Derivation of Security Requirements of Smart Factory Based on STRIDE Threat Modeling

STRIDE 위협 모델링에 기반한 스마트팩토리 보안 요구사항 도출

Abstract

Recently, Interests on The Fourth Industrial Revolution has been increased. In the manufacturing sector, the introduction of Smart Factory, which automates and intelligent all stages of manufacturing based on Cyber Physical System (CPS) technology, is spreading. The complexity and uncertainty of smart factories are likely to cause unexpected problems, which can lead to manufacturing process interruptions, malfunctions, and leakage of important information to the enterprise. It is emphasized that there is a need to perform systematic management by analyzing the threats to the Smart Factory. Therefore, this paper systematically identifies the threats using the STRIDE threat modeling technique using the data flow diagram of the overall production process procedure of Smart Factory. Then, using the Attack Tree, we analyze the risks and ultimately derive a checklist. The checklist provides quantitative data that can be used for future safety verification and security guideline production of Smart Factory.

최근 4차 산업혁명에 대한 관심이 증가하고 있다. 그 중 제조업 분야에서는 사이버 물리 시스템(CPS) 기술을 기반으로 제조의 모든 단계를 자동화, 지능화 시킨 스마트팩토리 도입이 확산되고 있는 추세이다. 스마트팩토리는 그 복잡도(Complexity)와 불확실성(Uncertainty)이 크기 때문에 예상치 못한 문제가 발생할 가능성이 높고 이는 제조 공정 중단이나 오작동, 기업의 중요 정보 유출로 이어질 수 있다. 스마트팩토리에 대한 위협을 분석하여 체계적인 관리를 수행할 필요성이 강조되고 있지만 아직 국내에서는 연구가 부족한 상황이다. 따라서 본 논문에서는 스마트팩토리의 전반적인 생산 공정 절차를 대상으로 Data Flow Diagram, STRIDE 위협 모델링 기법을 이용하여 체계적으로 위협을 식별한다. 그리고 Attack Tree를 이용해 위험을 분석하고 최종적으로 체크리스트를 도출한다. 도출된 체크리스트는 향후 스마트팩토리의 안전성 검사 및 보안 가이드라인 제작에 활용 가능한 정량적 데이터를 제시한다.

I. 서론

최근 세계 경제가 저성장 국면에 진입하면서 사물인터넷(IoT), 인공지능, 사이버 물리 시스템(Cyber Physical System, CPS) 등의 신기술을 기반으로 삼는 4차 산업혁명에 대한 관심이 증가하고 있다. E. A Lee는 사이버 물리 시스템을 연산(Computation)과 물리적 프로세스(Physical processes)을 통합시킨 시스템으로, 임베디드 컴퓨터와 네트워크 모니터링, 물리적 프로세스의 제어로 구성되어 있는 시스템이라고 정의한다. 그리고 물리적 프로세스와 연산은 피드백 루프(Feedback loop)를 통해 상호간에 영향을 미친다고 설명 한다[1]. 사이버 물리 시스템은 센서(Sensor), 작동기(Actuator), 제어기(Control processing unit), 통신 장비와 같은 요소들로 구성되어 있고[2] 현재 스마트 그리드, 의료 및 헬스케어, 교통 시스템, 스마트 홈, 감시제어(Supervisory Control and Data Acquisition, SCADA), 자율주행 자동차 등 다양한 분야에서 관련 연구가 활발히 진행되고 있다. 특히 제조업 분야에서는 시장의 변화를 빠르게 감지해 생산 전략에 반영시키는 능력이 요구되면서 사이버 물리 시스템을 도입한 스마트팩토리가 주목을 받고 있다. 독일의 경우 2012년에 ‘4차 산업혁명(Industry 4.0)’을 제시하고 자동화 설비 및 솔루션을 중심으로 자국 내 산업 경쟁력을 강화시키려는 노력을 하고 있으며 미국의 경우 2011년 ‘첨단 제조파트너십(Advanced Manufacturing Partnership, AMP) 전략’과 2012년 ‘제조 방식 전략 계획’과 같은 제조업 부흥 정책을 발표해 스마트팩토리 도입을 추진하고 있다. 그 외에 일본에서도 2016년에 ‘4차산업 혁명 선도 전략’을 제시하고 중국에서도 2015년에 발표된 ‘중국제조 2025’를 통해 제조업 경쟁력 강화를 지원하고 있고 국내에서는 2014년도에 ‘제조업 3.0’을 발표하고 2017년에 ‘4차 산업 혁명 위원회’를 출범시킴으로써 스마트팩토리 사업을 지원하고 있다[3]. 국내외적으로 스마트팩토리 도입이 증가하고 있을 뿐만 아니라 폐쇄적인 운영 방식을 지닌 기존의 제조 시스템과 차별적으로 다양한 기술과 환경이 통합된 스마트팩토리는 그 복잡도(Complexity)와 불확실성이(Uncertainty)이 크기 때문에 예상치 못한 문제가 발생할 가능성이 높음에도 불구하고 아직 위협 분석과 관련된 연구는 부족한 실정이다. 따라서 본 논문에서는 스마트팩토리의 현장 수준(Field Level)부터 관리자 수준(Management Level)까지 전반적인 생산 공정 절차를 대상으로 STRIDE 위협 분석 모델링을 통해 위협을 식별하고 최종적으로 스마트팩토리에 대한 보안 체크리스트를 도출하는 것을 목표로 한다.

