 시스템이나 장비가 네트워크 접속 시 가장 먼저 접속하는 장비인 L2 switch를 활용하여 산업 현장에서 취약하고 보안 강화를 위한 여러 항목들을 구현을 위하여 각종 보안 알고리즘에 대한 연구와 선정, 그리고 이를 실질적으로 구현이 되도록 L2 switch 하드웨어 개발을 하였다.여기서, 현재 국내,외에 L2 switch를 기반으로 하는 산업제어시스템의 보안장비가 존재하지 않아서 이러한 계기로 실제 산업 현장에서 적용 가능한 산업용 보안 L2 switch를 개발하고자 연구 대상으로 선정하게 되었다. 또한, 이러한 연구 결과를 가지고 실제로 폐쇄망 중심으로 운영되는 국가기반시설인 정수장에서 다양한 형태와 조건을 가지고 시범 운영과 검증을 수행하였다. 이를 통해 본 논문에서 연구 개발된 보안 강화 알고리즘과 보안 L2 switch의 하드웨어와 요구되는 각종 기능등은 다각도로 수행한 현장 운영 검증을 통해 일반 산업 현장의 네트워크에서도 직접적인 적용과 운영이 가능하도록 하였다. 특히, 최초로 다른 비교 장비나 사례가 없는 Layer 2 네트워크 단에서 연구되는 보안 장비라는 특수성과 제한성으로 상당히 제한되고 어려운 환경에서 최대한 실제 현장 상황과 과거에 발생하였던 보안 관련 트러블이나 사고등을 감안하여 연구하였다.

다국어 초록 (Multilingual Abstract)

The monitoring and control network of the main system that monitors and controls the key operational equipment at a water purification plant, a critical piece of social infrastructure, consists of HMI (Human Machine Interface) software for monitoring and control from the central control room (control center) at the industrial site, PLC (Programmable Logic Controller) for monitoring and controlling physical actuators such as various valves, motors, and pumps, DCS (Distributed Control System), or RTU (Remote Terminal Unit), and various gateways and FEPs (Front End Processors) that govern this network.
Here, the HMI, which governs the entire industrial control system, monitors and controls the PLCs that manage the field monitoring and control equipment. At this time, the status and physical quantities of the controlled objects are stored in a specific format within the internal memory of the PLC, the field monitoring and control equipment. This internal memory stores data from field equipment (flow rate, pressure, valve position, device operating status, etc.) as digital information represented in ‘0’ and ‘1’ bit units, along with analog values represented in 16-bit or 32-bit word units. This data is digitally processed and stored in the internal memory in a specific format.
Monitoring and control of various equipment for water treatment plant operations are achieved by exchanging and sharing (swapping) the addresses and internal data of digital and analog bit data stored in the memory of the PLC, the field monitoring and control equipment, with the HMI of the upper system, using a fixed format and cycle. Generally, the monitoring and control networks of domestic water treatment plants operate primarily based on the TCP/IP protocol. This phenomenon stems from the large number of equipment within water treatment plants. Historically, non-connection-oriented UDP (User Datagram Protocol) was used, but it gradually shifted to the connection-oriented TCP protocol to enhance communication efficiency. The structure relies on verifying the IP and MAC addresses of the originating and destination equipment without requiring a separate authentication process, then forwarding the data through various network devices connected to the network to the relevant equipment or devices.
Accordingly, if an attacker can illegally intercept and modify transmitted communication data packets during the data transmission process by accessing the network midway, exploiting structural vulnerabilities in the TCP/IP protocol to block or alter message transmissions that monitor and control various equipment, this could sufficiently cause malfunctions in the water treatment plant's monitoring and control system.
These critical infrastructure communication networks are configured as closed networks due to their importance, making external access difficult. However, they remain exposed to the threat of deliberate hacking originating from within the network itself.
Therefore, only users with authorized control privileges should be permitted network access to these systems and facilities. Communication should be restricted solely to pre-authorized terminals (clients) or devices (equipment), and transmission messages between such equipment must be encrypted. This is essential to address security vulnerabilities inherent in the TCP/IP protocol structure used within industrial control systems.
Accordingly, this paper investigates the development of security equipment that can be practically applied and operated without interruption in industrial control systems. This research considers user authentication, segment encryption, whitelisting, and preparedness for various emergency situations, such as security equipment failure, for the control networks of major industrial control systems in critical infrastructure or FA systems in general industrial sites. Specifically, leveraging the L2 switch—the first device connected when various monitoring and control systems or equipment access the network—we researched and selected various security algorithms to implement multiple items for strengthening security in vulnerable industrial environments. We also developed L2 switch hardware to ensure practical implementation. Here, since no security equipment based on L2 switches for industrial control systems currently exists domestically or internationally, this opportunity led to selecting the development of an industrial-grade security L2 switch applicable in real industrial settings as the research subject. Furthermore, using these research results, pilot operations and verification were conducted at a water purification plant, a national infrastructure facility primarily operating on a closed network, under various forms and conditions. Through this, the security enhancement algorithms, the hardware of the security L2 switch, and the various required functions developed in this thesis were validated through multifaceted field operation testing. This ensures they can be directly applied and operated in general industrial site networks.
Particularly noteworthy is the unique and constrained nature of this research, being the first security equipment studied at the Layer 2 network level without comparable equipment or precedents. The research was conducted under significantly limited and challenging conditions, carefully considering real-world field situations and past security-related troubles or incidents.

