KR101880162B1

KR101880162B1 - 자동제어시스템 내 제어신호 분석을 이용한 제어신호 무결성 검증 방법

Info

Publication number: KR101880162B1
Application number: KR1020150190868A
Authority: KR
Inventors: 이진흥
Original assignee: 다운정보통신(주)
Priority date: 2015-12-31
Filing date: 2015-12-31
Publication date: 2018-08-16
Also published as: KR20170079858A

Abstract

본 발명은 산업시설에서 운용되는 제어시스템에 있어 제어신호를 오작동시키는 다양한 사이버 공격에 대하여 제어신호의 무결성을 검증하기 위한 것으로, 제어장치를 동작시키기 위하여 전송되는 제어신호를 수집하는 수집부와 수집된 정보를 분석하고 처리하는 신호처리부와, 기 저장된 이상신호와 연관관계를 분석하여 이상신호를 탐지하는 탐지부를 포함한다.

Description

자동제어시스템 내 제어신호 분석을 이용한 제어신호 무결성 검증 방법{Method for Control Signals Verifying Integrity Using Control Signals Analysis in Automatic Control System}

본 발명은 산업시설의 제어신호에 대한 무결성을 검증하는 것으로, 더욱 상세하게는 제어시스템의 운용 서버 또는 사용자 컴퓨터에서 전송되는 제어신호들을 수집하고, 수집된 제어신호들이 정상적인 동작신호인지 바이러스 등에 의한 비정상적으로 변경된 신호인지 탐지하여 제어시스템의 비정상적인 동작을 예방하는 방법에 관한 것이다.

기존의 자동제어시스템을 대상으로 하는 정보보호 기술은 단순히 네트워크 기반의 방화벽 또는 모드버스(MODBUS) 등과 같은 산업용 자동제어 전용 통신 프로토콜을 대상으로 하는 필터링 및 이상징후 탐지를 수행하는 방법으로 개발되었다.

대한민국 등록특허 제10-1538927호에는 PLC 내부에서 자동으로 서브키를 생성하고, 내부의 암호화기에 의해 서브키를 이용하여 제어신호 변수 값을 암호화하는 방법으로 외부로부터 제어신호와 관련된 변수 값의 노출을 막고 있다. 그러나 최근의 공격 유형처럼 자동제어시스템 내부의 사용자 컴퓨터를 감염시켜 정상신호와 동일한 조건으로 자동제어 장치를 오동작시키는 신호를 보내는 공격으로부터의 대응은 불가능하다.

또한, 대한민국 공개특허 10-2013-0071138호에는 자동제어 신호를 전송하는데 이용되는 MODBUS 프로토콜에 포함되는 근원지 주소 및 포트 번호, 목적지 주소 및 포트 번호, 각각의 MAC 어드레스 등을 이용하여 접근제어 필터 규칙에 의한 부정 접근을 방지하는 기술을 설명하고 있다. 그러나 이러한 장치 및 방법은 적용된 프로토콜 이외의 새로운 프로토콜을 사용하는 시스템에서는 적용하지 못하며, 각 프로토콜 별로 접근제어 방법을 새롭게 적용하여 하는 불편함을 가지고 있다.

이외에도, 제어시스템을 대상으로 하는 침입탐지 및 분석 기술은 주로 TCP 상에서 MODBUS 프로토콜과 DNP3 프로토콜을 대상으로 한 탐지 기술이 일반적이며, Ethernet/IP, BACnet(빌딩제어시스템), IEC61850(전력제어시스템)등 특정 통신 프로토콜을 대상으로 하는 제어시스템의 보안과 관련된 연구가 주로 진행되고 있다. 게다가, 보안시스템이 적용되지 않은 채로 운용되고 있는 기존의 제어시스템에 대하여 새롭게 보안시스템을 적용하는 방법으로는 적합하지 않으며, 새롭게 설치되는 제어시스템을 대상으로 한 보안 기술 개발에 그치고 있다.

따라서, 특정 프로토콜을 대상으로 하거나, 새롭게 설치되는 자동제어시스템에서만 적용 가능한 보안 시스템이 아니라 범용적으로 설치, 사용하여 자동제어 시스템을 안전하게 보호할 수 있는 기술이 요구되고 있다.