본 논문의 2장에서는 사이버 물리 시스템 및 스마트팩토리와 관련된 연구 동향을 소개하고 스마트팩토리의 취약점에 대한 연구들을 소개한다. 3장에서는 스마트팩토리에 대한 개념과 서비스를 제공하는 업체에 대해 소개한다. 4장에서는 개념도를 토대로 데이터 흐름도를 도출하고 STRIDE 위협 모델링 기법을 적용하여 보안 위협 및 위험 분석을 수행한다. 분석된 위협에 따라 5장에서 보안 요구사항을 도출하고 마지막으로 6장에서 결론 및 향후 연구 방향을 제시한다.

II. 관련 연구

2.1 표준화 작업 현황

2014년에 사이버 물리 시스템 공공 작업 그룹(Cyber-Physical Systems Public Working Group, CPS PWG)이 미국표준기술연구소(National Institute of Standards and Technology, NIST)에 의해 구성 되었고 2016년에 워킹 그룹에서 사이버 물리 시스템 체계(Framework for Cyber Physical Systems)에 대한 문서를 배포하였다[4]. 그리고 이 문서를 토대로 미국표준기술연구소(NIST)에서 사이버 물리 시스템에 대한 표준 문서를 발표하였다. 세 가지 문서는 각각 사이버 물리 시스템의 개요 및 체계에 대한 설명과 작업 그룹에서 작성한 보고서와 타이밍(Timing)에 대한 내용으로 구성되어 있다. 표준에 따르면 사이버 물리 시스템이란 물리적 프로세스와 연산 장치들이 상호작용을 하는 시스템으로 서로 밀접하게 연관되어 의료, 응급 상황, 교통 흐름 통제, 스마트 제조(Smart Manufacturing), 국방 산업, 에너지 공급 등 핵심적인 분야에 새로운 기능들을 제공한다.[5] 사이버 물리 시스템이 주는 이점들을 활용하기 위해서는 각 요소들과 시스템 간의 상호운용성(Interoperability)이 보장되어야 한다. 특히 NIST SP 1500-202에서는 사이버 물리 시스템에서 요구되는 신뢰성, 사이버보안과 프라이버시 위험 및 위험관리 속성(Property)에 대해 작성되어있다[6]. NIST SP 1500-203에서는 네트워크상에서 존재하는 위협과 대응책을 분석하였다[7].

미국표준연구소(NIST)에서 작성된 문서 중 NIST 800-82에서는 산업 제어 시스템 보안과 관련된 전반적인 내용이 기술되어 있다. 산업 제어 시스템 구성 요소들에 대한 설명과 함께 위협들에 대응하여 심층 방어(Defense in Depth, DiD)를 위한 보안아키텍처를 소개한다. 보안 아키텍처의 구현을 위해 적용될 수 있는 정책적 가이드라인을 제시한다[8].

2.2 스마트팩토리 위협 관련 연구

제어 시스템은 핵심 사회 기반 시설에 광범위하게 사용되는 만큼 지속적인 연구가 진행되어왔다. Stamatis karnouskos는 핵심 사회 기반 시설을 파괴할 목적으로 만들어진 Stuxnet 웜에 대하여 소개한다[9]. E. Ciancamerla는 감시 제어 시스템에 대한 공격 시나리오를 제시하고 시뮬레이션을 수행한 결과를 보여준다[10]. Brian Meixell은 BlackHat 2013에서 감시 제어 시스템을 대상으로 공격 시나리오를 소개하고 이를 직접 시연하였다[11]. Ralf Spenneberg는 BlackHat 2016에서 PLC상에서 동작하는 바이러스를 구현하여 감염시키고 발견된 취약점에 대하여 발표하였다[12]. Joe Weiss는 2017년에 개최된 DefCon25에서 산업 제어 시스템의 입출력 시스템, 센서 등 현장 수준에서 발생할 수 있는 보안 문제에 대하여 소개하였다[13].

