Sysmon과 ELK를 이용한 산업제어시스템 사이버 위협 탐지 = Cyber-Threat Detection of ICS Using Sysmon and ELK

다국어 초록 (Multilingual Abstract)

Global cyber threats to industrial control systems are increasing. As a result, related research and cooperation are activelyunderway. However, we are focusing on strengthening security for physical network separation and perimeter. Internal threatsare still vulnerable. This is because the easiest and strongest countermeasure is to enhance border security, and solutions forenhancing internal security are not easy to apply due to system availability problems. In particular, there are manyvulnerabilities due to the large number of legacy systems remaining throughout industrial control systems. Unless thesevulnerable systems are newly built according to the security framework, it is necessary to respond to these vulnerablesystems, and therefore, a security solution considering availability has been verified and suggested. Using Sysmon and ELK,security solutions can detect Cyber-threat that are difficult to detect in unstructured ICS.

국문 초록 (Abstract)

국내·외에서 산업제어시스템을 대상으로 한 사이버 위협이 증가하고 있다. 이에 따라 관련 연구와 협력이 활발히진행되고 있다. 하지만 물리적인 망 분리와 경계선에 대한 보안을 강화에 치중하고 있어 내부에서 발생하는 위협에대해서는 여전히 취약한 편이다. 왜냐하면, 가장 손쉽고 강력한 대응방법이 경계선 보안을 강화하는 것이며 내부의보안을 강화하기 위한 솔루션들은 시스템의 가용성 문제로 인하여 적용이 쉽지 않기 때문이다. 특히, 산업제어시스템 전반에 걸쳐 레거시 시스템1) 이 상당수 잔존하고 있어 취약점이 많이 존재하고 있다. 이러한 취약한 시스템들이보안 프레임워크에 따라 새롭게 구축되지 않는 한 이에 대한 대응방안이 필요함에 따라 가용성을 고려한 보안 솔루션을 검증하고 활용방안을 제시하였다. Sysmon과 ELK를 이용하는 방법으로 보안 솔루션이 미구축된 산업제어시스템에서 탐지하기 어려운 사이버 위협을 탐지할 수 있다.

참고문헌 (Reference)

1 유형욱, "제어시스템 보안을 위한 whitelist 기반 이상징후 탐지 기법" 한국통신학회 38 (38): 641-653, 2013

2 나중찬, "보안측면에서의 산업제어시스템 비정상 행위 분류" 한국정보보호학회 23 (23): 329-337, 2013

3 Plura Blog, "Windows Sysmon"

4 Josh Brower, "Using Sysmon to Enrich Security Onion’s Host-Level Capabilities"

5 MSS, "Technology Roadmap for SME 2018-2020Information Security"

6 MSS, "Technology Roadmap for SME 2018-2020 Information Security"

7 Microsoft, "Sysmon Setup"

8 JPCERT Coordination Center, "Sysmon Malware Detection"

9 Kaspersky Lab, "ShadowPad"

10 Boannews, "Seungyeon Han, The impo rtance of ICS /SCADA security and co unter measures, ISEC 2018"

11 Gyeongyeong Song, "Security technology trend for SCADA system" 1-2, 2015

12 SecurityFocus, "SCADA vulnerabilities"

13 Procon, "SCADA OS Windows Unix" DEC

14 Younghun Lee, "Research Trends and Considerations of Security Technology of Industrial Control System" SeoulNational University of Science and Technology 3-, 2018

15 Mitre Corp, "Mitre ATT&CK"

16 CISA, "ICS Sysmon"

17 Darktrace Blog, "ICS SCADA EDR"

18 NIST, "Guide to Industrial control systems security"

19 Elastic, "Elasticsearch Logstash Kibana"

20 Vasileios Mavroeidis, "Data-Driven Threat Hunting Using Sysmon"

21 Financial Security Institute, "Cyber Threat Intelligence"

22 GAO, "Critical Infrastructure Threats"

23 Ahnlab, "Critical Infrastructure Threats" 36-37, 2016

24 DRAGOS, "CRASHOVERRIDE; Analysisof the Threat to Electric Grid Operations"

25 Univ. Hoseo, "Analysis of Overseas System based Evaluation Cases and Technology"

26 Seonghun Eom, "A Study on the Security Threats Detection through Analysis of Endpoint Integration Security Log" Soongsil Univ 9-24, 2016

27 "4th Industrial Revolution and ‘Cyber Threat Intelligence’"