[논문 리뷰] ICSrange: A Simulation-based Cyber Range Platform for Industrial Control Systems

Vincenzo Giuliano, Valerio Formicola|arXiv (Cornell University)|2019. 09. 04.

Network Security and Intrusion Detection참고 문헌 4인용 수 4

한 줄 요약

ICSrange는 산업 제어 시스템(ICS)과 기업 네트워크를 시뮬레이션하여 사이버 방어 전략의 훈련과 테스트를 가능하게 하는 COTS(상용 제품) 기술 기반의 사이버 레인지 플랫폼이다. 다단계의 고도화된 지속적 위협(APT)-유사 공격을 네트워크 세그먼트 전반에 걸쳐 시뮬레이션함으로써 효과성을 입증하였으며, 물 탱크를 시뮬레이션한 ICS 환경으로의 횡단 이동도 가능하다.

ABSTRACT

Maintenance staff of Industrial Control Systems (ICS) is generally not aware about information technologies, and even less about cyber security problems. The scary impact of cyber attacks in the industrial world calls for tools to train defensive skills and test effective security measures. Cyber range offers this opportunity, but current research is lacking cost-effective solutions verticalized for the industrial domain. This work proposes ICSrange, a simulation-based cyber range platform for Industrial Control Systems. ICSrange adopts Commercial-Off-The-Shelf (COTS) technologies to virtualize an enterprise network connected to Industrial Control Systems. ICSrange is the outcome of a preliminary study intended to investigate challenges and opportunities to build a configurable and extensible cyber range with simulated industrial processes. Literature shows that testbeds based on realistic mock-ups are effectively employed to develop complex exploits like Advanced Persistent Threats (APTs), hence motivating their usage to train and test security in ICS. We prove the effectiveness of ICSrange through the execution of a multi-staged attack that breaches an enterprise network and progressively intrudes a simulated ICS with water tanks. The attack mimics lateral movements as observed in APTs.

연구 동기 및 목표

• 산업 제어 시스템(ICS)에 특화된 비용 효율적이고 도메인 맞춤형 사이버 레인지 플랫폼의 부족을 보완하기 위해.
• 일반적으로 사이버 보안 인식이 부족한 ICS 유지보수 인력과 점점 더 복잡해지는 고도의 사이버 공격 사이의 격차를 메우기 위해.
• 실제 훈련과 ICS 환경에서의 방어 보안 조치 테스트를 가능하게 하는 구성 가능하고 확장 가능한 시뮬레이션 플랫폼을 개발하기 위해.
• 기업 네트워크에서의 초도 접근부터 ICS 세그먼트로의 침투까지 다단계 사이버 공격을 시뮬레이션하여 플랫폼의 유효성을 검증하기 위해.

제안 방법

• ICSrange는 COTS 기술을 활용하여 기업 네트워크와 산업 제어 시스템을 가상화함으로써 네트워크 및 프로세스의 완전한 시뮬레이션을 가능하게 한다.
• 플랫폼은 표준 산업 프로토콜를 사용하여 실시간 제어 행동을 모델링하는 시뮬레이션된 산업 공정—특히 물 탱크 시스템—을 통합한다.
• 기업 IT 인fra와 ICS OT 환경을 연결하는 구성 가능한 네트워크 토폴로지를 만들 수 있다.
• 횡단 이동을 포함한 다단계 사이버 공격 실행을 지원하여 고도화된 지속적 위협(APT) 행동을 시뮬레이션한다.
• 오픈소스 시뮬레이션 도구를 사용하고 현실적인 공격 체인을 시뮬레이션하여 탐지 및 대응 능력을 테스트한다.
• 플랫폼은 확장 가능하도록 설계되어 신규 ICS 구성 요소, 공격 시나리오, 보안 제어를 통합할 수 있다.

실험 결과

연구 질문

• RQ1 COTS 기술을 활용해 산업 제어 시스템(ICS)을 위한 비용 효율적이고 시뮬레이션 기반의 사이버 레인지 플랫폼을 어떻게 설계할 수 있는가?
• RQ2 사이버 훈련 및 테스트를 위한 현실적인 ICS 환경을 시뮬레이션할 때의 주요 과제는 무엇인가?
• RQ3 시뮬레이션된 ICS 환경이 훈련 목적으로 다단계 APT 유사 공격을 효과적으로 지원할 수 있는가?
• RQ4 ICS 사이버 레인지에서 횡단 이동과 네트워크 진행을 어떻게 현실적으로 모델링할 수 있는가?
• RQ5 이러한 플랫폼이 고도의 사이버 위협에 대응하는 데 있어 ICS 직원의 탐지 및 대응 능력을 얼마나 효과적으로 훈련시킬 수 있는가?

주요 결과

• ICSrange는 물 탱크 프로세스를 포함한 현실적인 ICS 환경을 성공적으로 시뮬레이션하여 사이버 레인지 환경에서 산업 제어 행동을 시뮬레이션할 수 있음을 입증하였다.
• 플랫폼은 고도화된 지속적 위협(APT)의 특징적인 횡단 이동을 모방하는 다단계 사이버 공격 실행이 가능하다.
• 시뮬레이션은 기업 네트워크에서의 초도 접근부터 ICS 세그먼트로의 침투까지 공격 생명주기 전체를 지원한다.
• COTS 기술의 사용은 비용 효율성과 설치 용이성을 보장하여 플랫폼을 훈련 및 연구에 접근 가능하게 한다.
• 플랫폼은 안전하고 격리된 환경에서 복잡하고 현실적인 공격 시나리오를 관찰하고 대응할 수 있도록 해, 효과적인 훈련 도구로 입증되었다.
• 플랫폼의 확장성 덕분에 새로운 ICS 프로세스와 공격 벡터를 통합할 수 있어 지속적인 연구 및 훈련 요구를 충족시킬 수 있다.