KR102332727B1 - 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템 - Google Patents

Abstract

발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템이 개시된다. 발전소 제어망 내에서 네트워크 통신을 하는 발전소 제어망 자산 간의 트래픽(traffic) 데이터를 실시간 수집하는 발전소 제어망 자산 트래픽 수집 모듈; 상기 발전소 제어망 자산 트래픽 수집 모듈에서 실시간 수집되는 트래픽 데이터를 실시간 분석하는 트래픽 분석 모듈을 구성한다. 상술한 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템에 의하면, 발전소 제어망 내의 트래픽 데이터를 네트워크 포트 미러링에 의해 수집 분석하도록 구성됨으로써, 에이전트없이도 발전소 제어망 내의 트래픽을 수집하여 분석할 수 있는 효과가 있다. 또한, 각 발전소 제어망 자산의 UD 코드를 부여하고 이를 여러 개의 분산 데이터베이스에 각각 저장하고 각 분산 데이터베이스를 실시간 대비하도록 구성됨으로써, 특정 분산 데이터베이스에 발전소 내 침입자가 직접 접속하여 악성 코드를 감염시커나 데이터를 변경하는 것을 실시간으로 감지할 수 있는 효과가 있다.

Description

발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템{ANOMALY DETECTION SYSTEM USING DISTRUBUTED STORAGE OF TRAFFIC OF POWER PLANT CONTRL NETWROK ASSETS}

본 발명은 발전소 제어망의 이상 감지 시스템에 관한 것으로서, 구체적으로는 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템에 관한 것이다.

발전소 제어망은 폐쇄망으로서 외부망과는 단절되어 운용되는 망으로서, 기간 산업 등의 극도의 보안이 유지되어야 하는 네트워크다.

이에, 외부로부터의 접속이나 바이러스 침입에 만전을 기해야 한다.

그러나, 일반 네트워크에서 이용되는 패킷 데이터의 수집 및 분석이 불가능하다. 즉, 에이전트가 없는(agentless) 상태로 망이 운용되어야 하기 때문에 외부 침입을 실시간으로 탐지해내는 것이 어려운 실정이다. 더군다나, 외부 작업자가 노트북 등으로 데이터베이스에 접속하는 경우 이를 막을 방안이 없다.

이에, 폐쇄망의 특성에 따른 패킷 데이터의 수집 및 분석의 수단이 요구되며, 외부 작업자의 접속에 의한 악성 코드 감염을 실시간으로 감지할 수단이 요구된다.

한편, 발전소 제어망의 자산은 무수히 많이 존재하는데, 시시각각 추가되거나 변경 또는 삭제되는 경우도 많이 있다. 그러나, 실시간으로 그러한 발전소 제어망 자산을 DB에 등록하거나 변경하는 관리가 제대로 이루어지고 있지는 않은 실정이다.

공개특허공보 10-2009-0031054 등록특허공보 10-1449422

본 발명의 목적은 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템을 제공하는 데 있다.

상술한 본 발명의 목적에 따른 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템은, 발전소 제어망 내에서 네트워크 통신을 하는 발전소 제어망 자산 간의 트래픽(traffic) 데이터를 실시간 수집하는 발전소 제어망 자산 트래픽 수집 모듈; 상기 발전소 제어망 자산 트래픽 수집 모듈에서 실시간 수집되는 트래픽 데이터를 실시간 분석하는 트래픽 분석 모듈을 포함하도록 구성될 수 있다.

여기서, 상기 발전소 제어망 자산의 추가, 변경, 삭제에 관한 이력이 미리 저장되는 복수의 발전소 제어망 자산 데이터베이스를 더 포함하도록 구성될 수 있다.

그리고 상기 복수의 발전소 제어망 자산 데이터베이스는, 각각 독립적으로 분리되어 운영되도록 구성될 수 있다.

상술한 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템에 의하면, 발전소 제어망 내의 트래픽 데이터를 네트워크 포트 미러링에 의해 수집 분석하도록 구성됨으로써, 에이전트없이도 발전소 제어망 내의 트래픽을 수집하여 분석할 수 있는 효과가 있다.

또한, 각 발전소 제어망 자산의 UD 코드를 부여하고 이를 여러 개의 분산 데이터베이스에 각각 저장하고 각 분산 데이터베이스를 실시간 대비하도록 구성됨으로써, 특정 분산 데이터베이스에 발전소 내 침입자가 직접 접속하여 악성 코드를 감염시커나 데이터를 변경하는 것을 실시간으로 감지할 수 있는 효과가 있다.

