[논문 리뷰] SoK: Attacks on Industrial Control Logic and Formal Verification-Based Defenses

Ruimin Sun, Alejandro Mera외 2명|arXiv (Cornell University)|2020. 06. 09.

Security and Verification in Computing참고 문헌 79인용 수 4

한 줄 요약

이 논문은 산업 제어 논리 및 형식 검증 기반 방어 기법에 대한 공격을 체계화하며, 제어 논리 수정 공격이 암묵적 성질과 시스템 복잡성의 특성을 악용하여 탐지 회피를 위해 진화해왔음을 드러낸다. 형식 검증의 핵심 과제로 실시간 제약 조건, 수작업으로 생성되는 사양, 제조사별 종속성 등을 밝히고, 오픈소스 도구, 점진적 사양, 런타임 검증을 포함한 종단 간 방어 전략을 제안하여 안전성 초월 보안을 향상시킨다.

ABSTRACT

Programmable Logic Controllers (PLCs) play a critical role in the industrial control systems. Vulnerabilities in PLC programs might lead to attacks causing devastating consequences to the critical infrastructure, as shown in Stuxnet and similar attacks. In recent years, we have seen an exponential increase in vulnerabilities reported for PLC control logic. Looking back on past research, we found extensive studies explored control logic modification attacks, as well as formal verification-based security solutions. We performed systematization on these studies, and found attacks that can compromise a full chain of control and evade detection. However, the majority of the formal verification research investigated ad-hoc techniques targeting PLC programs. We discovered challenges in every aspect of formal verification, rising from (1) the ever-expanding attack surface from evolved system design, (2) the real-time constraint during the program execution, and (3) the barrier in security evaluation given proprietary and vendor-specific dependencies on different techniques. Based on the knowledge systematization, we provide a set of recommendations for future research directions, and we highlight the need of defending security issues besides safety issues.

연구 동기 및 목표

• 산업 제어 시스템(ICS)에서 탐지 회피를 위한 제어 논리 수정 공격의 진화와 영향을 이해하기 위해.
• PLC 프로그램에 기반한 기존 형식 검증 기반 방어 기법의 한계와 과제를 분석하기 위해.
• 사양 생성, 실시간 검증, 도구 가용성 등에서 현재 연구의 격차를 특정하기 위해.
• 통합적이고 종단 간 방어 전략을 제안하여 ICS의 무결성, 기밀성, 가용성 문제를 해결하기 위해.
• 오픈소스 도구, 제조사에 관계없는 벤치마크, 상호작용식 사양 정밀화를 통해 PLC 보안 연구의 평가 및 재현 가능성 향상을 위한 옹호를 위해.

제안 방법

• PLC 제어 논리 공격 및 형식 검증 기법에 관한 86개의 CVE와 97개의 논문을 대상으로 지식 체계화(SoK)를 수행하였다.
• 위협 모델, 보안 목표, 기반 취약점, 탐지 회피 기법, 방어 초점(예: 행동 모델링, 상태 축소, 사양 생성) 기반으로 연구를 분류하였다.
• 센서 입력, 엔지니어링 스테이션, 상호 PLC 통신 등 공격 표면을 분석하여 암묵적 성질을 통한 침투성 있는 회피 기법을 규명하였다.
• 형식 검증 접근법을 평가하며 수작업으로 안전성 성질 정의 및 제한된 테스트 케이스 커버리지 등 수작업적인 관행을 강조하였다.
• 식물 행동의 형식화, 점진적 사양 생성, 전용 보안 컴포onent을 갖춘 런타임 검증을 포함한 종단 간 보호 프레임워크를 제안하였다.
• IEC-61131-3 기준을 준수하는 오픈소스 도구의 도입과 평가를 위한 표준화된 PLC 보안 벤치마크 개발을 촉구하였다.

실험 결과

연구 질문

• RQ1 제어 논리 수정 공격은 전체 제어 체인을 손상시키고 탐지를 회피하기 위해 어떻게 진화해왔는가?
• RQ2 실시간 제약 조건 및 사양 생성과 관련하여 PLC 프로그램의 형식 검증에서 핵심 과제는 무엇인가?
• RQ3 대부분의 형식 검증 연구가 왜 수작업적인 방식을 유지하는가? 체계적이고 재사용 가능한 검증 기법의 도입을 저해하는 장애 요소는 무엇인가?
• RQ4 엔지니어링 스테이션의 취약성이 존재하는 상황에서 런타임 검증을 어떻게 실용적이고 안전하게 구현할 수 있는가?
• RQ5 오픈소스 도구와 표준화된 벤치마크는 어떻게 재현 가능하고 확장 가능한 PLC 보안 연구를 발전시키는 데 기여할 수 있는가?

주요 결과

• 제어 논리 수정 공격은 점점 더 정교해졌으며, 암묵적으로 규정된 성질을 악용하여 전체 제어 체인을 손상시키고 탐지를 회피할 수 있다.
• 형식 검증 연구는 여전히 대부분 수작업적인 방식을 유지하고 있으며, 고급 기법이 존재하는 바에도 불구하고 대부분의 연구가 수작업으로 안전성 성질을 정의하고 최소한의 테스트 케이스에 의존하고 있다.
• 진전을 저지르는 데 있어 주요 장벽은 오픈소스 도구와 표준화된 벤치마크의 부족으로, 이는 평가, 재현 가능성, 도구 통합을 어렵게 하고 있다.
• 런타임 검증은 실시간 제약 조건과 엔지니어링 스테이션의 취약성으로 인해 개발이 부족한 편이며, 보조 보안 컴포넌트(예: 런타임 중간에 삽입하는 솔루션)가 필요하다.
• 기존의 형식 검증 접근법은 주로 무결성에 집중하고 있으며, 기밀성과 가용성, 특히 다중 작업 및 이벤트 기반 PLC 프로그램에서는 다소 간과되고 있다.
• 점진적이고 자동화된 사양 생성은 여전히 다루어지지 않은 분야이며, 변화하는 ICS 환경에서의 확장성과 유지보수 가능성을 향상시킬 잠재력이 있다.