대한민국 등록특허 10-1538927호에는 PLC 데이터 관리 시스템 및 관리 방법에 대한 기술이 기재되어 있다. 대한민국 공개특허 10-2013-0071138호에는 산업제어 시스템의 부정 접근을 방지하기 위한 장치 및 그 방법에 대한 기술이 기재되어 있다. 대한민국 등록특허 10-1538709호에는 산업제어 네트워크를 위한 비정상 행위 탐지 시스템 및 방법에 대한 기술이 기재되어 있다. 대한민국 등록특허 10-1360591호에는 화이트리스틀 이용한 네트워크 감시 장치 및 방법에 대한 기술이 기재되어 있다. 대한민국 공개특허 10-2014-0118494호에는 제어 시스템의 이상 징후 탐지 장치 및 방법에 대한 기술이 기재되어 있다. 대한민국 공개특허 10-2014-0117753호에는 제어시스템 프로토콜 상의 비정상 트래픽 탐지 방법에 대한 기술이 기재되어 있다.

본 발명이 해결하고자 하는 기술적 과제는 자동제어를 위한 특정 프로토콜 기반에서 침입을 탐지하는 방법으로는 내부에서 일어나는 부정 조작에 의한 공격을 방지하기가 어렵다는 문제점을 해결하고, 다양한 프로토콜 적용을 위해서 새로운 기술을 적용해야 하는 불편함을 해소하고, 프로토콜 상에서 내부 시스템의 오작동으로 인한 잘못된 제어 신호를 탐지하기 어려운 한계를 극복하고자 한다.

나아가, 본 발명은 제어시스템 내의 운용 시스템 손상으로 인한 내부 신호 오작동 처리를 확인하고 인지하여 바이러스 등으로 인한 내부 시스템 손상에 의한 공격을 예방하고, 이상징후 탐지를 위해 다양한 프로토콜 기반의 보안시스템을 구비하여야만 하는 경제적 어려움을 해결하고자 한다.

상기 기술적 과제를 해결하기 위하여, 본 발명의 일 실시예에 따른 네트워크에서 적어도 하나 이상의 프로세서를 구비한 무결성 검증 장치가 상기 네트워크의 잘못된 제어신호를 탐지하는 방법은, 정상 상태에서 상기 네트워크 상에 송수신되는 제어신호를 수집하고, 이를 화이트리스트로 등록하는 단계(200); 상기 네트워크에서 송수신되는 제어신호를 수집하고, 수집된 제어신호가 화이트리스트 DB(510)에 등록된 제어신호와 비교, 분석하여 제어신호의 유사성을 측정하는 단계(300); 상기 측정된 유사성으로부터 제어신호 별로 설정된 임계값을 적용하여 이상 제어신호 여부를 판단하는 단계(400)를 포함한다.

상기 화이트리스트에 정상 제어신호를 등록하는 단계(200)는, 상기 정상 상태에서 일정 사용 기간 동안 시스템을 운용하면서 정상적으로 동작되는 제어신호를 수집하는 수집부(100); 및 상기 수집된 제어신호를 각 오차범위 내에서 분류하고 각 제어신호의 특징을 추출하여 기존의 화이트리스트 DB에 해당 특징 제어신호가 존재하는지 확인하는 전기신호 확인부(210); 및 상기 화이트리스트 DB(510)에 확인된 제어신호가 존재하지 않을 경우, 상기 신호의 특징 값들을 화이트리스트에 신규로 등록하는 전기신호 등록부(220); 를 포함한다.

상기 제어신호의 유사성을 측정하는 단계(300)는, 상기 일반 상태에서 제어시스템 내부에서 수집부로터 인가된 상기 제어신호들을 아날로그 신호의 특징 값들로 분류하는 특징 추출부(310); 및 상기 제어신호루부터 추출된 특징 값과 상기 화이트리스트 DB(510)에 등록되어있는 특징 값들을 각각 해당되는 오차 범위 내에서 동일한 신호가 있는지 검사하는 화이트리스트 검사부(320); 운용시스템 또는 운용자에게 등록 여부를 확인하는 등록 확인부(330)를 포함하는 것을 특징으로 한다.

