공개 데이터를 활용한 제어시스템 취약점 분석 방안 연구
A Study on the Method of Vulnerability Analysis ofCritical Infrastructure Facilities
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
최근 국가 기반시설에 대한 사이버 공격이 지속해서 발생하고 있다. 이에 따라 ICS-CERT 취약점이 작년보다 두 배 이상이 증가하는 등 원자력 시설 등의 산업제어시스템에 대한 취약점이 날로 증가하고 있다. 대부분의 제어시스템 운영자는 미국의 ICS-CERT에서 제공하는 산업제어시스템 취약점 정보원을 바탕으로 취약점 대응 방안을 수립한다. 그러나 ICS-CERT는 연관된 모든 취약점 정보를 포함하지 않으며, 국내 제조사 제품에 대한 취약점을 제공하지 않아 이를 국내 제어시스템 보안에 적용하기 어렵다. 따라서 본 연구에서는 CVE, CWE, ICS-CERT, CPE 등의 공개된 취약점 관련 정보를 활용하여 제어시스템의 자산에 존재 가능한 취약점을 발견하고 향후 발생 가능한 취약점을 예측할 수 있는 방안을 제안하며, 이를 국내 주요 제어시스템 정보에 적용해보았다.
Abstract
Recently, cyber attacks on national infrastructure facilities have continued to occur. As a result, the vulnerabilities of ICS-CERTs have more than doubled from last year, and the vulnerabilities to industrial control systems such as nuclear facilities are increasing day by day. Most control system operators formulate vulnerability countermeasures based on the vulnerability information sources of industrial control systems provided by ICS-CERT in the United States. However, it is difficult to apply this to the security of domestic control systems because ICS-CERT does not contain all relevant vulnerability information and does not provide vulnerabilities to domestic manufacturer's products. In this research, we will utilize publicly available vulnerability-related information such as CVE, CWE, ICS-CERT, and CPE to discover vulnerabilities that may exist in control system assets and may occur in the future. I proposed a plan that can predict possible vulnerabilities and applied it to information on major domestic control systems.
참고문헌 (15)
- "National Vulner ability Database"[URL]
- "CVE Data Feeds"[URL]
- "ICS-CER T Advisories"[URL]
- "KISA Vulnerability Informations"[URL]
- "NVD CVE Data"[URL]
- "NVD CPE Data"[URL]
- "Mitre CWE Data"[URL]
- "Mitre C APEC data"[URL]
- J. T. Richard, "Learning from Vulnerabilities-Categorising, Understanding and Detecting Weakne sses in Industrial Control Systems", I nternational Workshop on the Securit y of Industrial Control Systems and C yber-Physical Systems, pp.100~116 (2020)
- 김인경, "분석적 방법을 적용한 원전디지털자산 취약점 평가 연구", 정보보호학회논문지, 28(6), pp.1539~1552 (2018), 한국정보보호학회[DOI]
- 김민철, "공개 취약점 정보를 활용한 소프트웨어 취약점 위험도 스코어링 시스템", 정보보호학회논문지, 28(6), pp.1449~1461 (2018), 한국정보보호학회[DOI]
- 김희현, "제어시스템의 웹 취약점에 대한 현황과 연구", 한국전자거래학회지, 24(2), pp.15~27 (2019), 한국전자거래학회[DOI]
- Xinming Ou, "Predi cting Cyber Risks through National V ulnerability Database", Information Se curity Journal: A Global Perspective, 24(4), pp.194~206 (2015)
- Richard J. Thomas, "Catch Me If You Can: An In-Dep th Study of CVE Discovery Time and Inconsistencies for Managing Risks in Critical Infrastructures", CPSIOTSEC'20: Proceedings of the 2020 Joint Wor kshop on CPS&IoT Security and Priva cy, pp.49~60 (2020)
- Sung-Min Kim, "Automatic Detection of Software Secu rity Vulnerabilities", Jonal of The Tra nsactions of the Korean Institute of E lectrical Engineers, 70(3), pp.157~162 (2021)