[논문 리뷰] Threat Analysis of Industrial Internet of Things Devices

Simon Liebl, Leah Lathrop외 3명|arXiv (Cornell University)|2024. 05. 25.

Smart Grid Security and Resilience참고 문헌 3인용 수 9

한 줄 요약

본 논문은 IIoT 기기 위협을 분석하고, 위협 소스를 순위화하며, 일반적인 취약점을 설명하고, 산업 맥락에서 저전력 IIoT 기기에 맞춘 구조화된 위협 분석 절차를 제안한다.

ABSTRACT

As part of the Internet of Things, industrial devices are now also connected to cloud services. However, the connection to the Internet increases the risks for Industrial Control Systems. Therefore, a threat analysis is essential for these devices. In this paper, we examine Industrial Internet of Things devices, identify and rank different sources of threats and describe common threats and vulnerabilities. Finally, we recommend a procedure to carry out a threat analysis on these devices.

연구 동기 및 목표

• IoT, IIoT, OT 및 ICS의 차이를 명확히 하고 산업 맥락에서 IIoT 사용을 설명합니다.
• IIoT 기기에 관련된 위협 소스와 공격자 동기를 식별하고 분류합니다.
• IIoT 기기에 영향을 미치는 일반적인 위협과 취약점을 요약하고 이들이 OT 및 ICS에 미치는 영향을 설명합니다.
• IIoT 기기에 대한 위협 분석을 수행하기 위한 위험 평가를 포함한 단계별 절차를 제안합니다.
• defense-in-depth 및 아키텍처 선택이 산업 환경에서 IIoT 보안에 어떤 영향을 미치는지 강조합니다.

제안 방법

• 위협 소스를 표적화의 임의성 및 공격자 역량에 따라 분류합니다.
• IIoT 기기에 영향을 미치는 일반적인 위협과 취약점을 설명하고 분류합니다(예: 남용, DoS, 정보유출 등).
• 잠재적 손상 경로를 보여주기 위해 기기 인터페이스 영역과 공격 벡터를 제시합니다.
• 자산 식별 및 CVSS 기반 위험 평가를 포함한 IIoT 기기에 대한 구조화된 6단계 위협 분석 절차를 제공합니다.

실험 결과

연구 질문

• RQ1 산업 현장에서 IIoT 기기의 주요 위협 소스와 공격자 동기는 무엇인가?
• RQ2 IIoT 기기가 직면한 일반적인 위협과 취약점은 무엇이며 이것이 OT/ICS 환경에 어떤 영향을 미치는가?
• RQ3 조직이 IIoT 기기에 대해 효과적인 위협 분석을 수행하기 위해 따라야 할 실용적 절차는 무엇인가?
• RQ4 IIoT 아키텍처와 클라우드 연결 설정이 위협 표면 및 보안 고려사항에 어떻게 영향을 미치는가?

주요 결과

• 위협 소스에는 정부 후원 해커, 조직범죄, 맬웨어, 내부자 위협 및 해크타비즘이 포함되며, 특히 중요한 인프라에 대한 위험은 정부 후원 actors가 더 심각하다고 여겨진다.
• 일반적인 위협과 취약점으로 남용, 서비스 거부, 파괴, 스파이 활동, 지식재산권 도난, 잘못된 구성, 물리적 조작, 권한 상승, 부인 및 웹 기반 취약점 등이 있다.
• 공격 벡터는 기기 구역(하드웨어, 소프트웨어, 인터페이스) 전반에 걸쳐 구성되어 물리적, 펌웨어, 네트워크 및 응용 계층의 경로를 강조한다.
• OT/ICS의 IIoT 기기는 물리적 프로세스 제어 및 안전에 관한 영향으로 인해 더 높은 위험을 제시하므로 defense-in-depth와 신중한 위험 평가가 필요하다.
• 장치 프로 파일링, 네트워크 다이어그램 작성, 자산 식별, 위협 소스 식별, 위협/취약점 식별 및 CVSS 기반 위험 평가를 포함한 6단계 위협 분석 절차를 권고한다.