폐쇄망 제어시스템의 비정상적인 행위 감시 보안 기술

[보안뉴스 김태형] 사물인터넷(IoT)에 대한 관심이 뜨거운 가운데 전력망과 같은 폐쇄망 제어시스템에서 비정상적인 징후를 감시할 수 있는 보안기술이 나왔다.

정보보안 전문기업 윈스(대표 김대연, www.wins21.co.kr)는 16일, ‘네트워크 세션 행위패턴 모델링 탐지방법 및 모델링 탐지시스템(제 10-2012-0123043)’에 관한 기술로 특허를 취득했다고 밝혔다.

이 기술은 네트워크 트래픽 환경에서 비정상적인 행위를 감시하기 위해 네트워크 세션행위 패턴을 모델링 한 후 탐지하는 기술이다. 회사측은 이 기술이 멀티 프로세스 또는 멀티 쓰레딩 환경에서 세션행위에 대한 ‘규칙성 분석, 행위정보 추출, 수치화, 유형화’ 등 일련의 행위 모델링 과정을 거쳐 행위패턴을 등록시킨 후 비정상적인 행위를 자동으로 탐지하는 기술이라고 설명했다.

기존 보안 기술은 특정 패킷만 통과하도록 설정하거나 특정 패킷은 접속하지 못하게 설정하는 방식의 화이트 리스트와 블랙 리스트 기반으로 각각 설계돼 탐지율 및 성능 저하의 한계가 있지만 이 기술을 이용하면 블랙 리스트와 화이트 리스트의 이중 관리를 통해 탐지의 정확도를 높일 수 있다고 설명했다.

또한 네트워크 트래픽의 패킷에 대해 세션기반으로 행위패턴정보를 구축하는 세션처리엔진과 행위패턴정보를 이용하여 비정상적인 행위를 탐지, 분석하는 엔진을 별도로 마련해 탐지의 효율을 향상시켰다고 밝혔다.

윈스는 멀티 프로세스 및 멀티 쓰레딩 환경에서 성능의 저하를 최소화하여 비정상적인 행위를 판단할 수 있는 기술력을 기반으로 비정상적인 행위패턴의 자동학습에 대한 연구를 계속해 기술을 고도화 할 방침이다. 또한 지속적인 연구개발을 통해 이 기술을 침입방지시스템 ‘스나이퍼 IPS’와 DDoS방어시스템인 ‘스나이퍼 DDX’ 등 네트워크 제품군에 적용할 예정이라고 밝혔다.

윈스의 조학수 연구개발 본부장은 “사물인터넷(IoT)과 같은 망에서는 일반적으로 특정 프로토콜을 사용해 정해진 규약으로 통신을 하도록 돼 있는데, 이 기술을 이용하면 정해진 규약이 아닌 비정상적인 행위를 탐지해 침해사고를 사전에 방지할 수 있다. 예를 들어 전력망과 같은 폐쇄망인 제어시스템을 운영 할 경우, 비정상적인 행위 감시와 제어 프로토콜에 대한 비정상적인 패킷 또는 명령에 대한 감시가 필요한데 이 기술을 통해 탐지가 가능하다”며, “향후 사물인터넷(IoT)환경에 맞는 트래픽 분석기능을 자사 보안 제품군에 탑재해 보안기술을 확장 할 예정”이라고 말했다.

윈스는 이번 특허 취득으로 정보보호제품에 적용되는 핵심 기술의 특허를 34건 보유하게 됐다.

[용어설명]
멀티 프로세스: 여러 개 프로세서가 하나의 작업을 병렬처리하는 방법으로 개별적인 프로세스들이 서로간에 독립적인 코드공간, 데이터 공간을 유지하며 함께 작동할 수 있는 상태

멀티 쓰레드: 프로세스 하부에 독립적인 코드 공간을 가지고 개별적으로 작동하는 방법

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>