또한, 상기된 제어신호의 유사성을 측정하는 단계(300)에서, 화이트리스트에 등록되지 않은 새로운 제어신호의 특징 값들이 발견되었을 경우, 상기 수집된 제어신호의 특징 값들을 운용시스템 및 운용자에게 알려주고, 이로부터 새롭게 화이트리스트에 등록하는 등록 확인부(330)를 포함한다.

상기 이상 제어신호를 판단하는 단계(400)는, 상기 화이트리스트 검사부로부터 등록된 화이트리스트 DB(510)의 신호와 오차 범위 내에서 동일한 신호를 검사하는 검사부로부터 오차 범위를 벗어난 제어신호를 전달받아, 제어신호의 종류, 신호 특징 값, 제어 대상 등의 정보를 받아 정상적인 제어신호인지 비정상적인 제어신호인지 판단하는 무결성 판별부(410); 및 비정상적인 제어신호일 경우, 비정상 신호의 유입을 운용 시스템 및 운용자에게 알리는 비정상신호 알람부(420); 유입된 비정상 신호를 등록하고 관리하는 비정상신호 로그 DB(520); 를 포함하는 것을 특징으로 한다.

본 발명의 자동제어시스템을 위한 제어신호 무결성 검증 방법은 자동제어 시스템을 구성하고 있는 제어장치를 동작시키기 위해 전달되는 제어신호를 미리 분석하여 특징 값들을 추출하여 사전에 등록시키거나 사용 중에 새로운 제어신호에 대한 선택적 등록시키는 과정을 통해 화이트리스트를 생성 또는 갱신하고, 이후 일반 운용 환경에서 전송되는 모든 제어신호의 아날로그 및 디지털 특징 값들을 추출하여 비교함으로써 외부에서 악의적인 공격에 의한 이상신호 및 바이러스 등 내부 시스템의 공격으로 인한 내부자에 의한 비정상 신호를 탐지함으로써, 비정상 행위에 대한 안전한 제어시스템을 구성하고, 비정상 신호에 의한 공격으로부터 안전성 및 신뢰도를 확보할 수 있다.

도1 은 본 발명의 일실시예에 따른 네트워크에서 적어도 하나 이상의 프로세서를 구비한 검증 장치가 상기 네트워크의 제어신호의 무결성을 검증하는 방법을 도시한 흐름도이다.

이하 본 발명의 바람직한 실시 예에 대해 보다 상세히 설명하도록 한다.

본 발명의 특징 및 이점들은 첨부된 도면에 의거한 다음의 바람직한 실시예에 대한 상세한 설명으로 더욱 명백해질 것이다.

이에 앞서, 본 명세서 및 청구범위에 사용된 용어나 단어는 발명자가 그 자신의 발명을 가장 최선의 방법으로 설명하기 위해 용어의 개념을 적절하게 정의할 수 있다는 원칙에 입각하여 본 발명의 기술적 사상에 부합되는 의미와 개념으로 해석되어야만 한다.

또한, 하기 설명에서 구체적인 소프트웨어적 방법 등과 같은 특정 사항들 없이도, 본 발명이 실시될 수 있음은 이 기술분야에서 통상의 지식을 가진 자에게는 자명하다 할 것이다.

도1 은 발명의 실시 예에 따른 자동제어 시스템을 구성하는 네트워크 상의 제어신호의 무결성을 검증하는 방법을 도시하는 기능 블록도이다.

