📌 개요
산업용 하드웨어 기반으로
OT, IoT, IT 프로세스에 연관된 모든 디바이스 구성함에 있어
사용되는 네트워크를 미러링을 통해 트래픽을 로딩하고해당 트래픽에서 추출되는 프로토콜 및 노드 , 접근 등을
모니터링 함으로써
보안 취약점 및 공격 탐지 등의 보안 서비스를 제공하는 솔루션
📌 OT Network
Nozomi Networks 솔루션은
제조, 에너지, 교통 등 산업현장에서 사용되는 제어 시스템을 대상으로 서비스함으로IT Network와 달리 "물리적 연결"로 인해 네트워크 구성과
보안 요구사항을 설정한다.물론 하드웨어 디바이스의 구성이 어떠한들
네트워크 설정 및 서버 제어는 중앙 관리자 1대가 설정한다.
(
📌 OT Network vs IT Network
OT Network 는 물리적인 장비 ( ICS 시스템 ) 중심이며,
실제 공정에 직접적으로 영향을 주는
장비의 안정성, 신뢰성, 실시간성 등이 주요 보호대상이다.ICS 시스템은 대부분 오래되고 취약한 프로토콜 이기에
외부 and 내부 공격의 보안 대책이 강화되어야한다.반면에 IT Network는 데이터 통신에 있어
안정성과 기밀성이 주요 보호대상이며
데이터 유출,해킹, 악성 코드 에 보안 대책을 강화한다.
📌 Nozomi Networks 모니터링 요소
- Assets
네트워크에 연결된 장비, 시스템 등의 자산정보
- Nodes
네트워크안에서 트래픽을 생성하는 장비 또는 시스템의 노드 정보
- Links
네트워크에 연결되어 있는 링크 정보
- Protocols
네트워크에 사용되어 있는 모든 프로토콜 정보
- Sessions
네트워크 에서 생성되는 세션 정보
- Variables
네트워크 상에서 발생하는 이벤트 및 경보 등의 변수 모음
통합적으로 OT ,IoT, IT 프로세스에 연결된 네트워크 상에서
데이터 통신이 존재하는 모든 요소에서 트래픽 양이나 패턴 등을 파악하여
보안 위협을 탐지하는 서비스 제공
📌 아키텍쳐
중앙 관리자 디바이스 <-> ICS 방화벽 접근( GateWay ) <->
네트워크 서버 <-> Scada Master <-> Operater
PLC/RTU <-> 네트워크 서버 <-> Nozomi Solution
❗ 이 때 Nozomi Network 가 ICS 구성요소를 모니터링 한다해서
제어 시스템의 퍼포먼스에 전혀 영향이 없고,
span/moniter 포트를 통해 연결함으로 특정 포트의 트래픽을 미러링한다.
📌 아키텍쳐 2
미러링 된 트래픽을 시각화 UI 를 통해
IP, MAC code, Link 등의 정보 확인 가능
Master 관리자를 통해 링크된 모든 ICS 디바이스 정보를 확인 가능하다.
Enviroment 탭 을 확인하여
모든 디바이스, 하드웨어 구성요소, 노드 , CWE 등 정보 조회 가능
Session Kill, Block access ,
데모판 KallLinux, Linux 사용
New SCADA function Code - Linux Address 에 따른 Connecting dvice monitering
❗PLC - Scada RTU 구현에 사용되며 전자 입출력 모듈
❗RTU - 원격 터미널 유닛, 독립형 데이터 수집 및 제어 장치
원격에 위치한 장비를 모니터링 하고 제어하는 프로세서
❗Scada - 다수의 원격 터미널 유닛 ( 또는 RTU ) 통신 시스템을 통해
마스터 스테이션에 접속된 필드데이터를 수집하는 단계
📌 Cisco ISE
-
네트워크 접근제어 및 인증, 권한 부여,
게스트 네트워크 액세스 및 BYOD ( Bring Your Own Device ) 등을 포함해 다양한 보안 정책을 관리하는 플랫폼 -
Nozomi Networks 와 엔드포인트 장치에서 플랫폼 연동작업 하기도 한다.
-
독립적으로 관리해야했던 보안 관리자에게
중앙 집중식 관리 및 통합된 보안 솔루션을 제공하여
유지보수 절감 및 보안 정책 강화 가능
📌 알고리즘
DPI
-
Deep Packet Inspection
-
트래픽에서 악성 코드나 공격에 사용되는 패턴을 탐지하고 차단하는 기술
BAD
-
Behavioral Anomaly Detection
-
산업용 제어 시스템에서 이상 행위를 감지하는 기술
-
트래픽 모니터링에 있어 확인 되지 않은 트래픽은 이상 트래픽으로 간주
AI & 머신러닝
-
딥러닝 알고리즘을 사용해 스스로 학습하여 시스템 보안 강화
-
지속적인 학습을 통해 새로운 유형의 공격이나 이상 행위를 탐지하고 대응
-
IoT 환경에서 머신러닝 기반 위협 인식 제공
참고
https://www.youtube.com/watch?v=GLjQ89HgjcQ
https://www.nozominetworks.com/ko/
