공무 국외출장 결과 보고서

(전력제어시스템 비정상행위 탐지 알고리즘 고도화 연구과제 관련)

2018. 11. 9.

기  획  본  부

보안정보전략실

작성자 : 차장 최석민(☏8373)

1. 출장 개요

□ 출장기간 : `18. 10. 20 ~ `18. 10. 28(7박9일)

□ 출장지 : ICS Cyber Security Conference(미국 애틀란타)

□ 참석자 : 최석민 차장

□ 출장 목적

국외 전력제어시스템 정보보안 현황 및 보안기술 동향을 파악하여 국내 적용을 위한 기초자료로 활용

학회 참가 및 관련 전문가와 면담을 통해 제어시스템 비정상행위 알고리즘 고도화 및 탐지장비 개발과 관련한 세부 기술 적용 방법 파악

날짜	장소	내용
10/20(토)	국제선 이동	인천 ⇒ 미국(애틀란타) 이동
10/21(일)	애틀란타	○ 실무협의 사전회의 - 비정상행위 알고리즘 개발현황 및 고도화 논의
10/22(월)~ 10/25(목)	애틀란타	Industrial Control System(ICS) cyber Security Conference 참석 *상세 일정 붙임 참조
10/26(금)	애틀란타	○ 보안실무 협의 - 미국 ICS보안 현황 및 비정상행위 탐지장비 개발방향 협의
10/27(토)~ 10/28(일)	국제선 이동	미국(애틀란타) ⇒ 인천 이동

2. 주요 내용

□ 연구과제 수행을 위한 실무협의 사전회의 및 보안실무 협의

(실무협의 사전회의) 제어시스템 비정상행위 알고리즘 고도화

참석자 : 케네소 주립대의 김동현 교수, 이석준 박사
아주대학교 손태식 교수

최신 제어시스템 악성코드의 행위 분석 내용 공유

주요 기계학습 기반 비정상행위 알고리즘 연구 공유

(보안실무 협의) 미국 ICS보안 현황 및 비정상행위 탐지 연구

참석자 : 케네소 주립대의 김동현 교수, 이석준 박사
아주대학교 김성진 통합과정, 김현진 통합과정

미국은 NERC CIP에 언급된 보안 요구사항을 만족하고 있으며, 최근 CIP 미준수로 인한 페널티(벌금)이 집행된 바 있음

성공적인 제어시스템 비정상행위 탐지를 위해서는 제어시스템 환경에 대한 세밀한 분석을 토대로 알고리즘 설계가 필요함

< 케네소 주립대에서 수행한 실무협의 사전회의 >

□ Industrial Control System(ICS) cyber Security Conference 참석

다양한 제어시스템 관련 업체들이 참가하여 4차 산업혁명으로 인해 변화되는 제어시스템의 사이버 보안에 관해 토의

총 4일간 제어시스템 보안과 관련된 다양한 세션들과 업체에서 자사의 제품을 소개하는 전시회를 함께 운영함

최근 제어시스템 대상 악성코드 분석으로 유명한 Dragos 社를 포함하여 Tenable, CyberX, IIC(Industrial Internet Consortium) 등이 참가하여 최신 제어시스템 보안에 대해 발표함

기반시설을 대상으로 하는 악성 코드 트랜드 분석과 최신 제어시스템 보안 기술을 통한 기반시설 안정성 및 신뢰성 확보 가능성을 재고하기 위해 Conference 참석

2018.10.22.(월) ~ 2018.10.25.(목) 기간에 학회가 진행되었으며 해당 기간 모두 학회에 참석하였음

Protecting ICS With decentralization + Blockchain

발표자 : Susanto Irwan (Xage 社)

산업 제어 시스템은 다양한 공격 침투 공로를 가지고 있음

최근 발생한 공격 사례들을 방어하고, 산업 제어 시스템의 실시간 운영을 보장하기 위해서는 로컬 보안이 요구됨

데이터 무결성 및 변조 방지, IIoT 네트워크를 구성하는 분산 장치의 보안성 보장을 위해 Block Chain 활용

How NOT to Patch Critical Systems

발표자 : Roger Rademacher (FoxGuard Solution 社)

패치 적용이 항상 시스템의 보안성을 향상시키지는 않음

일부 상황에서는 패치를 적용하지 않는 것이 핵심 인프라 보안에 더 효과적임

시스템의 보안성을 고려하여 패치를 적용해야하는 경우를 식별하였고, 이를 아래 그림과 같이 도식화함

학회 특성상 발표자료를 배포하지 않아 당시 Roger Rademacher의 발표 내용 중 일부를 다시 그림

운영과 사업에 영향을 주지 않는 경우 업데이트가 불필요함

Inside the Mind of a Hacker / Security of Digital Twins

발표자 : Dave Belt, Mark Hearn (Irdeto 社)