첨부된 도면을 참조하면, 본 발명의 자동제어시스템 내 제어신호 분석을 이용한 제어신호 무결성 검증 방법은, 제어시스템 내 제어장치를 동작시키기 위한 전기적 제어신호를 수집하는 전기신호 수집부(110)와, 상기 수집된 제어신호를 정상 상태에서의 제어신호 수집인지, 일반 상태에서의 제어신호 수집인지 확인하여 해당 처리 루틴으로 제어신호를 넘겨주는 운용모드 확인부(120)와, 정상 상태의 제어신호 수집인 경우, 전기신호 수집부(110)에서 획득한 제어신호를 각 제어 동작 형태에 따라 전기신호의 특징 값들을 분석하는 전기신호 확인부(210)와, 상기에서 분석된 전기신호의 특징 값들을 해당 화이트리스트 DB(510)에 등록하는 전기신호 등록부(220)와, 상기 운용모드 확인부(120)에서 일반 상태의 제어신호 수집인 경우, 전기신호 수집부(110)에서 획득한 어떤 유형의 공격이 포함되어있을 가능성이 있는 제어신호를 분석하여 그 특징 값을 추출하는 특징 추출부(310)와, 상기 추출된 특징 값들이 기 등록된 화이트리스트 내의 특징 값과 비교하여 정상 신호와 각각의 제어 장치 동작의 오차 범위 내의 신호인지 검사하는 화이트리스트 검사부(320)와, 상기 화이트리스트 검사부(320)에서 제어신호의 특징 값들이 오차 범위 내의 값을 가지면서 기 화이트리스트 DB(510)에 저장되지 않은 새로운 제어신호의 특징 값일 경우, 운용 시스템 또는 운용자에 의해 새로운 정상 제어신호인지 확인하고, 이를 화이트리스트에 저장시키는 등록 확인부(330)와, 상기 검사부(320)에서 오차 범위를 벗어난 제어 신호 또는 새로운 공격으로 간주되는 제어신호를 검사, 이를 공격에 의한 비정상 제어신호로 판별하는 무결성 판별부(410)와, 상기 무결성 판별부(410)에서 판별된 비정상 제어신호를 제어시스템의 운용 시스템 또는 운용자에게 알려주고, 비정상신호 로그를 기록하는 비정상신호 알람부(420)를 포함하여 구성된다.

하기에서는 상술한 본 발명의 전체적인 시스템 구성을 바탕으로 각 구성의 유기적인 기능과 시스템의 원리에 대해 상세히 설명하도록 한다.

상기 전기신호 수집부(110)는 PLC 장치 뒤에 위치하고, 상기 자동제어시스템에서 제어장치를 동작시키기 위하여 PLC에 의해 해당 제어장치로 보내지는 전기적 신호를 수집하며, 수집된 전기적 신호를 이후 정상적인 제어신호인지 비정상적인 제어신호인지 분석하기 위한 정보로 사용할 수 있도록 제공한다.

상기 운용모드 확인부(120)는 상기 수신된 제어신호의 무결성을 검증하기 위해 사용될 화이트리스트를 생성하기 위한 동작을 수행한다. 여기서 운용모드는 정상상태와 운용상태로 구분하며, 정상상태는 외부의 비정상적인 접속을 차단한 상태에서 상기 제어시스템의 시범 운영 중에 이루어지며, 이때 상기 전기신호 수집부(110)에서 획득한 제어신호는 모두 정상신호로 구분할 수 있으며, 이를 최종적으로 운용시스템 또는 운용자가 확인하고 정산신호로 화이트리스트 DB(510)에 추가할 수 있다. 그러나, 운용상태는 일반적인 제어장치를 동작시키는 환경으로, 외부의 비정상적인 접속 또는 바이러스 등으로 인한 비정상적인 신호가 포함될 수 있는 동작 환경이며, 이때 상기 전기신호 수집부(110)에서 획득한 제어신호는 정상신호와 비정상신호가 혼합된 신호로 구분할 수 있으며, 상기 제어신호의 무결성 검증을 위하여 항상 무결성 판별부(410)를 거쳐, 상기 제어신호의 무결성을 확인하고 처리되어야 하며, 화이트리스트에 등록되지 않은 신호가 발생했을 경우, 운용시스템 또는 운용자에게 새로운 신호의 전송을 알리고, 확인절차 이후에 안전한 신호로 판별되면, 해당 신호를 화이트리스트 DB(510)에 새로운 정상신호로 등록될 수 있다.

