[논문 리뷰] Big Data in Critical Infrastructures Security Monitoring: Challenges and Opportunities

Leonardo Aniello, Andrea Bondavalli외 9명|arXiv (Cornell University)|2014. 05. 01.

Network Security and Intrusion Detection인용 수 4

한 줄 요약

이 논문은 이질적 데이터 소스, 적응형 모니터링 정밀도, 고급 분석 기법의 동적 조합을 통합함으로써 크리티컬 인프라(CI)의 보안 모니터링을 향상시키기 위한 빅데이터 기반 프레임워크를 제안한다. 이 접근법은 네트워크 트래픽, 시스템 로그, 에너지 소비량 등의 다양한 데이터를 상관관계 분석함으로써 기존 도구를 뛰어넘는 이른바 이상 징후 탐지 능력을 향상시킨다.

ABSTRACT

Critical Infrastructures (CIs), such as smart power grids, transport systems, and financial infrastructures, are more and more vulnerable to cyber threats, due to the adoption of commodity computing facilities. Despite the use of several monitoring tools, recent attacks have proven that current defensive mechanisms for CIs are not effective enough against most advanced threats. In this paper we explore the idea of a framework leveraging multiple data sources to improve protection capabilities of CIs. Challenges and opportunities are discussed along three main research directions: i) use of distinct and heterogeneous data sources, ii) monitoring with adaptive granularity, and iii) attack modeling and runtime combination of multiple data analysis techniques.

연구 동기 및 목표

• Stuxnet과 같은 고도의 사이버 위협을 탐지하는 데에 한계가 있는 기존 CI 보안 모니터링 도구의 문제점을 해결한다.
• 사용되지 않는 이질적 데이터 소스(예: 네트워크, 로그, 전력 소비)를 활용하여 위협 탐지 능력을 향상시킨다.
• 빅데이터 볼륨을 효율적으로 관리하기 위해 런타임에서 모니터링 정밀도를 적응적으로 조절할 수 있도록 한다.
• 공식화된 공격 모델을 활용하여 다수의 데이터 분석 기법을 조합함으로써 탐지 정확도를 향상시킨다.
• 실세계 테스트베드를 활용하여 실시간 이면 이상 탐지에 적합한 확장 가능한 데이터 기반 아키텍처를 개발한다.

제안 방법

• 네트워크 트래픽, 시스템/애플리케이션 로그, 환경 센서(예: 전력 소비) 및 특권 계정 활동 등의 다양한 데이터 소스를 통합한다.
• 시스템 상태에 따라 데이터 볼륨과 탐지 민감도 간 균형을 이루는 적응형 모니터링 정밀도를 구현한다.
• 런타임에서 통합된 방식으로 최신 기술(예: 이상 탐지, 상관관계 엔진)을 적용한다.
• 이질적 데이터 스트림 간의 상관관계 및 탐지 로직을 안내하기 위해 공식화된 공격 모델을 사용한다.
• 이탈리아 재정부 데이터 센터 및 S.Co.P.E. 슈퍼컴퓨터 두 개의 실세계 CI 테스트베드에 프레임워크를 구현하고 평가한다.
• 비침습적이고 블랙박스 방식의 모니터링을 가능하게 하기 위해 개방형이고 구성 가능한 모니터링 도구(예: Ganglia, 커스텀 스크립트)를 활용한다.

실험 결과

연구 질문

• RQ1 크리티컬 인프라에서 유래한 이질적 데이터 소스를 어떻게 효과적으로 조합하여 기존 모니터링을 뛰어넘는 위협 탐지 능력을 향상시킬 수 있는가?
• RQ2 빅데이터 볼륨을 처리하면서도 탐지 정확도를 훼손하지 않도록 하는 적응형 모니터링 정밀도를 위한 메커니즘은 무엇인가?
• RQ3 다양한 데이터 분석 기법을 런타임에서 조합함으로써 크리티컬 인프라 내 고도의 지속적 위협 탐지 능력은 어떻게 향상될 수 있는가?
• RQ4 크리티컬 인프라 보안 모니터링을 위한 현실적이고 장기적인 테스트 환경을 조성하는 데에 직면하는 주요 과제는 무엇인가?
• RQ5 서비스 장애 없이 런타임에서 모니터링 설정을 동적으로 조정할 수 있는 방법은 무엇인가?

주요 결과

• 프레임워크는 안정된 회전 속도를 유지하면서도 에너지 소비가 변동하는 현상과 같은 이상 징후를 탐지할 수 있으며, 이는 Stuxnet과 같은 숨겨진 악성 소프트웨어의 존재를 시사할 수 있다.
• 1300개 노드로 구성된 데이터 센터에 실세계로 구현한 결과, 하루 약 16.6GB의 모니터링 데이터가 생성되어 다루어야 할 데이터의 규모를 입증했다.
• S.Co.P.E. 슈퍼컴퓨터 테스트베드는 성능, 환경, 로그 소스로부터 하루 약 0.7GB의 데이터를 생성하여, 이 프레임워크가 과학 계산 환경에서의 타당성을 입증했다.
• 현재 사용 중인 모니터링 도구들은 Stuxnet과 같은 정교한 공격을 탐지하지 못한다. 이는 센서 읽기 값을 조작하더라도 경고를 발생시키지 않기 때문이다.
• 특권 계정 남용은 주요 공격 벡터이다. 대규모 기업의 86%가 이 위험을 과소평가하고 있어, 전용 모니터링이 필요하다는 점을 시사한다.
• 공개된, 레이블이 부여된, CI 전용 데이터셋의 부족은 새로운 탐지 기법의 검증 및 벤치마킹을 위한 주요 장벽으로 남아 있다.