CTI 모델 활용 제어시스템 보안정보 수집 방안 연구
A Study on ICS Security Information Collection Method Using CTI Model
0
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
최근 정부기관, 기반시설, 제조 기업 등의 제어시스템을 대상으로 사이버 위협이 빈번히 발생하고 있다. 이러한사이버 위협에 대응하기 위해서는 제어시스템의 다양한 자산에서 발생하는 보안정보를 일괄 수집하여 상관관계 분석등을 수행하고, 그 결과를 공유하는 CTI(Cyber Threat Intelligence) 도입이 필요하다. 이를 위해서 제어시스템의 보안정보 수집이 필요한데, 가용성이 최우선적으로 고려되는 제어시스템 특성상 PLC(Programmable LogicControllers) 등과 같은 제어장치에 보안 솔루션 도입의 제약이 있어 보안정보를 수집하기에 어려움이 따른다. 또,제어시스템에 존재하는 다양한 자산에서 발생하는 보안정보 포맷이 상이한 문제도 존재한다. 따라서 본 논문에서는효율적인 제어시스템 보안정보 수집을 위한 방안을 제안한다. 기존 IT의 CTI 모델 중 제어시스템 도입에 용이한CybOX/STIX/TAXII를 활용하여 제어시스템 자산의 보안정보를 수집할 수 있도록 포맷을 설계하였다. 포맷 설계대상은 윈도우 및 리눅스 등의 범용 OS를 사용하는 제어시스템 자산의 OS 수준의 시스템 로그, 정보보호 시스템로그, 제어시스템 PLC 관리를 위한 EWS(Engineering Workstation System) 응용프로그램 로그로 선정하였다. 또, 설계한 포맷이 반영된 보안정보 수집 시스템을 설계 및 구현하여 제어시스템 통합 관제 시스템 구축 및CTI 도입에 활용할 수 있도록 한다.
Abstract
Recently, cyber threats are frequently occurring in ICS(industrial control systems) of government agencies, infrastructure,and manufacturing companies. In order to cope with such cyber threats, it is necessary to apply CTI to ICS. For thispurpose, a security information collection system is needed. However, it is difficult to install security solution in controldevices such as PLC. Therefor, it is difficult to collect security information of ICS. In addition, there is a problem that thesecurity information format generated in various assets is different. Therefore, in this paper, we propose an efficient methodto collect ICS security information. We utilize CybOX/STIX/TAXII CTI models that are easy to apply to ICS. Using thismodel, we designed the formats to collect security information of ICS assets. We created formats for system logs, IDS logs,and EWS application logs of ICS assets using Windows and Linux. In addition, we designed and implemented a securityinformation collection system that reflects the designed formats. This system can be used to apply monitoring system andCTI to future ICS.
참고문헌 (22)
- N. Falliere, "W32. stuxnet dossier, White paper", Security Response, 10(6), pp.29~ (2011), Symantec Corp.
- E. Chien, "W32. duqu: the precursor to the next stuxnet", Proceedings of the 5th USENIX Conference on Large-Scale Exploits and Emergent Threats (2012)
- S. Raval, "BlackEnergy a threat to industrial control systems network security", International Journal of Advance Research in Engineering Science and Technology, 2(12), pp.120~125 (2015)
- K.A. Stouffer, "Guide to industrial control systems(ICS) security, NIST Special Publication 800-82" (2015)
- S. Barnum, "The CybOX language specification" (2012)
- S. Barnum, "Standardizing cyber threat intelligence information with the structured threat information expression(STIX)" (2012)
- J. Connolly, "The trusted automated exchange of indicator information (taxii)" (2014)
- Telecommunications Technology Association, "The System Log Information Message Exchange Format For The Security Control, TTAK.KO-12.0256" (2017)
- H. Debar, "The Intrusion Detection Message Exchange Format, RFC 4765", ~ (2007)
- R. Danyliw, "The Incident Object Description Exchange Format, RFC 5070", ~ (2007)
- "OpenIOC: back to the basics"[URL]
- "ISA99/IEC62443, Industrial automation and control systems security"[URL]
- "Unidirectional Security Gate ways"[URL]
- V. Igure, "Security issues in SCADA networks", Computer & Security, 25(7), pp.498~506 (2006)[DOI]
- S. Patel, "Improving the cyber security of SCADA communication networks", Communications of the ACM, 52(7), pp.139~142 (2009)
- J. Creasey, "Cyber Security Monitoring and Logging Guide, CREST, ver. 1" (2015)
- K. Kent, "Guide to Computer Security Log Management, NIST Special Publication 800-92" (2006)
- "Appendix L:Events to Monitor"[URL]
- "Snort Users Manual"[URL]
- "Totally Integrated Automation Portal"[URL]
- "Cyber security services: event management and intrusion prevention"[URL]
- "Scada dome: cyber defense for industrial systems"[URL]