상기 전기신호 확인부(210)는 상기 운용모드 확인부(120)에서 정상상태 운용모드일 경우 동작되며, 상기 제어신호 수집부에서 획득한 제어신호를 화이트리스트에 등록시키기 위하여 수행되며, 화이트리스트에 등록될 전기신호의 특징 값들을 추출하는 단계이다. 이때, 제어장치를 동작시키기 위하여 수집된 정상신호는 해당 제어장치의 특성에 따라 디지털 신호 또는 아날로그 신호로 수신될 수 있으며, 디지털 신호로 수신될 경우, 디지털 신호 값을 추출하고, 아날로그 신호로 제어장치에 전송될 경우, 아날로그 신호의 전압 또는 전류의 값들을 추출하여 해당 신호의 특징 값으로 사용된다. 달리 말하면, 상기 수집된 제어신호는 아날로그 또는 디지털로 제어장치를 직접적으로 동작시키기 위한 명령값을 포함하는 제어신호로서, 특정 프로토콜에 의해 패키징 된 데이터가 아니라 제어장치의 On/OFF와 관련된 신호 값을 갖는다. 상기 전기신호 확인부(210)에서 추출된 특징 값은 수신되어 동작될 제어장치와 연결되어 화이트리스트에 해당 제어장치의 정상신호로 사용되며, 그 특징 값에서 해당 제어장치가 가지고 있는 동작 신호의 오차 범위 정보를 함께 가지고 있다. 이러한 정보를 이용하여 이후 운용상태에서 수신된 제어신호의 정상신호를 판단하는 기준이 될 수 있다.

상기 전기신호 등록부(220)는 상기 전기신호 확인부(210)로부터 전달받은 제어신호의 특징 값들을 화이트리스트 DB(510)에 등록하게 된다. 여기서 등록되는 정보들은 모두 정상신호에 대한 정보들이며, 그 값들은 신호의 유형, 제어장치의 식별자 또는 주소(IP), 제어신호로부터 추출된 특징 값 등으로 구성된다. 다시 말해,상기 제어신호의 특징 값에 대한 정보는, 상기 제어장치에 동작 명령를 내리는 사용자 및 운용 시스템에 부여되는 고유 식별자(User ID, IP) 정보, 제어장치에 대한 동작 이벤트 정보(신호유형, 아날로그 신호 값, 제어장치 식별자(고유 ID)), 제어장치에 대한 오차범위를 포함한다.

상기 특징 추출부(310)는 상기 운용모드 확인부(120)에서 운용상태 운용모드일 경우 동작되며, 상기 전기신호 수집부(110)에서 획득한 제어신호를 화이트리스트 DB(510)에 등록된 정상신호와 비교, 분석하기 위하여 상기 전기신호 수집부(110)에서 수집된 운용상태의 제어신호를 판별하기 위한 특징 값들을 추출한다.

상기 화이트리스트 검사부(320)는 상기 특징 추출부(310)에서 추출된 제어신호의 특징 값들을 화이트리스트 DB(510)에 등록되어있는 정상신호의 특징 값과 비교하여, 해당 제어장치의 오차범위 내에 존재하는 신호인지, 오차범위를 벗어난 신호인지 확인한다. 만일 화이트리스트에 등록되지 않은 새로운 신호일 경우, 해당 신호의 확인을 위하여 등록 확인부(330)를 수행하고, 화이트리스트에 등록된 신호일 경우, 무결성 판별부(410)를 수행하여 해당 신호의 정상, 비정상을 판단한다.

상기 등록 확인부(330)는 운용상태에서 수신된 새로운 신호가 수신되면, 이를 정상신호인지 비정상신호인지를 운영시스템 또는 운영자가 판단하도록 동작되며, 정상신호로 판단되었을 경우, 신호의 유형, 제어장치의 식별자 또는 주소(IP), 제어신호로부터 추출된 특징 값, 운영상태에서 추가된 신호임을 알리는 식별자 등을 상기 화이트리스트 DB(510)에 등록한다.

상기 무결성 판별부(410)는 상기 제어신호의 무결성을 검증하기 위하여 동작되며, 상기 화이트리스트 검사부(320)로부터 전달받은 제어신호와 화이트리스트 DB(510)의 정상신호의 특징 값들을 대상으로 전기신호의 유사도를 검사한다. 이때, 제어장치 별로 상이한 하드웨어 동작 신호의 허용 오차범위를 이용하여 오차범위 내에서의 제어신호 유사도를 검사하고, 오차범위 내에 포함된 신호는 정상신호로 제어장치로 신호를 전달하며, 오차범위를 벗어나는 신호는 비정상신호로서 제어장치를 비정상적으로 동작시키려는 행위로 판단하여 해당 제어장치로 제어신호를 전송하지 않고, 다음 단계의 비정상신호 알람부(420)로 전달하여 처리한다.

