[논문 리뷰] Model-Based Safety and Security Engineering

Vivek Nigam, Alexander Pretschner외 1명|arXiv (Cornell University)|2018. 10. 11.

Advanced Software Engineering Methodologies참고 문헌 20인용 수 11

한 줄 요약

이 화이트페이퍼는 안전성 모델(GSN)을 보안 모델(ADT)로 변환함으로써 안전성 및 보안 공 ingeneering을 통합하는 모델 기반 접근법을 제안한다. 이는 Answer-Set Programming을 사용하여 안전성 요구사항과 보안 요구사항 간의 모순를 자동으로 탐지할 수 있도록 한다. 주요 기여는 자동화된 충돌 탐지 및 해결을 지원하는 공동 모델 기반 안전성 및 보안 분석 프레임워크를 제공함으로써 상호 연결된 시스템에서의 시스템 보증을 향상시키는 것이다.

ABSTRACT

By exploiting the increasing surface attack of systems, cyber-attacks can cause catastrophic events, such as, remotely disable safety mechanisms. This means that in order to avoid hazards, safety and security need to be integrated, exchanging information, such as, key hazards/threats, risk evaluations, mechanisms used. This white paper describes some steps towards this integration by using models. We start by identifying some key technical challenges. Then we demonstrate how models, such as Goal Structured Notation (GSN) for safety and Attack Defense Trees (ADT) for security, can address these challenges. In particular, (1) we demonstrate how to extract in an automated fashion security relevant information from safety assessments by translating GSN-Models into ADTs; (2) We show how security results can impact the confidence of safety assessments; (3) We propose a collaborative development process where safety and security assessments are built by incrementally taking into account safety and security analysis; (4) We describe how to carry out trade-off analysis in an automated fashion, such as identifying when safety and security arguments contradict each other and how to solve such contradictions. We conclude pointing out that these are the first steps towards a wide range of techniques to support Safety and Security Engineering. As a white paper, we avoid being too technical, preferring to illustrate features by using examples and thus being more accessible.

연구 동기 및 목표

• 증가하는 공격 표면을 가진 상호 연결된 시스템에서 안전성과 보안을 통합하는 데 도전하는 문제를 해결하기 위해.
• 안전성 평가와 보안 평가 간의 상호 정보 교환을 가능하게 하여 안전성과 보안 공 ingeneering 간 격차를 메우기 위해.
• 안전성과 보안 사고를 공동으로 수립하고 점진적으로 개선할 수 있는 협업형, 점진적 개발 프로세스를 개발하기 위해.
• 안전성 요구사항과 보안 요구사항 간의 논리적 및 행동적 모순을 자동으로 탐지하기 위해.
• ISO 26262 및 SAE J3061과 같은 향후 인증 프로세스를 지원하기 위해 추적 가능하고 모델 기반의 안전성 및 보안 사고를 제공하기 위해.

제안 방법

• 안전성 평가에서 보안 관련 정보를 추출하기 위해 Goal Structured Notation(GSN) 모델을 공격 방어 트리(ADT)로 변환하기 위해.
• 안전성 요구사항과 보안 요구사항 간의 논리적 모순을 공식적으로 탐지하기 위해 Answer-Set Programming(ASP)을 사용하기 위해.
• 보안 평가 결과를 안전성 사례에 통합하기 위해 정량적 평가 기법을 적용하기 위해.
• GSN 노드에 도메인 특화 의미 체계를 정의하여 자동 모델 변환 및 일관성 검사를 가능하게 하기 위해.
• 안전성 및 보안 엔지니어가 각자의 모델링 기법을 사용하여 점진적으로 사고를 수립하고 개선하는 협업형 개발 프로세스 제안하기 위해.
• 논리 프로그래밍을 사용하여 시스템 인variant 및 제약 조건을 인코딩하여 일관성 검증 및 충돌 해결을 수행하기 위해.

실험 결과

연구 질문

• RQ1 어떻게 안전성 모델(GSN 등)을 자동으로 보안 모델(ADT 등)로 변환하여 안전성 평가에서 보안 관련 정보를 추출할 수 있는가?
• RQ2 보안 평가 결과는 안전성 사고에 대한 신뢰도에 어떤 방식으로 影響을 미치는가?
• RQ3 안전성 및 보안 엔지니어는 어떤 식으로 점진적이고 모델 기반의 프로세스를 통해 공동으로 안전성 및 보안 사례를 수립하고 개선할 수 있는가?
• RQ4 안전성 요구사항과 보안 요구사항 간의 논리적 모순을 탐지할 수 있는 자동화된 기법은 무엇인가?
• RQ5 모델 기반 공 ingeneering 환경에서 안전성과 보안 간의 트레이드오프 분석은 어떻게 공식화하고 지원할 수 있는가?

주요 결과

• GSN 모델에서 ADT로의 공식적인 매핑은 안전성 평가에서 보안 관련 정보를 자동으로 추출할 수 있도록 한다.
• Answer-Set Programming은 도어 잠금 요구사항과 화재 신호 조건 간의 논리적 모순을 성공적으로 탐지하여 충돌성 가정이 존재한다는 것을 확인했다.
• 모순 탐지는 단일 답변 집합에 충돌 조건이 포함된 논리 프로그램을 통해 달성되었으며, 이는 실현 가능성의 증거가 되었다.
• 모순를 해결하기 위해 화재 상태를 확인한 후 잠금을 허용하는 시스템 인variant를 추가함으로써 일관성이 복원되었다.
• 이 접근법은 자동 충돌 탐지를 지원하며, 시간 관련 또는 자원 기반 트레이드오프와 같은 다른 유형의 충돌에도 확장 가능하다.
• 프레임워크는 추적 가능하고 협업형 안전성 및 보안 사고를 가능하게 하며, 향후 ISO 26262 및 SAE J3061과 같은 인증 프로세스를 지원한다.