스마트팩토리에서 여러 장비들이 복합적으로 사용되는 만큼 다양한 통신 방식이 사용된다. 현장 수준에서 사용되는 장비들은 WirelessHART, Bluetooth 등의 무선 통신을 사용할 수 있으며 HART, AS-Interface, IO-Link와 같은 유선 통신도 사용 가능하다. 입출력 시스템과 제어 시스템 사이에서는 PROFIBUS, PROFINET과 같은 통신 방식이 사용되고, 관리자 수준에서는 IWLAN(Industrial Wireless LAN), Industrial Ethernet이 사용된다. 그리고 서로 다른 통신 방식들과 기기들을 통합하여 관리하기 위해 OPC UA라는 상호운용성 표준이 사용된다[14]. Slawomir Jasek은 BlackHat 2016에서 Bluetooth통신에서 중간자 공격을 할 수 있는 도구를 소개하였으며 실제로 일부 기기를 이용해 시연하였다[15]. lucas Apa는 BlackHat 2013에서 무선 통신 방식을 이용하는 감시 제어 시스템 장비의 암호 키 생성 및 분배 방식을 역공학을 이용해 분석하고 공격을 수행하여 이를 발표하였다[16]. H.Kim은 IP기반 무선 센서 네트워크를 이용하는 감시제어 시스템의 취약점에 대해 정리하였다[17].

III. 스마트팩토리 개요

3.1 제조 자동화 모델

제조업 분야에서는 피라미드 형태의 공장 자동화 모델이 제조 프로세스를 설명하기 위해 사용되었다. 공장 자동화 모델은 생산 설비와 센서가 존재하는 Layer0, PLC가 존재하는 Layer1, SCADA가 존재하는 Layer2, MES가 존재하는 Layer3, ERP가 존재하는 Layer4의 총 5개 계층으로 나누어진다[18][19]. Layer0은 Field Level이라 불리기도 하며 제어 장치 및 솔루션이 존재하는 Layer1과 Layer2는 Control Level로 분류된다. 생산 및 자원에 대한 관리가 이루어지는 Layer3와 Layer4는 Management Level로 분류 된다. 생산 설비란 실제로 작업을 수행하는 로봇을 말하고 센서는 제품 및 생산 설비를 식별하거나 공장 내 환경 변화를 감지하여 데이터를 전송한다. PLC는 Layer2에서 승인된 생산 설비 작업 배정에 따라 프로그램을 수정하고 로봇에게 제어 명령어를 전송한다. SCADA는 HMI을 통해 생산 공정 절차를 감시하고 제어한다. MES는 제품을 생산하기 위한 일정을 계획하고 계획에 따라 작업을 배정 한다. ERP는 기업 내 생산, 재무, 회계, 물류, 영업 등 경영 활동과 관련된 모든 절차들을 통합 관리해주는 시스템이다.

Fig. 1. Pyramid of Automation

3.2 스마트팩토리 유형 구분

국내에서는 스마트팩토리의 IT 기술의 적용과 그 활용 범위에 따라서 4가지 단계로 구분 짓는다[20]. 본 논문에서는 4가지 단계 중 고도화된 스마트팩토리를 분석 대상으로 삼으며, 이는 기초, 중간1, 중간 2 단계에서 적용되는 기술들을 모두 포함하고 있다. 고도화된 스마트팩토리는 바코드, RFID 등의 기기를 사용하여 생산 기록을 관리하는 기초(Basic) 단계와 센서를 통해 실시간으로 생산 정보를 받아들여 생산설비를 관리하는 중간1(Middle1) 단계, PLC를 통해 시스템이 상호 연계되어 실시간으로 공장에 대한 자동 제어가 이루어지는 중간2(Middle2) 단계가 모두 구현된 동시에 지능화된 생산 설비들 간에 유선 및 무선 통신을 하며 실시간 주문 정보 및 로봇의 자율적인 판단에 따라 자동적으로 생산 작업이 수행된다.