상기 비정상신호 알람부(420)는 화이트리스트 기반의 무결성 검증을 통하여 비정상신호로 판별된 제어신호의 정보를 운영시스템 또는 운영자에게 알려주고, 기록한다. 기록되는 비정상신호의 정보는 명령 전송자(내부 사용자의 식별자 또는 주소) 정보, 제어장치 정보, 통신 유형(아날로그 또는 디지털), 제어신호의 특징 값, 시간 정보 등 비정상신호를 식별하는 정보를 화면으로 나타내고, 또한 이를 비정상신호 DB(520)에 기록한다.

상기 자동제어시스템 내 제어신호 분석을 이용한 제어신호 무결성 검증 방법 및 장치는 산업기산시설의 가용성 보장을 위하여 제어시스템에서 부정신호를 탐지하는 기술로서 주요 기반시설을 제어하고, 운용하는 SCADA 시스템 내에서 발생할 수 있는 사이버공격으로부터 효과적으로 탐지하기 위한 방법으로 제어시스템 관제 및 부정신호 탐지를 제공한다.

상기 제어시스템 보호 장치는 PLC 시스템을 구성하는 제어신호 회로도를 기초로 하여 동작 신호 유형을 수집하고, 이를 화이트리스트로 구성하며, 구성된 사용 패턴을 기반으로 운용 환경에서의 부정신호를 탐지하여 상기 제어시스템을 안전하게 보호할 수 있다.

또한, 실시간 트래픽 분석을 위하여 오픈소스 기반의 대용량 데이터 분석 플랫폼을 이용하여 자동제어시스템에서 전송되는 제어신호를 분석하고 확인하여 전송되는 신호에서의 이상징후를 탐지하고, 더불어 비지도 변수추출 방법에 의해 전송되는 신호에서 제어 변수를 추출하여 비정상 행위를 탐지하는 정보로 활용한다.

진술한 내용은 후술할 발명의 청구범위를 더욱 잘 이해할 수 있도록 본 발명의 특징과 기술적 강점을 다소 폭넓게 상술하였다. 상술한 본 발명의 개념과 특정 실시 예는 본 발명과 유사 목적을 수행하기 위한 다른 형상의 설계나 수정의 기본으로서 즉시 사용될 수 있음이 해당 기술 분야의 숙련된 사람들에 의해 인식되어야 한다.

또한, 상기에서 기술된 실시 예는 본 발명에 따른 하나의 실시 예일 뿐이며, 해당 기술분야에서 통상의 지식을 가진 자에 의해 본 발명의 기술적 사상의 범위에서 다양한 수정 및 변경된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 따라서, 개시된 실시 예는 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 하고, 이러한 다양한 수정 및 변경 또한 본 발명의 기술적 사상의 범위는 전술한 본 발명의 청구범위에 나타나 있으며, 그와 동등한 범위 내에 있는 모든 차이점은 본 발명에 포함된 것으로 해석되어야 할 것이다.

