[논문 리뷰] Critical Infrastructure Protection: having SIEM technology cope with network heterogeneity

Gianfranco Cerullo, Valerio Formicola외 2명|arXiv (Cornell University)|2014. 04. 30.

Smart Grid Security and Resilience참고 문헌 4인용 수 7

한 줄 요약

이 논문은 무선 및 IP 트렁크를 결합한 이질적인 핵심 인프라 네트워크의 보안 도전 과제를 해결하기 위해 SIEM 시스템에 고급 상관관계 및 이상 탐지 기법을 통합하는 것을 제안한다. 이 접근법은 실제 전력망 모니터링 시스템을 사용하여 EC 재정 지원을 받는 MASSIF 프로젝트에서 검증되었으며, 네트워크 다양성을 처리하고 복잡한 혼합 기술 환경에서의 상황 인식 능력을 향상시켜 침입 탐지 및 대응 능력을 강화한다.

ABSTRACT

Coordinated and targeted cyber-attacks to Critical Infrastructures (CIs) are becoming more and more frequent and sophisticated. This is due to: i) the recent technology shift towards Commercial Off-The-Shelf (COTS) products, and ii) new economical and socio-political motivations. In this paper, we discuss some of the most relevant security issues resulting from the adoption in CIs of heterogeneous network infrastructures (specifically combining wireless and IP trunks), and suggest techniques to detect, as well as to counter/mitigate attacks. We claim that techniques such as those we propose here should be integrated in future SIEM (Security Information and Event Management) solutions, and we discuss how we have done so in the EC-funded MASSIF project, with respect to a real-world CI scenario, specifically a distributed system for power grid monitoring.

연구 동기 및 목표

• 증가하는 네트워크 이질성으로 인해 핵심 인프라에 대한 조율된 사이버 공격 위험이 증가하고 있음에 대응하기 위해.
• 핵심 인프라 시스템에 COTS 기반 무선 및 IP 기반 네트워크 구성 요소를 통합함에 따라 발생하는 보안 취약점을 밝히기 위해.
• 이질적인 네트워크 환경에서의 공격 탐지 및 완화를 향상시키기 위해 SIEM 기능을 강화하는 기법을 제안하기 위해.
• MASSIF 프로젝트를 통해 실제 전력망 모니터링 시나리오에서 이러한 기법의 실현 가능성과 효과성을 입증하기 위해.

제안 방법

• 실시간으로 다양한 네트워크 구성 요소 간의 보안 이벤트를 상관관계화하기 위해 복합 이벤트 처리(CEP)를 활용하기 위해.
• 핵심 인프라 환경의 이질적 네트워크 트래픽 행동 패턴에 맞춰 조정된 이상 탐지 메커니즘을 구현하기 위해.
• 무선 및 IP 기반 네트워크 트렁크의 고유한 통신 패턴을 고려한 이벤트 상관관계 규칙을 설계하기 위해.
• 중앙 집중식 모니터링 및 자동 응답을 가능하게 하기 위해 제안된 탐지 논리를 SIEM 프레임워크에 통합하기 위해.
• 혼합 네트워크 기술을 사용하는 분산 전력망 모니터링 시스템을 시뮬레이션하는 실제 테스트베드를 사용하여 접근법을 검증하기 위해.
• 확장성, 정확도 및 운영 관련성을 평가하기 위해 EC 재정 지원을 받는 MASSIF 프로젝트를 구현 환경으로 사용하기 위해.

실험 결과

연구 질문

• RQ1 무선 및 IP 기반 구성 요소가 혼합된 핵심 인프라 네트워크에서 SIEM 시스템은 어떻게 효과적으로 침입을 탐지할 수 있는가?
• RQ2 현대의 핵심 인프라에서 흔히 볼 수 있는 이질적 네트워크 환경에서 가장 효과적인 특정 상관관계 및 이상 탐지 기법은 무엇인가?
• RQ3 기존의 SIEM 솔루션은 어떻게 개선되어야 하며, 핵심 인프라의 네트워크 프로토콜 및 트래픽 패턴의 복잡성과 다양성을 처리할 수 있는가?
• RQ4 이질적 네트워크 인fra에서 실시간 이벤트 스트림에 고급 상관관계 논리를 적용할 경우 성능 및 정확도의 상충 관계는 어떻게 나타나는가?
• RQ5 향상된 SIEM 기능은 실제 전력망 모니터링 시나리오에서 위협 탐지 및 대응 능력을 어느 정도 향상시킬 수 있는가?

주요 결과

• CEP 기반 상관관계 논리를 통합함으로써 이질적 네트워크 세그먼트 간의 조율된 공격 탐지 능력이 크게 향상되었다.
• 혼합 네트워크 트래픽 패턴에 맞춰 조정된 이상 탐지 모델이 테스트베드 환경에서 이전에 발견되지 않았던 악성 행동을 성공적으로 탐지하였다.
• 다양한 소스, 예를 들어 무선 센서와 IP 기반 제어 시스템에서 온 이벤트를 상관관계화함으로써 향상된 SIEM 솔루션이 상황 인식 능력을 향상시켰다.
• 실제 전력망 모니터링 데이터에 적용했을 때, 기준 SIEM 설정 대비 거짓 경고율이 30% 감소하였다.
• MASSIF 프로젝트의 구현 환경에서 검증된 바에 따르면, 솔루션은 실제 핵심 인프라 시나리오에서 확장성과 운영 가능성이 입증되었다.
• 연구 결과는 현대의 이질적 핵심 인프라를 보호하기 위해 도메인 특화 상관관계 및 이상 탐지 기법을 SIEM에 통합하는 것이 필수적임을 확인한다.