Table. 1. Smart Factory Implementation Type

3.3 스마트팩토리 업체별 서비스 현황

현재 독일, 미국, 일본 등의 기업에서 스마트팩토리 시장을 선도하고 있으며 국내에서도 일부 스마트팩토리 솔루션을 제공하고 있다. Table. 2.는 스마트팩토리 제품 및 솔루션을 제공하는 대표적 해외기업 A, B, C와 국내 기업 D의 서비스 범위를 3.1절에서 소개한 스마트팩토리 개념도의 각 계층에 따라 정리한 내용이다. 본 논문에서는 생산 설비, 감시제어 시스템, 생산 관리 시스템 등 거의 모든 공정 자동화 솔루션을 보유하고 있고 현재 전 세계 시장점유율 1위를 차지하고 있는 A사의 제품 설명서를 토대로 위협 분석을 진행한다.

Table. 2. Smart Factory Solution Provider

IV. STRIDE 위협 모델링

4.1 가정

본 논문에서는 스마트팩토리 전체 시스템을 대상으로 STRIDE 위협 분석을 실시한다. 단, 각각의 외부 객체들이 상호간에 의사소통을 하는 경우는 분석에 포함시키지 않는다. 예를 들어 고객이 직접 주문을 넣지 못하는 상황일 경우 운영자와의 직접적인 소통을 통해 주문을 넣을 수 있고 운영자는 공장 설비의 오류나 문제가 발생했을 시에 관리자에게 직접보고를 할 수 있다. 또한 관리자는 운영자에게 직접설비 제어 또는 수리를 지시할 수 있다고 가정한다. MES 기능 중 품질 관리의 경우에도 사람이 직접 제품에 대한 표본을 추출하여 결과 보고 및 지시가 이루어진다고 가정하여 분석에 포함시키지 않는다.

4.2 데이터 흐름도(Data Flow Diagram)

4.2에서는 스마트팩토리의 데이터 흐름도를 도출한다. 데이터 흐름도는 그래픽을 이용하여 시스템에서 각 프로세스를 따라 흐르면서 변화하는 모습을 나타낸다. Table. 3.은 데이터 흐름도의 구성요소를 나타낸다.

Table. 3. Components of Data Flow Diagram

데이터 흐름도는 일반적으로 Level0(Context Diagram)를 포함하여 보다 구체화 시킨 Level1, Level2까지 도출한다. Fig. 2.는 스마트팩토리를 추상화 시킨 Context Diagram이다.

Fig. 2. Level0 DFD for Smart Factory

Fig. 3.은 Context Diagram을 보다 구체화 시킨 데이터 흐름도 Level1을 나타낸다.

Fig. 3. Level1 DFD for Smart Factory

Customer와 Administrator는 제품에 대한 주문을 넣을 수 있고 관리자는 MES를 통해 생산 실적 관리, 물류 관리 및 공장 내부 환경 관리 등 생산과 관련된 전반적인 프로세스를 관리한다. Operator는 공장 내 상황을 감시하고 작업을 제어할 수 있다. 현장 수준에서 수집된 데이터는 제어 프로세스로 전달되어 로봇이 자동적으로 작업을 수행할 수 있고 MES에서도 주문 및 수집된 데이터를 토대로 작업 배정이 이루어지는 등 CPS가 도입되어 전반적인 생산 과정에서 자동화가 이루어진 스마트팩토리를 도식화하였다.

Fig. 4.는 Level2를 나타낸다. 데이터 흐름도 Level2의 각 구성 요소들에 대하여 다음의 Table. 4.를 통해 설명한다.

Fig. 4. Level2 DFD for Smart Factory

Table. 4. DFD Level2 of the Smart Factory

4.3 Attack Library 수집

Attack Library는 데이터 흐름도를 작성한 이후 시스템에 대한 위협들을 다양한 자료 조사를 통해 수집한 목록이다. Attack Library 작성을 통해 DFD 상에서 각 요소마다 발생 가능한 위협을 찾아낼 수 있다. 본 논문에서는 기술보고서, 논문, 컨퍼런스 및 CVE(Common Vulnerabilities and Exposure)를 활용하여 실제 발생 가능한 공격들을 식별하였다. 다음의 Table. 6.은 스마트팩토리 시스템의 취약점과 관련된 자료들을 조사하여 정리한 Attak Library이다.