Claims

소정 규격에 따른 자동제어 시스템에서 적어도 하나 이상의 프로세서를 구비한 장치가 상기 자동제어의 제어신호를 분석하여 제어신호의 무결성을 검증하는 방법에 있어서,
상기 제어시스템에서 제어장치를 동작시키기 위한 전기적 제어신호를 수집하는 전기신호 수집부;
상기 수집된 제어신호를 정상 상태에서의 제어신호 수집인지, 운용 상태에서의 제어신호 수집인지 확인하여 해당 처리 루틴으로 제어신호를 넘겨주는 운용모드 확인부;
정상 상태의 제어신호 수집인 경우, 전기신호 수집부에서 획득한 제어신호를 각 제어 동작 형태에 따라 제어신호의 특징 값들을 분석하는 전기신호 확인부;
상기에서 분석된 제어신호의 특징 값들을 해당 화이트리스트에 등록하는 전기신호 등록부;
상기 운용모드 확인부에서 운용 상태의 제어신호 수집인 경우, 전기신호 수집부에서 획득한 어떤 유형의 공격이 포함되어있을 가능성이 있는 제어신호를 분석하여 그 특징 값을 추출하는 특징 추출부;
상기 추출된 특징 값들이 기 등록된 화이트리스트 내의 특징 값과 비교하여 정상 신호와 각각의 제어 장치 동작의 오차 범위 내의 신호인지 검사하는 화이트리스트 검사부;
상기 화이트리스트 검사부에서 제어신호의 특징 값들이 오차 범위 내의 값을 가지면서 기 화이트리스트에 저장되지 않은 새로운 제어신호의 특징 값일 경우, 운용 시스템 또는 운용자에 의해 새로운 정상 제어신호인지 확인하고, 이를 화이트리스트에 저장시키는 등록 확인부;
상기 화이트리스트 검사부에서 오차 범위를 벗어난 제어 신호 또는 새로운 공격으로 판단되는 제어신호에 대하여 공격에 의한 비정상 제어신호로 판별하고, 제어신호의 무결성을 검증하는 무결성 판별부;
상기 무결성 판별부에서 판별된 비정상 제어신호를 제어시스템의 운용 시스템 또는 운용자에게 알려주고, 비정상신호 로그를 기록하는 비정상신호 알람부;를 포함하고,

상기 비정상신호 알람부(420)는 상기 전기신호 수집부에서 추출된 제어 신호값과 상기 화이트리스트에 기록된 제어 신호값이 오차범위 내의 신호값인지 신호의 결함이 있는지 무결성을 검증하여 전송되는 제어신호가 위조나 변조되었는지 확인하며,