Digital Twins이 해커의 동기와 방법에 대해 이해하고, 해커의 기술을 익히도록 함

Digital Twin을 활용한 모의 침투를 통해 잠재적인 위협 파악

Digital Twin이 해커 프로토 타이핑, IP 보호 및 백엔드 시스템 공격으로부터 보호하는 것을 포함하여 연결된 시스템의 보안에 중요한 역할을 할 수 있는 Use-Case 논의

Hunting for Xenotime, Creators of TRITON/TRISIS ICS Malware

발표자 : Robert Lee, Marc Seitz (Dragos 社)

두 발표자가 서로의 의견을 교환하며 진행하며 악성코드 분석 경험을 바탕으로 ICS 보안에 대한 Dragos 社의 의견을 제시함

TRITON/TRISIS 악성코드는 XENOTIME 그룹이 개발한 것으로 Triconex 제품 외 타 제품을 대상으로는 적용이 불가능함

해당 공격 그룹이 유사한 공격을 타 시스템에도 수행함

Threat Hunting Model을 제시하며 이를 통해 특정 공격 그룹의 공격을 예상하고 대응할 수 있음

Digital Twin Framework for Power Grid Cyber Resilience

발표자 : Juan Lopez Jr (Oak Ridge National Laboratory)

에너지 분야의 발전으로 인해 Attack Surface를 증가하여 사이버 공격 탐지가 어려워지며, 극심한 피해가 발생할 수 있음

센서 측정값을 실시간 시뮬레이션과 지속적으로 비교하여 사이버공격 초기에 발생하는 편차를 탐지하는 방안을 제시

이를 위해 Digital Twin 기술을 적용한 DTF(Digital Twin Framework) 모델을 구현함

Side Channel Attacks Against ICS Devices

발표자 : Demos Andreou (Eaton 社)

SCA(Side Channel Attack)은 장치에 대한 물리적 액세스로 얻은 정보에 기반을 둔 공격으로 암호 모듈 보안에 큰 위협이 됨

특정 연산을 수행하는데 필요한 시간, 전력 소모 등의 정보를 수집하여 암호 알고리즘과 암호키 등을 유추할 수 있음

아래 그림과 같은 특정 도구를 활용하여 공격 비용 및 난이도가 낮아져 현실적인 위험이 존재함

ICS에서 이를 방어할 수 있는 대응 방안을 간략히 제시함

임의의 시간 지연을 암호 알고리즘 연산 과정에 추가하여 공격자가 획득하는 정보를 혼동 시켜 공격을 방지할 수 있음

Supply Chain Attacks and Resiliency Mitigations

발표자 : Ellen Laderman (MITRE)

ICT Supply Chain의 공격을 피해를 완화하기 위한 사이버 탄력성(Resiliency)을 적용하는 방안에 대해 논의하였음

ICT Supply Chain 공격을 아래 그림과 같이 사이버 공격 라이프사이클 프레임워크와 연관 지어 논의

사이버 탄력성 적용에 가장 효과적인 단계는 생산 및 배포 단계임

공격 대상과 활동에 대한 정보를 얻는 가장 좋은 곳은 엔지니어링 및 제조의 개발 단계와 생산 및 배포 단계임

Critical Industrial Network Monitoring, an Example From the Field: Gas Distribution

발표자 : Bob Foley (Sentryo 社)

유틸리티 산업이 직면한 사이버 보안과 관련된 구체적인 과제에 대해 언급

유틸리티의 공통점들을 식별

물리적 개방 : 물리적 보호가 없는 상태에서 운영자가 네트워크를 통해 연결됨

긴 수명주기 : 업데이트 문제, 도난 및 정치적인 공격에 대한 취약성이 존재

외주 : 외부 유지 보수, 제어되지 않은 기기 연결 등의 잠재적 문제점이 있음

가스 배급 사업자의 제어 네트워크에 사이버 보안 모니터링 시스템 구축 한 사례 소개

IT Malware Threats to OT systems – Case Study of Cryptojacking and Related Exploits to ICS

발표자 : TJ Roe (Radiflow 社)

2018년 2월 유럽 수도시설에서 발견된 Cryptojacking malware의 세부 공격 내용 분석

Cryptojacking 외에도 유지보수를 위해 원격 접속하는 채널을 악용하여 공격하려는 시도가 발견

Shodan, AutoSploit와 같은 공격 도구를 이용하여 인터넷 연결이 이루어진 시스템이 대상이 되었음

Deploying a Local Certificate Authority to Secure Industrial Control Applications

발표자 : Josh Carlson (Schneider Electric 社) 외 1인

임베디드 보안 강화를 위해 인증서 도입이 요구되고 있음

OT 환경에서는 인증기관을 배치할 때 문제점이 있음

인증 요청이 격리된 네트워크에 작동해야하기 때문에 제어 네트워크 경계 내에 배치되어야함

Entrust Datacard 社와 함께 산업 제어 시스템을 위한 인증 기관 구현과 디지털 인증서를 소개함

Notes from the Field: Using Visibility and Advanced Anomaly Detection to Secure OT Environments