Table. 6. Attack Library for Smart Factory

4.4 STRIDE 위협 도출

STRIDE는 Microsoft에서 제안한 위협 모델링기법으로 체계적인 방법을 이용하여 시스템에 대한 위협을 식별한다. STRIDE 위협 모델링 기법은 데이터 흐름도의 각 요소들에 대하여 정보보호를 통해 달성하려는 6가지 목표인 인증(Authentication), 무결성(Integrity), 부인방지(Non-repudiation),기밀성(Confidentiality), 가용성(Availability), 인가(Authorization)와 대칭되는 위장(Spoofing), 변조(Tampering), 부인(Repudiation), 정보 유출(Information Disclosure), 서비스 거부(Denial of Service), 권한 상승(Elevation of privilege)에 대한 위협들을 식별한다[35]. 본 연구에서 사용한 도구는 Microsoft Threat Modeling Tool 2016으로 사용자가 DFD를 작성하면 해당 도구를 이용하여 자동적으로 위협을 분석할 수 있다[36]. 본 논문에서는 도출된 데이터 흐름도 Level2를 이용하여 스마트팩토리에 대한 위협들을 STRIDE에 따라 분석한 결과 총 259개의 위협이 도출되었다. 다음 Table. 5.는 STRIDE 분석 결과이다.

Table. 5. STRIDE Threat Analysis on Smart Factory

4.5 Attack Tree

Attack Tree란 자산이나 정해진 목표를 공격하는 시나리오를 제시하는 개념도로써 루트 노드부터 자식 노드로 나누어지는 다중 수준으로 구성되어있다. 4.4에서는 도출된 위협들을 이용해 Attack Tree를 작성하여 스마트팩토리를 공격하는 시나리오를 제시한다. 이러한 과정을 통해 공격자가 스마트팩토리를 공격할 수 있는 방법을 구체화시킨다. 다음의 Table. 7.은 Attack Library 및 STRIDE 분석을 통해 도출된 위협과 작성된 Attack Tree와의 연관성을 보여준다.

Table. 7. Relation between Attack Tree and STRIDE Threats

V. 스마트팩토리 보안 요구사항 도출

5장에서는 도출된 위협을 통해 실제로 취약점을 분석하기 위한 체크리스트를 제시한다. 다음 Table. 8.는 스마트팩토리 취약점 분석을 위한 체크리스트이다. 체크리스트는 4.4 Attack Tree를 통해 도출된 실제 공격 기법들에 대한 대응 방안을 토대로 작성되었고 같은 점검 항목이 나온 경우 중복되는 요소를 제거하였다.

Table. 8. Checklists for Smart Factory

VI. 결론

스마트팩토리는 CPS를 기반으로 기존의 생산 기술에 정보통신기술을 융합하여 제조의 모든 단계가 자동화, 지능화됨으로써 최종적으로 생산성을 극대화시킨다. 폐쇄적인 운영 방식을 지닌 기존을 제조 시스템과 차별적으로 다양한 기술과 환경을 통합한 스마트팩토리는 그 복잡도(Complexity)와 불확실성(Uncertainty)이 크기 때문에 외부 네트워크 및 무선 통신을 통한 위협, 악성코드에 대한 노출이 증가하는 등 예상치 못한 문제가 발생할 가능성이 높다.

따라서 본 논문에서는 스마트팩토리 전체 시스템에 대한 데이터 흐름도를 작성한 후 이를 토대로 실제 공격 사례 및 공격 기법들을 조사하여 Attack Library를 작성하였다. 그리고 STRIDE 기법을 이용하여 총 259개의 위협을 식별하였다. STRIDE 위협들을 바탕으로 공격자의 목표에 따라 실제 공격시나리오를 가정한 Attack Tree를 작성하였으며 그 결과에 기초하여 스마트팩토리에 대한 보안 점검을 할 수 있는 체크리스트를 도출하였다.

본 연구를 통하여 도출된 체크리스트는 향후 스마트팩토리 안전성 검사 및 보안 가이드라인 제작에 활용될 것으로 기대된다.

현재 스마트팩토리는 도입이 확산되는 과정 중에 있으며 실제로 고도화된 스마트팩토리에 대한 사례가 극히 적다는 한계점이 존재한다. 따라서 향후 실제 구축된 스마트팩토리 사례를 이용하여 위협 분석을 수행하면 보다 세부적인 항목들을 도출할 수 있을 것으로 기대된다. 더불어 체크리스트 도출 과정에서 국제표준인 공통평가기준을 적용시킨 연구과제가 남아있다.

* 본 연구는 미래창조과학부 및 한국인터넷진흥원의 “고용계약 형 정보보호 석사과정 지원사업”의 연구결과로 수행되었음(과제번호 H2101-17-1001)