산업용 제어기기의 통신 견고성 시험 방안 연구
A study on Communication Robustness Testing for Industrial Control Devices
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
다양한 산업 분야 및 주요 기반시설에서 사용되는 산업 제어시스템의 보안 위협에 대응하기 위해 산업용 제어기기에 대한 보안 평가 제도가 도입되어 운영되고 있다. 산업용 제어기기의 보안 평가 시험은 산업 제어시스템을 구성하는 각 구성요소별 보안요구사항을 시험하는 것으로서 기기 자체의 보안 기능에 대한 시험과 통신 견고성에 대한 시험을 포함한다. 본 논문에서는 국내·외 산업용 제어기기의 인증 시험인 EDSA, Achilles, 산업 제어시스템 보안요구사항(TTA 표준) 및 각각의 통신 견고성 시험의 특징을 분석하였다. 통신 견고성 시험은 퍼징 및 과부하 패킷을 전송하는 동안 기기의 정상동작 여부를 확인하는 것으로 기존의 시험환경 및 기준은 대부분 임베디드 장치의 특징에 초점이맞춰져 있어 다양한 산업용 제어기기에 적용하기에는 한계점이 존재한다. 이에 본 논문에서는 산업 제어시스템에서사용되는 제어 H/W, 제어 S/W, 현장장치, 네트워크 장비의 특성을 반영한 통신 견고성 시험환경 구축방안 및 시험시 고려해야할 사항을 제시하였다. 향후에는 제안한 기기별 통신 견고성 시험 기준을 실제 제품에 적용할 때 발생하는 이슈사항을 확인하고 이에 대한 해결책을 제시하고자 한다.
Abstract
Industrial control systems(ICS) are widely used in various industrial area and critical infrastructure. To mitigate securitythreats on ICS, the security assurance test for industrial control devices has been introduced and operating. The test includestesting of the security function of the device itself and testing of communication robustness. In this paper, we describe thesecurity requirements of EDSA, Achilles, and Korea’s TTA standard(security requirements for ICS). And also, we analyzedthe characteristics of communication robustness test(CRT) of each certification. CRT verifies the device’s operation ofessential function while transmitting fuzzing and stress packets. Existing test methods are mostly focused on the embeddeddevices and are difficult to apply to various devices. We propose a method to test communication robustness which reflectthe characteristics of control H/W, control S/W, field devices and network devices in ICS. In the future, we will apply theproposed communication robustness test to actual products and present solutions for arising issues.
참고문헌 (24)
- K. Stouffer, "Guide to industrial control systems (ICS) security", NIST SP 800-82 Revision 2, ~ (2015)
- 김성진, "산업제어시스템 취약성 분석을 위한 무작위성 기반 퍼징 테스트 케이스 평가 기법", 정보보호학회논문지, 28(1), pp.179~186 (2018), 한국정보보호학회[DOI]
- "ISASecure Certifications"[URL]
- ASCI, "Embedded Device Security Assurance (EDSA) - version 3.0.0", ~ (2018)
- "Security for industrial automation and control systems – Part 4-2: Technical security requirements for IACS components", IEC 62443-4-2 Ed.1, ~ (2019)
- "ISASecure Certified Devices"[URL]
- Son Kyung Ho, "Industrial control system security evaluation and certification trend analysis", REVIEW OF KIISC, 24(5), pp.15~25 (2014)
- Wei Zhao, "Security Testing Methods and Techniques of Industrial Control Devices", Proceedings of the 2013 9th International Conference on Intelligent Information Hiding and Multimedia Signal Processing, pp.433~436 (2013)
- Xie F., "Evaluating Industrial Control Devices Security: Standards, Technologies and Challenges", LNCS, 8838, pp.624~635 (2014)
- "Achilles-System-Certification-FAQ"[URL]
- "Achilles Communications Certified Products"[URL]
- "Achilles Practices Certified Solutions"[URL]
- "Security Requirements for Industrial Control System - Part 1: Concepts and Reference Model", TTAK.KO-12.0307-Part1, ~ (2017)
- "Security Requirements for Industrial Control System - Part 2: Field Device Layer", TTAK.KO-12.0307-Part2, ~ (2017)
- "Security Requirements for Industrial Control System - Part 3: Control Layer", TTAK.KO-12.0307-Part3, ~ (2017)
- "Security Requirements for Industrial Control System - Part 4: Operation Layer", TTAK.KO-12.0307-Part4, ~ (2017)
- ASCI, "Embedded Device Security Assurance – ISASecure certification requirements (EDSA-300) - version 3.6", ~ (2018)
- ASCI, "Embedded Device Security Assurance – Requirements for embedded device robustness testing (EDSA-310) - versi on 2.2", ~ (2015)
- ASCI, "Embedded Device Security Assu rance – Testing the robustness of imp lementations of IETF ICMPv4 network protocols (EDSA-404) - version 1.3", ~ (2010)
- "ISASecure - CRT Test Tools"[URL]
- "Achilles Test Platform Datasheet"[URL]
- Wurldtech, "Achilles Test Platform User Guide - v 3.17", ~ (2015)
- "Achilles Level 2 Certification Requirements for Embedded Devices"[URL]
- Steffen Pfrang, "Advancing Protocol Fuzzing for Industrial Automation and Control Systems", International Conference on Information Systems Security and Privacy, pp.570~580 (2018)