발표자 : Patrick McBride (Claroty 社)

실제 구현관점에서 보는 산업 네트워크 내 위협 및 공격 패턴에 대해 소개

최근 공격들 분석 결과 논의 (Crashoverride, Trisis/Triton)

공격들과 현장에서 얻은 지식과 이전 공격들을 바탕으로 아직 발견되지 않은 공격에 대한 대응 전략 제시

비정상 탐지와 시각화를 통해 새로운 공격 탐지 가능

특정 표적에 대한 공격을 탐지하는 것이 아닌 공격 예방한다는 관점으로 접근해야함

Safety First: Active Scanning for ICS Devices

발표자 : Matt Everson (Tenable 社)

액티브 네트워크 스캔은 중요한 ICS 장치의 가용성 침해 문제를 발생 시킬 수 있지만, 취약성 평가를 위해 필요함

OT 취약성 검색의 위험성을 인지하고, 검색 대상 장치들에 대한 파악을 바탕으로 취약점 스캐닝 위협 감소

OT 영역에서 사용 가능한 안전한 스캔을 위한 발전 방향 소개

3. 시사점

제어시스템을 대상으로 여전히 많은 공격이 발생하고 있음

Crashoverride, Triton/Trisis 등 고도화된 공격이 증가

악성코드들은 나날이 발전하고 있으며 대상 제어시스템을 위한 악성코드를 제작하고 배포하는 단계에 들어섬

기존 사용되던 블랙박스 침입 탐지 시스템이 아닌, 정상행위 기반의 모델링이 필요하며, 네트워크 시각화를 기반한 모니터링 체계의 도입이 필요함

산업제어시스템 보안을 위해 다양한 업체 및 기관에서 기계학습 기반의 사이버 공격 탐지 솔루션을 개발하고 있음

IBM 社, Darktrace 社 등 여러 기업들의 솔루션은 딥러닝 기반 솔루션이 아닌 단순 기계학습 기반 탐지를 수행함

Dragos 社의 Robert Lee는 AI기반의 탐지 기술의 중요성을 논하며, AI기술을 통한 정상행위 모델링이 중요한 안건이라 언급

관련 업체들과의 면담을 통해 딥러닝을 포함한 다양한 기계학습 기반의 탐지 연구의 중요성을 재고

4. 출장소감

사이버보안 강국인 미국에서 열린 이번 학회는 독립망으로 구성되어 있는 제어시스템에도 언제든지 사이버해킹이 가능하다는 전제로 각종 침해사례 및 위협사항에 대한 조치 등에 대한 다양한 장이 열림

각각 보안의 전략적(Strategic)과 기술적(technical) 파트로 나누어 정부 및 국가공공기관의 정보보안전략 및 정책 방향에 대해, 기술파트에서는 보안회사의 최근 보안기술 및 적용사례로 나누어 발표하여 미국의 현재 보안정책 동향 및 최신 기술에 대해 알아보는 계기가 됨

특히, 둘째날은 2개의 섹션 공간을 통합하여 300~400여명의 세계각지 정보보안 전문가가 모인 자리에서 학회장의 기조연설 및 최근 이슈인 Triton의 창시자의 Zenotime의 사례분석등은 많은 질문과 열띤 토론의 장이 되어 이번 학회의 최고의 날이 되기도 하였음

또한, 미국 각종의 보안회사들의 제품 시연 및 참가자들에게 공개된정보보안 부스에서 기반시설 보안관련 다양한 S/W 및 H/W 장비들을 보여줌으로써 역시 보안강국이다는 면모를 보여주는 자리였음

개인적으로 해외에서 열린 정보보안 학회를 처음 참가하는 자리로써, 세계 각지에서 모인 보안전문가와 대면접촉을 통한 각국의 보안수준을 갸늠할수 있었고, 특히, 사이버해킹 사례분석을 통한 해커들의 행동패턴까지 분석하고 향후 공격까지도 예상해보는 등 다양한 시나리오를 준비하는 것을 보면서 사이버보안 세계에서의 끝없는 창과 방패의 싸움이 진행중이다는 것을 실감하였음

학회 외 시간에 연구과제 수행을 위해 조지아주 케네소주립대학 사이버 보안학과 김동현 교수 연구진과의 면담을 통해 비정상행위 탐지 알고리즘 고도화에 대한 논의와 향후 탐지장비 개발을 위한 가이드를 받았음

붙임1. 행사세부 내용 1부.

2. 학회책자 및 이름표

붙임1		행사 세부 내용

붙임2		행사책자 및 참가자 이름표