상기 수집된 제어신호는 아날로그 또는 디지털로 제어장치를 직접적으로 동작시키기 위한 명령값을 포함하는 제어신호로서, 특정 프로토콜에 의해 패키징 된 데이터가 아니라 제어장치의 On/OFF와 관련된 신호 값을 가지며,
제어신호의 특징 값에 대한 정보는 상기 제어장치에 동작 명령를 내리는 사용자 및 운용 시스템에 부여되는 고유 식별자(User ID, IP) 정보, 제어장치에 대한 동작 이벤트 정보(신호유형, 아날로그 신호 값, 제어장치 식별자(고유 ID)), 제어장치에 대한 오차범위를 포함하며,
상기 운용모드 확인부(120)는 상기 수신된 제어신호의 무결성을 검증하기 위해 사용될 화이트리스트를 생성하기 위한 동작을 수행하며,
운용모드는 정상상태와 운용상태로 구분하며, 정상상태는 외부의 비정상적인 접속을 차단한 상태에서 상기 제어시스템의 시범 운영 중에 이루어지며, 상기 전기신호 수집부(110)에서 획득한 제어신호는 모두 정상신호이며, 상기 제어신호를 운용시스템 또는 운용자가 확인하고 정산신호로 화이트리스트 DB(510)에 추가하며,
상기 운용상태는 제어장치를 동작시키는 환경으로서, 외부의 비정상적인 접속 또는 바이러스 등으로 인한 비정상적인 신호가 포함되며, 상기 전기신호 수집부(110)에서 획득한 제어신호는 정상신호와 비정상신호가 혼합된 신호로 구분하며,
상기 제어신호의 무결성 검증을 위하여 항상 무결성 판별부(410)를 거쳐, 상기 제어신호의 무결성을 확인하고 처리하며,
상기 화이트리스트 DB(510)에 등록되지 않은 신호가 발생했을 경우, 운용시스템 또는 운용자에게 새로운 신호의 전송을 알리고, 확인절차 이후에 안전한 신호로 판별되면, 해당 신호를 화이트리스트 DB(510)에 새로운 정상신호로 등록하며,
상기 전기신호 확인부(210)는 상기 운용모드 확인부(120)에서 정상상태 운용모드일 경우 동작되며, 상기 전기신호 수집부(110)에서 획득한 제어신호를 상기 화이트리스트에 등록시키며,
상기 제어장치를 동작시키기 위하여 수집된 정상신호는 상기 제어장치의 특성에 따라 디지털 신호 또는 아날로그 신호로 수신될 수 있으며, 디지털 신호로 수신될 경우, 디지털 신호 값을 추출하고, 아날로그 신호로 제어장치에 전송될 경우, 아날로그 신호의 전압 또는 전류의 값들을 추출하여 해당 신호의 특징 값으로 사용되며,
상기 전기신호 확인부(210)에서 분석된 특징 값은 수신되어 동작될 제어장치와 연결되어 화이트리스트에 상기 제어장치의 정상신호로 사용되며, 상기 제어장치가 가지고 있는 동작 신호의 오차 범위 정보를 가지며, 상기 동작신호의 오차범위정보는 운용상태에서 수신된 제어신호의 정상신호를 판단하는 기준이 되며,
상기 전기신호 등록부(220)는 상기 전기신호 확인부(210)로부터 전달받은 제어신호의 특징 값들을 화이트리스트 DB(510)에 등록하며, 상기 등록되는 정보들은 모두 정상신호에 대한 정보들이며, 그 값들은 신호의 유형, 제어장치의 식별자 또는 주소(IP), 제어신호로부터 추출된 특징 값으로 구성되며,
상기 특징 추출부(310)는 상기 운용모드 확인부(120)에서 운용상태 운용모드일 경우 동작되며, 상기 전기신호 수집부(110)에서 획득한 제어신호를 화이트리스트 DB(510)에 등록된 정상신호와 비교, 분석하기 위하여 상기 전기신호 수집부(110)에서 수집된 운용상태의 제어신호를 판별하기 위한 특징 값들을 추출하며,
상기 화이트리스트 검사부(320)는 상기 특징 추출부(310)에서 추출된 제어신호의 특징 값들을 화이트리스트 DB(510)에 등록되어있는 정상신호의 특징 값과 비교하여, 상기 제어장치의 오차범위 내에 존재하는 신호인지, 오차범위를 벗어난 신호인지 확인하며, 상기 화이트리스트에 등록되지 않은 새로운 신호일 경우, 해당 신호의 확인을 위하여 등록 확인부(330)를 수행하고, 화이트리스트에 등록된 신호일 경우, 무결성 판별부(410)를 수행하여 해당 신호의 정상, 비정상을 판단하며,
상기 등록 확인부(330)는 운용상태에서 수신된 새로운 신호가 수신되면, 이를 정상신호인지 비정상신호인지를 운영시스템 또는 운영자가 판단하도록 동작되며, 정상신호로 판단되었을 경우, 신호의 유형, 제어장치의 식별자 또는 주소(IP), 제어신호로부터 추출된 특징 값, 운용상태에서 추가된 신호임을 알리는 식별자를 상기 화이트리스트 DB(510)에 등록하며,
상기 무결성 판별부(410)는 상기 제어신호의 무결성을 검증하기 위하여 동작되며, 상기 화이트리스트 검사부(320)로부터 전달받은 제어신호와 화이트리스트 DB(510)의 정상신호의 특징 값들을 대상으로 전기신호의 유사도를 검사하며, 상기 제어장치 별로 상이한 하드웨어 동작 신호의 허용 오차범위를 이용하여 오차범위 내에서의 제어신호 유사도를 검사하고, 오차범위 내에 포함된 신호는 정상신호로 제어장치로 신호를 전달하며, 오차범위를 벗어나는 신호는 비정상신호로서 제어장치를 비정상적으로 동작시키려는 행위로 판단하여 해당 제어장치로 제어신호를 전송하지 않고, 다음 단계의 비정상신호 알람부(420)로 전달하여 처리하며,
상기 비정상신호 알람부(420)는 화이트리스트 기반의 무결성 검증을 통하여 비정상신호로 판별된 제어신호의 정보를 운영시스템 또는 운영자에게 알려주고, 기록하며, 상기 비정상신호 정보는 명령 전송자(내부 사용자의 식별자 또는 주소) 정보, 제어장치 정보, 통신 유형(아날로그 또는 디지털), 제어신호의 특징 값, 시간 정보 등 비정상신호를 식별하는 정보를 화면으로 나타내고, 비정상신호 DB(520)에 기록하는 것을 특징으로 하는 제어신호의 무결성을 검증하는 방법
삭제
삭제
삭제