목차 (Table of Contents)

• 국문초록 ⅰ
• 목 차 ⅳ
• 그림목차 ⅷ
• 도표목차 ⅺ
• 부록목차 ⅹⅲ
• 약 어 표 ⅺⅴ
• 제 1 장 서 론 1
• 1.1 연구배경 및 목적 1
• 1.2 연구내용 3
• 1.3 논문의 구성 4
• 제 2 장 정수장 감시제어망의 구성 및 특성6
• 2.1 정수처리 공정 6
• 2.1.1 정수처리 개요6
• 2.1.2 정수처리 사업장 운영 특성7
• 2.2 상수도 수처리시설 계측제어설비 10
• 2.2.1 상수도 수처리시설 계측제어설비 개요 10
• 2.2.2 상수도 수처리시설 계측제어설비 주요 구성 13
• 2.3 광역 상수도 계측제어 시스템 데이터 전송 체계16
• 2.4 정수장 계측제어 시스템 네트워크 운영 25
• 2.4.1 정수장 감시제어 데이터 전송 특성 27
• 2.4.2 정수장 감시제어 네트워크 트래픽 분석 방법 28
• 제 3 장 산업제어 시스템 보안 연구30
• 3.1 산업제어 시스템 보안 개요 30
• 3.2 산업제어 시스템 보안 특성 34
• 3.3 산업제어 시스템 보안 관리체계 구축 35
• 3.3.1 OT에서 가시성 확보 중요성 38
• 3.4 국내외 산업제어 시스템 보안 대응 현황 41
• 3.4.1 L2 switc에 대한 보안 기준 IEC62443 및 NIST 요구 48
• 3.5 정수장 중심 산업제어 시스템 사이버 공격 피해 사례 51
• 3.6 국내 산업보안장비 동향 및 보안 L2 switch 개발 필요성 54
• 제 4 장 Modbus Protocol 연구 57
• 4.1 산업용 네트워크 분포 현황 57
• 4.2 Modbus Protocol 연구 선정 배경60
• 4.3 Modbus TCP 특징 63
• 4.4 Modbus TCP 동작 64
• 4.5 Modbus TCP 보안 특성 66
• 4.5.1 Modbus TCP 알려진 보안 취약성66
• 4.5.2 Modbus TCP 보안해결 대응 방안72
• 제 5 장 산업용 L2 보안switch 요구사항74
• 5.1 네트워크 접속 사용자 인증 및 보안 기능76
• 5.2 L2 자체 데이터 구간 암호화 기능 79
• 5.3 Modbus TCP를 통한 L2 switch 상태 모니터링 81
• 5.4 산업용 protocol 탑재를 통한 호환성 및 가시성 구현 86
• 5.5 보안장비 비상 발생시 대응 기능 88
• 제 6 장 정수장 기반 산업용 L2 보안 switch 설계 90
• 6.1 산업용 보안 switch H/W 부문 90
• 6.1.1 산업용 보안 switch H/W 사양90
• 6.1.2 산업용 보안 switch H/W 내부 구성 93
• 6.2 산업용 보안 switch S/W 부문 98
• 6.2.1 산업용 보안 switch S/W 주요 구성98
• 6.2.2 MDS 엔진 개발 100
• 6.3 산업용 보안 switch White List 구현103
• 6.3.1 L2 switch White List 알고리즘107
• 6.4 산업용 L2 switch 구간 암호화 구현 113
• 6.4.1 AES 128 Encrytion 113
• 6.4.2 구간 암호화를 위한 H-frame Header 설계117
• 6.4.3 H-frame Header 기반 구간 암호화 알고리즘 120
• 6.5 산업용 L2 switch 일반 기능124
• 6.6 산업용 L2 switch 일반 보안 기능 130
• 제 7 장 산업용 L2 보안 switch 현장 테스트 및 검증 146
• 7.1 검증 대상 시스템 네트워크 분석 149
• 7.1.1 검증 대상 서비스 분석 결과149
• 7.2 ACL 정책 적용 방안 152
• 7.3 유해 트래픽 차단 시험 154
• 7.4 트래픽 암호화 통신 테스트156
• 7.4.1 구간 암호화 기능 테스트158
• 7.4.2 구간 암호화 적용 후 속도 검증159
• 7.5 White List 적용 및 시스템 통신상태 확인 160
• 7.6 HMI 연동 테스트 결과 162
• 7.7 보안 L2 switch 절체 기능 테스트168
• 7.8 일반 L2 성능 및 보안 기능 공인기관 테스트 169
• 제 8 장 결 론 172
• 부 록 175
• 참고 문헌 221
• 영문 초록 227
• 감사의 글 231