산업제어망 보안 컴플라이언스를 위한 패치 영향성 평가 방안에 관한 실증 연구
A Empirical Study on the Patch Impact Assessment Method for Industrial Control Network Security Compliance
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
산업제어망은 대부분 독립된 폐쇄망으로 설치 이후 장기적으로 운영되면서 OS가 업데이트 되지 않아 보안 위협이 증가하고 보안 취약성이 존재한다. 제로 데이 공격 방어에는 최신 패치 적용이 필수로 이루어져야 하지만 대규모산업망에서는 물리적인 장치를 직접 다루는 특성으로 더 높은 실시간성과 무중단 운영이 요구되기 때문에 실 운영중인 시스템에 적용하기 어렵다. 이 문제를 해결하기 위해 신뢰로운 패치 적용을 위한 유틸리티사 고유의 패치 영향성 평가가 필요하다. 본 논문은 패치 시험에 대한 개념설계로부터 시스템 구현과 실증적용을 아우르고 있다. 패치영향성 평가 방법론으로서 패치를 적용하기 전과 후의 시스템 고유 기능, 성능, 행위를 기반으로 시험 유형을 분류하고 반복 실험을 통해 패치의 안전성을 판정하는 최대 허용치를 제안하였다. 이후 산업제어망에 직접 적용한 결과99.99% 가용성을 보장하면서 OS패치가 업데이트 되었다.
Abstract
Most of the industrial control network is an independent closed network, which is operated for a long time after installation, and thus the OS is not updated, so security threats increase and security vulnerabilities exist. The zero-day attack defense must be applied with the latest patch, but in a large-scale industrial network, it requires a higher level of real-time and non-disruptive operation due to the direct handling of physical devices, so a step-by-step approach is required to apply it to a live system. In order to solve this problem, utility-specific patch impact assessment is required for reliable patch application. In this paper, we propose a method to test and safely install the patch using the regression analysis technique and show the proven results. As a patch impact evaluation methodology, the maximum allowance for determining the safety of a patch was derived by classifying test types based on system-specific functions, performance, and behavior before and after applying the patch. Finally, we report the results of case studies applied directly to industrial control networks, the OS patch has been updated while ensuring 99.99% availability.
참고문헌 (11)
- "The North American Electric Reliability Corporation - Critical Infrastructure Protection-007-6, Cyber Security – System Security Management, V6", North American Electric Reliability Corporation, 142~178 (2020)
- Korea Internet & Security Agency, "Guide of vulnerability analysis and assessment for information and communication infrastructure", KISA, ~ (2017)
- Chee-Wooi Ten, "Cybersecurity for Electric Power Control and Automation Systems", 2007 IEEE International Conference on Systems, Mand and Cybernetics, Montreal, Que., pp.29~34 (2007)
- J. Matt Cole, "Challenges of Implementing Substation Hardware Upgrades for NERC CIP Version 5Compliance to Enhance Cybersecurity", 2016 IEEE, 2016, 1~5
- Security for Industrial Automation and Control Systems – Part 2-3:Patch Management in the IACS Environment. Ed. 1.0, "IEC", International Electrotechnical Commission, ~, pp.Technical Report 62443-2-3 (2015)
- 이수연, "주요기반시설 서비스의 안정적 운영을 위한 보안 프레임워크 설계에 관한 연구", 한국IT서비스학회지, 15(4), pp.63~72 (2016), 한국IT서비스학회[DOI]
- 엄익채, "상용 OS기반 제어시스템 확률론적 취약점 평가 방안 연구", 융합정보논문지, 9(8), pp.35~44 (2019), 중소기업융합학회[DOI]
- Kang Dong Joo, "사이버보안 관점에서의 전력시스템 신뢰도 기준 수립을 위한 NERC 규정 분석 및 국내 적용방안연구", Review of The Korea Institute of Information Security & Cryptology, 25(5), pp.18~25 (2015)
- Patch Regression Testing Tool Analysis in Practice, "EPRI", Electric Power Research Institute, ~, pp.Technical Report 3002014137 (2019)
- Yonghee Jeon, "Network Design and structure for industrial control system security", Review of The Korea Institute of Information Security &Cryptology, 19(5), pp.60~67 (2009)
- 최명길, "제어시스템 보안성 평가 방법에 관한 연구", 정보보호학회논문지, 23(2), pp.287~298 (2013), 한국정보보호학회