[논문 리뷰] Security in Process: Visually Supported Triage Analysis in Industrial Process Data

Anna‐Pia Lohfink, Simon D. Duque Antón외 3명|arXiv (Cornell University)|2019. 12. 10.

Network Security and Intrusion Detection참고 문헌 26인용 수 25

한 줄 요약

이 논문은 산업 센서 데이터의 나선형 플롯과 이상 탐지 결과를 결합하여 운영 기술(OT) 네트워크에서 진단 분석을 지원하는 새로운 시각화 시스템을 제시한다. 센서 읽기 값을 색상으로, 이상 점수를 선 두께로 표현함으로써 전문가와 비전문가 모두가 실제 물 처리 공정에서 사이버 공격를 신속하게 식별하고 조사할 수 있도록 하여 기존의 시계열 시각화 방식에 비해 사용성과 효과성을 크게 향상시킨다.

ABSTRACT

Operation technology networks, i.e. hard- and software used for monitoring and controlling physical/industrial processes, have been considered immune to cyber attacks for a long time. A recent increase of attacks in these networks proves this assumption wrong. Several technical constraints lead to approaches to detect attacks on industrial processes using available sensor data. This setting differs fundamentally from anomaly detection in IT-network traffic and requires new visualization approaches adapted to the common periodical behavior in OT-network data. We present a tailored visualization system that utilizes inherent features of measurements from industrial processes to full capacity to provide insight into the data and support triage analysis by laymen and experts. The novel combination of spiral plots with results from anomaly detection was implemented in an interactive system. The capabilities of our system are demonstrated using sensor and actuator data from a real-world water treatment process with introduced attacks. Exemplary analysis strategies are presented. Finally, we evaluate effectiveness and usability of our system and perform an expert evaluation.

연구 동기 및 목표

• 기존에 보안이 확보된 것으로 여겨졌지만 최근 사이버 공격에 취약해지는 산업 OT 네트워크의 문제를 해결하기 위해.
• 전용 사이버 보안 인력이 없는 OT 환경에서의 진단 분석을 지원하기 위해.
• 산업 센서 데이터의 고유한 주기적 패턴을 활용하여 잠재적 공격를 나타내는 이상을 탐지하기 위해.
• 비전문가에게도 직관적인 동시에 보안 전문가가 실질적인 통찰을 얻을 수 있도록 시각화 시스템을 설계하기 위해.
• 전문가 및 일반 사용자 대상의 사용자 연구를 통해 시스템의 효과성과 사용성을 평가하기 위해.

제안 방법

• 시스템은 시계열 센서 및 액추에이터 데이터를 나선형 플롯으로 시각화하며, 색상 인코딩을 통해 측정 값을 표현한다.
• 이상 탐지 결과는 선 두께로 표현되며, 두꺼운 선은 높은 이상 점수를 나타낸다.
• 시각화는 전체 데이터 시간선을 탐색할 수 있는 시간 슬라이더를 포함하며, 감지된 이상은 별도의 색상과 아이콘으로 강조 표시된다.
• 사용자는 전체 데이터셋 또는 현재 시간 창에 기반하여 콜러맵 경계를 조정할 수 있어 장기적 분석과 국소적 분석을 모두 지원한다.
• 시스템은 스며들기 기반의 상호작용을 지원하며, 특정 센서를 강조하거나 프로세스 동적 특성에 맞게 나선형 플롯의 주기를 조정할 수 있다.
• 구현은 브라우저 기반으로 이루어져 운영 단위에 쉽게 배포할 수 있으며, 향후 협업, 주석 달기, 지식 공유 기능도 지원할 수 있다.

실험 결과

연구 질문

• RQ1 나선형 플롯과 이상 탐지의 통합 시각화 시스템이 OT 네트워크에서 진단 분석을 효과적으로 지원할 수 있는가?
• RQ2 이 시스템을 사용할 때 비전문가가 기존의 시계열 시각화 방식에 비해 기본적인 진단 작업을 얼마나 잘 수행할 수 있는가?
• RQ3 이상 강조 및 주기적 행동 시각화 기능이 탐지 정확도를 향상시키고 임의의 이상을 줄이는 데 얼마나 기여하는가?
• RQ4 다른 시간 창이나 센서 그룹 간 이상을 비교 분석하는 데 시스템이 어떻게 기여하는가?
• RQ5 사용자 상호작용(예: 시간 창 및 콜러맵 경계 조정)이 통찰 발견을 향상시키는 데 어떤 역할을 하는가?

주요 결과

• 이 시스템은 진단 분석의 효과성과 사용성을 크게 향상시켰으며, 전문가와 비전문가 모두가 실제 OT 데이터에서 이상을 성공적으로 식별하고 설명할 수 있었다.
• 일반 사용자들도 보안 교육을 최소한으로 받은 상태에서도 이상 탐지 및 해석과 같은 기본적인 진단 작업을 수행할 수 있었으며, 이는 시스템의 접근성과 높은 수준의 사용자 우호성을 입증한다.
• 나선형 플롯과 이상 탐지의 조합은 정상 행동, 이상, 주기적 패턴을 명확히 시각적으로 구분할 수 있게 하여 더 빠르고 정확한 의사결정을 가능하게 했다.
• 현재 시간 창에 맞춰 콜러맵 경계를 조정하는 것이 국소 이상을 식별하고, 특히 장기적 추세가 있는 데이터에서 임의의 이상을 줄이는 데 핵심적인 역할을 했다.
• 동적 주기 조정 및 이상 강조 등의 상호작용 기능은 사용자 이해도 향상과 분석에 대한 자신감 향상에 기여했다.
• 전문가 평가를 통해 시스템의 견고성과 실용성이 확인되었으며, 참여자들은 전용 사이버 보안 팀이 없는 산업 현장에 시스템을 도입할 잠재력이 크다고 강조했다.