DAGMM을 활용한 비지도학습 기반의 MODBUS/TCP 프로토콜 이상탐지 시스템 = Unsupervised Learning-Based Anomaly Detection System for MODBUS/TCP Protocol using DAGMM

다국어 초록 (Multilingual Abstract)

The industrial control system is a control system that is used in smart factories, and it is continuously increasing with the increase of smart factory due to the development of ICT technology. The security importance of the industrial control system continues to increase. Industrial control system is a general term for other control systems such as SCADA, DCS, PLC or various types of control systems. It is a system configured to control industrial systems.
Among the protocols used in these industrial control systems, Modbus/TCP is one of the most used protocol. It is an application layer protocol and It is a de facto standard, a fully open protocol, easy to install and maintain and provides a very reliable communication and good applicability. But, since Modbus/TCP protocol is designed without considering security, it is lack of security and related security designs and implementations are insufficient. In this paper we used unsupervised learning-based anomaly detection technique to improve the security of Modbus/TCP protocol
In the previous Modbus/TCP protocol anomaly detection research, supervised learning-based anomaly detection studies have achieved superior performance. Since the supervised learning-based anomaly detection technique separates and learns abnormal data and normal data, this method achieves better results than unsupervised learning-based anomaly detection. But there is weakness point in supervised learning-based anomaly detection. it is difficult to detect as zero-day attacks, which are attacks targeting unknown vulnerabilities, or types of attacks that use unknown or new payloads. To solve this problem, we attempt to improve the unsupervised learning-based anomaly detection.
in this paper, we propose and implement an unsupervised learning-based anomaly detection system that has improved the detection accuracy which is the previous unsupervised learning-based anomaly detection systems did not achieve. And evaluate performance of the system through detect attacks such as SYN Flooding, ICMP Flooding, and Query Flooding.

국문 초록 (Abstract)

산업 제어 시스템은 SCADA, DCS 그리고 PLC와 같은 기타 제어 시스템이나 여러 유형의 제어시스템들을 총칭하는 단어이며 제조, 물질, 에너지 수송 등의 산업 시스템들을 제어할 수 있도록 구성된 시스템으로써 ICT기술의 발달로 인해서 실제 필드에 도입되어 생산성을 증가시켜 주거나 더욱 쉽게 관리할 수 있도록 하여 효과적으로 사용되고 있다.
이러한 산업 제어 시스템에서 사용되는 프로토콜 중 Modbus/TCP 프로토콜은 가장 많이 사용되는 프로토콜로써 응용 계층의 프로토콜이고 de facto 표준이며 완전한 오픈 프로토콜로써 설치 및 유지보수가 쉬운 장점을 가지며 또한 안정적인 통신 기능과 좋은 응용성을 제공하여 산업 제어 시스템에서 매우 높은 사용률을 보이는 프로토콜이다. 하지만 이러한 Modbus/TCP 프로토콜은 보안을 고려하지 않고 설계되었기 때문에 보안 취약점이 존재하고 관련된 보안 설계 및 구현이 미비한 실정이다. 이에 따라 본 논문에서는 Modbus/TCP의 보안성 향상을 위하여 Modbus/TCP 이상탐지에 관한 연구를 진행하였다.
기존의 Modbus/TCP 프로토콜 이상탐지 관련 연구에서는 지도학습 기반의 이상탐지 연구가 월등한 성능을 거두었다. 지도학습 기반의 이상탐지 방법은 이상 데이터와 정상 데이터를 구분 지어서 학습시키므로 이러한 방법은 당연하게도 비지도학습의 이상탐지보다 뛰어난 결과를 얻게 된다. 그러나 지도학습 기반의 이상탐지는 알려지지 않은 취약점을 대상으로 하는 공격인 제로데이 공격이나 새로운 페이로드를 사용하는 유형의 공격은 미리 학습되지 않았기에 이상으로 구분하여 탐지하기 어렵다. 이러한 문제 해결을 위해 본 논문에서는 제로데이 공격이나 새로운 페이로드를 사용하는 유형의 공격도 탐지할 수 있도록 기존 비지도학습 기반의 이상탐지율을 개선하고자 한다.
이에 따라 본 논문에서는 기존 비지도학습 기반의 이상탐지 기술에서 높은 탐지율을 기록하지 못하던 부분을 개선한 비지도학습 기반의 이상탐지 시스템을 제안 및 구현하고 산업 제어 시스템에서 가장 우선 순위를 가지는 가용성을 침해하는 공격인 SYN Flooding, ICMP Flooding, Query Flooding 공격을 대상으로 시스템의 성능평가를 진행한다.

목차 (Table of Contents)

• 제1장 서론 . 1
• 제1절 연구의 목적과 필요성 . 1
• 제2절 논문의 구성 . 3
• 제2장 관련연구 . 4
• 제1절 ICS . 4
• 1. ICS . 4
• 2. SCADA 5
• 3. DCS 7
• 4. PLC 8
• 5. ICS보안과 IT보안의 차이 . 10
• 제2절 Modbus 11
• 1. Modbus 11
• 2. Modbus/TCP 12
• 제3절 산업 제어 시스템 보안 사고 및 취약점. 17
• 1. 보안 사고 17
• 2. Modbus 프로토콜 취약점 18
• 제4절 이상 탐지 . 20
• 1. 이상 탐지 20
• 2. Modbus 프로토콜 이상 탐지 관련 연구 21
• 제5절 머신 러닝 . 22
• 1. DAGMM(Deep Autoencoding Gaussian Mixture Model) . 23
• 제3장 Modbus/TCP DDoS공격 탐지 시스템 26
• 제1절 시스템 구성 . 26
• 1. 아키텍쳐 26
• 2. 테스트베드 28
• 3. 데이터셋 29
• 제4장 구현 및 성능평가 . 33
• 제1절 구현 . 33
• 1. 구현 환경 33
• 2. Data Processing . 34
• 3. Interval Calculation . 35
• 4. Feature Selection . 36
• 5. Flow Separation . 37
• 제2절 성능평가 . 38
• 제3절 성능비교 . 42
• 제5장 결론 . 44
• 참고문헌 45
• 국문초록 48