[논문 리뷰] Passive Fingerprinting of SCADA in Critical Infrastructure Network without Deep Packet Inspection

Seil Jeon, Jeong-Han Yun외 2명|arXiv (Cornell University)|2016. 08. 27.

Smart Grid Security and Resilience참고 문헌 7인용 수 5

한 줄 요약

이 논문은 딥 패킷 인spect(Deep Packet Inspection, DPI)를 사용하지 않고, 통신 주기성, 내구성, 장치 연결 패턴과 같은 내재된 네트워크 특성을 활용하여 핵심 인프라 네트워크 내 SCADA 현장 장치 및 마스터 서버를 식별하는 새로운 피사스팅 기법을 제안한다. 이 방법은 실제 네트워크 트레이스에서 SCADA 구성요소를 식별할 때 거의 완벽한 F-스코어(~1.0)를 달성하였으며, 보조 HMI를 제외한 모든 요소에서 높은 실용성을 입증하여 SCADA 환경에서 자산 탐지 및 보안 강화에 기여한다.

ABSTRACT

We present the first technique of passive fingerprinting for Supervisory Control And Data Acquisition (SCADA) networks without Deep Packet Inspection (DPI) and experience on real environment. Unlike existing work, our method does not rely on the functions of a specific product or DPI of the SCADA protocol. Our inference method, which is based on the intrinsic characteristics of SCADA, first identifies the network port used for the SCADA protocol, then consecutively infers the field devices and master server. We evaluated the effectiveness of our method using two network traces collected from a real environment for a month and a half, three days from different CI respectively. This confirmed the ability of our method to capture most of the SCADA with high F-score nearly 1, except for HMIs connected to master server, and demonstrated the practical applicability of the method.

연구 동기 및 목표

• 관리자가 배치된 장치에 대한 최신 또는 정확한 정보를 확보하지 못하는 상황에서 SCADA 네트워크 내 정확한 자산 탐지의 필수적 필요성을 해결한다.
• DPI나 제조사별 프로토콜 분석에 의존하는 기존 피사스팅 방법의 한계를 극복하며, 특수 프로토콜을 사용하는 이질적이고 노후된 SCADA 환경에서 비가능한 기술적 제약을 해결한다.
• 네트워크 트래픽 트레이스를 네트워크 탭핑 또는 미러링을 통해 수집함으로써, 프로토콜 계층 분석 없이도 수동적이고 비파괴적인 방식으로 SCADA 구성요소—현장 장치, 마스터 서버, HMI—를 식별할 수 있도록 한다.
• 장애 복구 및 보안 모니터링을 지원하기 위해 운영을 방해하지 않고도 일반적이고 제조사에 종속되지 않는 방식으로 SCADA 네트워크 구조도를 매핑할 수 있는 방법을 제공한다.
• 총 약 3.3TB의 데이터를 1.5개월 동안 수집한 두 개의 실제 SCADA 네트워크 트레이스를 대상으로 평가를 통해 실용적 적용 가능성을 입증한다.

제안 방법

• 통신 주기성, 통신 내구성, 장치 복잡도 격차, 서비스 인기도, 세그먼트 크기의 다섯 가지 특징을 기반으로 한 랭킹 함수를 사용하여 SCADA 전용 네트워크 포트를 식별한다.
• 프로토콜 수준의 분석이나 DPI가 필요 없이도 제조사에 종속되지 않는 운영을 보장하기 위해 다중 특징 점수 모델을 적용하여 잠재적 SCADA 포트를 랭킹한다.
• 접속도 및 통신량 패턴과 같은 위상적 특징을 기반으로 SCADA 장치(현장 장치 및 마스터 서버)를 추론한다.
• 세 층 구조의 SCADA 아키텍처를 가정할 때, 마스터 서버에서 가장 높은 통신량을 가지는 장치를 선택하기 위해 복합 지표 $Qty_{ft_i} = n_{ft_i} \times SegSize_{ft_i}$ 를 사용하여 HMI를 식별한다.
• 고성능 시스템에서 자바 기반 구현을 통해 네트워크 트레이스를 처리하며, 처리 시간이 비선형적으로 증가하여 2.9TB 트레이스의 10% 미만을 처리할 경우 2시간 이내에 완료된다.
• 네트워크 탭핑 또는 스위치 미러링을 활용하여 트래픽을 수동으로 수집함으로써, 계산 능력이 제한된 노후된 SCADA 장치에 영향을 주지 않도록 한다.

실험 결과

연구 질문

• RQ1 딥 패킷 인spect나 제조사별 프로토콜 지식에 의존하지 않고도 실제 핵심 인프라 네트워크에서 SCADA 장치를 정확하게 식별할 수 있는가?
• RQ2 이질적이고 다수의 제조사가 참여한 환경에서 SCADA 트래픽과 비-SCADA 트래픽을 신뢰성 있게 구분할 수 있는 내재된 네트워크 특성은 무엇인가?
• RQ3 오직 네트워크 트레이스 메타데이터와 통신 패턴만을 사용할 때, 수동 피사스팅 기법이 현장 장치 및 마스터 서버를 얼마나 잘 탐지할 수 있는가?
• RQ4 사전에 3층 SCADA 아키텍처에 대한 지식이 있을 경우, 이 방법이 HMI를 얼마나 효과적으로 식별할 수 있는가?
• RQ5 성능 저하 없이 대규모 실세계 SCADA 네트워크 트레이스에 이 방법을 적용하는 데 있어 계산적 타당성은 어느 정도인가?

주요 결과

• 제안된 방법은 실제 네트워크 트레이스에서 SCADA 현장 장치 및 마스터 서버를 식별할 때 거의 완벽한 F-스코어(~1.0)를 달성하여 정밀도와 재현율이 모두 뛰어나다는 것을 입증하였다.
• 3층 SCADA 아키텍처에서 마스터 서버에서 가장 높은 $Qty_{ft_i}$ 값을 가지는 장치를 선택함으로써 HMI를 성공적으로 식별하였으며, 이 값은 $7.55 \times 10^{13}$ 으로, 백업 서버($5.12 \times 10^{12}$) 및 현장 장치($1.76 \times 10^{12}$)보다 높은 성능을 보였다.
• 전체 2.9TB 트레이스 처리 시간은 약 11시간이었지만, 데이터의 10%만 처리할 경우 2시간 이내로 감소하여 확장성을 입증하였다.
• 여러 개의 HMI가 존재하는 환경에서는 보조 HMI를 탐지하지 못하는 것으로 나타나, 다중 HMI 환경에서의 한계점을 보였다.
• 약 2.5일 동안 수집된 데이터의 6%만으로도 SCADA 구성요소를 식별할 수 있었으며, 이는 소규모 대표 샘플로도 정확한 결과를 도출할 수 있음을 시사한다.
• 일부 SCADA 트래픽에서 낮은 주기성에도 불구하고 이 기법은 효과를 유지하지만, 이는 네트워크 수준의 노이즈나 DPI-무료 프로토콜 분류의 한계 때문일 수 있다.