CTI 모델 활용 제어시스템 보안정보 수집 방안 연구

국문 초록 (Abstract)

최근 정부기관, 기반시설, 제조 기업 등의 제어시스템을 대상으로 사이버 위협이 빈번히 발생하고 있다. 이러한 사이버 위협에 대응하기 위해서는 제어시스템의 다양한 자산에서 발생하는 보안정보를 일괄 수집하여 상관관계 분석등을 수행하고, 그 결과를 공유하는 CTI(Cyber Threat Intelligence) 도입이 필요하다. 이를 위해서 제어시스템의 보안정보 수집이 필요한데, 가용성이 최우선적으로 고려되는 제어시스템 특성상 PLC(Programmable Logic Controllers) 등과 같은 제어장치에 보안 솔루션 도입의 제약이 있어 보안정보를 수집하기에 어려움이 따른다. 또, 제어시스템에 존재하는 다양한 자산에서 발생하는 보안정보 포맷이 상이한 문제도 존재한다. 따라서 본 논문에서는 효율적인 제어시스템 보안정보 수집을 위한 방안을 제안한다. 기존 IT의 CTI 모델 중 제어시스템 도입에 용이한 CybOX/STIX/TAXII를 활용하여 제어시스템 자산의 보안정보를 수집할 수 있도록 포맷을 설계하였다. 포맷 설계대상은 윈도우 및 리눅스 등의 범용 OS를 사용하는 제어시스템 자산의 OS 수준의 시스템 로그, 정보보호 시스템로그, 제어시스템 PLC 관리를 위한 EWS(Engineering Workstation System) 응용프로그램 로그로 선정하였다. 또, 설계한 포맷이 반영된 보안정보 수집 시스템을 설계 및 구현하여 제어시스템 통합 관제 시스템 구축 및 CTI 도입에 활용할 수 있도록 한다.

다국어 초록 (Multilingual Abstract)

Recently, cyber threats are frequently occurring in ICS(industrial control systems) of government agencies, infrastructure, and manufacturing companies. In order to cope with such cyber threats, it is necessary to apply CTI to ICS. For this purpose, a security information collection system is needed. However, it is difficult to install security solution in control devices such as PLC. Therefor, it is difficult to collect security information of ICS. In addition, there is a problem that the security information format generated in various assets is different. Therefore, in this paper, we propose an efficient method to collect ICS security information. We utilize CybOX/STIX/TAXII CTI models that are easy to apply to ICS. Using this model, we designed the formats to collect security information of ICS assets. We created formats for system logs, IDS logs, and EWS application logs of ICS assets using Windows and Linux. In addition, we designed and implemented a security information collection system that reflects the designed formats. This system can be used to apply monitoring system and CTI to future ICS.

목차 (Table of Contents)

• 요약
• ABSTRACT
• I. 서론
• II. 배경
• III. 보안정보 수집 대상 식별 및 포맷 설계
• IV. 보안정보 수집 시스템 설계 및 구현
• V. 결론 및 향후 계획
• References

참고문헌 (Reference)

1 N. Falliere, "W32. stuxnet dossier, White paper" Symantec Corp. 10 (10): 29-, 2011

2 E. Chien, "W32. duqu: the precursor to the next stuxnet" 2012

3 Waterfall, "Unidirectional Security Gate ways"

4 Siemens, "Totally Integrated Automation Portal"

5 J. Connolly, "The trusted automated exchange of indicator information (taxii)" 2014

6 Telecommunications Technology Association, "The System Log Information Message Exchange Format For The Security Control, TTAK.KO-12.0256" 2017

7 H. Debar, "The Intrusion Detection Message Exchange Format, RFC 4765"

8 R. Danyliw, "The Incident Object Description Exchange Format, RFC 5070"

9 S. Barnum, "The CybOX language specification" 2012

10 S. Barnum, "Standardizing cyber threat intelligence information with the structured threat information expression(STIX)" 2012

11 Snort, "Snort Users Manual"

12 V. Igure, "Security issues in SCADA networks" 25 (25): 498-506, 2006

13 Rafael, "Scada dome: cyber defense for industrial systems"

14 W. Gibb, "OpenIOC: back to the basics"

15 S. Patel, "Improving the cyber security of SCADA communication networks" 52 (52): 139-142, 2009

16 "ISA99/IEC62443, Industrial automation and control systems security"

17 K.A. Stouffer, "Guide to industrial control systems(ICS) security, NIST Special Publication 800-82" 2015

18 K. Kent, "Guide to Computer Security Log Management, NIST Special Publication 800-92" 2006

19 Westinghouse, "Cyber security services: event management and intrusion prevention"

20 J. Creasey, "Cyber Security Monitoring and Logging Guide, CREST, ver. 1" 2015

21 S. Raval, "BlackEnergy a threat to industrial control systems network security" 2 (2): 120-125, 2015

22 Microsoft, "Appendix L:Events to Monitor"