PLC 로그의 사고조사 활용 가능성에 관한 연구
A Study on the Possibility for Incident Investigation Using PLC Logs
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
산업제어시스템이란 전력, 수처리, 교통과 같은 주요기반시설이나, 자동화 공장, 화학 플랜트와 같이 산업분야의프로세스를 안전하고 효율적으로 모니터링 및 제어하는 시스템을 말한다. 이러한 산업제어시스템을 대상으로 하는사이버 공격이 성공한다면 큰 인명 피해, 경제적 피해를 유발할 수 있어, 국가단위 해커 집단들의 주요 공격 대상이될 가능성이 높다. Stuxnet, Industroyer, TRITON과 같은 사이버 공격은 이러한 우려가 실제 현실로 드러난사례이며, 사이버 공격으로 실제 물리적 피해를 발생시키기 위해 대상 제어시스템에 대한 깊은 지식을 기반으로 개발된 것으로 확인되었다. 따라서 산업제어시스템의 사고조사를 위해서는 사고분석가 역시 제어시스템 운영 프로세스에 대한 지식을 보유하고 제어시스템에 특화된 사고조사 기술을 확보해야 한다. 이를 위해 사이버와 물리적 경계에위치한 임베디드 제어기기와 같이 사이버 공격의 대상이 될 수 있지만, IT분야에서 사용되지 않아 즉시 활용할 기술이 없는 장치들을 대상으로 하는 사고조사 기술 개발이 필요하다. 이러한 연구 개발의 첫 단계로써 대표적인 임베디드 제어기기인 PLC(Programmable Logic Controller) 4종을 대상으로 PLC의 로깅 기능 및 본 논문에서 제안한 공격 시나리오에서 사고조사에 활용 가능한 로그 생성 여부를 분석한 결과를 제시한다.
Abstract
An ICS(industrial control system) is a complex system that safely and efficiently monitors and controls industrialprocesses such as electric power, water treatment, transportation, automation plants and chemical plants. Because successfulcyber attacks targeting ICS can lead to casualties or serious economic losses, it becomes a prime target of hacker groupssponsored by national state. Cyber campaigns such as Stuxnet, Industroyer and TRITON are real examples of successful ICSattacks, and were developed based on the deep knowledge of the target ICS. Therefore, for incident investigation of ICSs,inspectors also need knowledge of control processes and accident investigation techniques specialized for ICSs. Because thereis no applicable technology, it is especially necessary to develop techniques and tools for embedded controllers located atcyber and physical boundaries. As the first step in this research, we reviewed logging capability of 4 PLC(ProgrammableLogic Controller)s widely used in an ICS area, and checked whether selected PLCs generate logs that can be used fordigital investigation in the proposed cyber attack scenario.
참고문헌 (12)
- W32.STUXNET dossier v1.4, "N. Falliere", Whitepaper, Symantec Security Response, Symantec Corp, ~ (2011)
- R. Lee, "Industroyer", crashoverride: Zero things cool about a threat group targeting the power grid, 2017
- A.A. Di Pinto, "TRITON: The first ICS cyber attack on safety instrument systems", Black Hat USA, ~ (2018)
- R.A. Awad, "Tools, Techniques, and methodologies: A survey of digital forensics for scada systems", Proceedings of the 4th Annual Industrial Control System Security Workshop, pp.1~8 (2018)
- S. Senthivel, "SCADA network forensics of the PCCC protocol", Digital Investigation, 22(2017), pp.57~65 (2017)
- G. Denton, "Leveraging the SRTP protocol for over-the-network memory acquisition of a GE fanuc series 90-30", Digital Investigation, 22(2017), pp.26~38 (2017)
- K. A. Stouffer, "Guide to industrial control systems(ICS) security", SP 800-82 rev. 2, NIST, ~ (2015)
- "Security requirements for industrial control System – Part 3: control layer", TTAK.KO-12.0307-part3, ~ (2012)
- K.H. John, "IEC 61131-3: programming industrial automation systems" (2005), Springer
- R. Spenneberg, "PLC-blaster: a worm living solely in the PLC", Black Hat Asia, ~ (2016)