도 1은 본 발명의 일 실시예에 따른 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템의 블록 구성도이다.
도 2는 본 발명의 일 실시예에 따른 발전소 제어망의 자산 운용 현황을 나타내는 예시도이다.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시 예들을 도면에 예시하고 발명을 실시하기 위한 구체적인 내용에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.

제1, 제2, A, B 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.

이하, 본 발명에 따른 바람직한 실시예를 첨부된 도면을 참조하여 상세하게 설명한다.

도 1은 본 발명의 일 실시예에 따른 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템의 블록 구성도이고, 도 2는 본 발명의 일 실시예에 따른 발전소 제어망의 자산 운용 현황을 나타내는 예시도이다.

도 1을 참조하면, 본 발명의 일 실시예에 따른 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템(100)은 발전소 제어망 자산 트래픽 수집 모듈(101), 트래픽 분석 모듈(102), UD 코드(unique definition code) 생성 모듈(103), UD 코드 분산 데이터베이스(104), UD 코드 분산 데이터베이스 대비 모듈(105), 알람 생성 모듈(106), 알람 송신 모듈(107)을 포함하도록 구성될 수 있다.

이하, 세부적인 구성에 대하여 설명한다.

발전소 제어망 자산 트래픽 수집 모듈(101)은 발전소 제어망 내에서 네트워크 통신을 하는 발전소 제어망 자산(10) 간의 트래픽(traffic) 데이터를 실시간 수집하도록 구성될 수 있다.

발전소 제어망 자산 트래픽 수집 모듈(101)은 에이전트(agent) 없이 네트워크 포트 미러링 방식으로 트래픽 데이터를 수집하도록 구성될 수 있다.

트래픽 분석 모듈(102)은 발전소 제어망 자산 트래픽 수집 모듈(101)에서 실시간 수집되는 트래픽 데이터를 실시간 분석하도록 구성될 수 있다.

트래픽 분석 모듈(102)은 트래픽 데이터를 파싱(parsing)하여 헤더와 페이로드로 분류하고 각종 정보를 파악할 수 있다.

UD 코드 생성 모듈(103)은 머신 러닝(machine learning)을 수행하여 트래픽 분석 모듈(102)에서 실시간 분석되는 트래픽 데이터의 각 발전소 제어망 자산(10)에 대한 고유의 UD 코드를 실시간 생성하도록 구성될 수 있다. 즉, 특정 트래픽 데이터의 발전소 제어망 자산(10)을 별도의 수동 등록없이 헤더를 파악하여 UD 코드를 자동으로 부여하도록 구성될 수 있다.

UD 코드 분산 데이터베이스(104)는 UD 코드 생성 모듈(103)에서 실시간 생성된 UD코드가 각각 실시간 저장되는 다수의 분산 데이터베이스로 구성될 수 있다. 각 UD 코드 분산 데이터베이스(104)에는 실시간으로 동일한 데이터의 저장이 이루어진다.

UD 코드 분산 데이터베이스 대비 모듈(105)은 UD코드가 각각 저장된 다수의 UD 코드 분산 데이터베이스(104)를 상호 대비하여 상호 일치하지 않는 UD 코드 분산 데이터베이스(104)를 검색하도록 구성될 수 있다. 즉, 데이터베이스 간에 그 자체로 대비를 하도록 구성될 수 있다.

알람 생성 모듈(106)은 UD 코드 분산 데이터베이스 대비 모듈(105)에서 상호 일치하지 않는 UD 코드 분산 데이터베이스(104)가 존재하는 경우 해당 UD 코드 분산 데이터베이스(104)에 대한 알람을 생성하도록 구성될 수 있다. 즉, 침입자가 특정 UD 코드 분산 데이터베이스(104)에 노트북으로 직접 연결하여 데이터를 변경하거나 악성 코드를 심는 경우에는 그 UD 코드 분산 데이터베이스(104)는 다른 UD 코드 분산 데이터베이스(104)들과 일치하지 않게 되어 침입을 쉽게 감지할 수 있다.

알람 송신 모듈(107)은 알람 생성 모듈(106)에서 생성된 알람을 사용자 단말(10)로 실시간 송신하도록 구성될 수 있다.

도 2는 현재의 발전소 제어망 자산(10)에 관해 도식화하여 나타내고 있다.

발전소 제어망 자산(10)에 관한 추가, 변경, 삭제에 관한 이력을 나타낸다.

이러한 이력 추적을 추적하면, 발전소 제어망 자산(10)이 현재 발전소 제어망에 연결되어 있는 경우 발전소 제어망 자산(10)을 자동으로 승인하고 현재 발전소 제어망에 연결되어 있지 않은 경우 발전소 제어망 자산(10)을 자동으로 비승인할 수 있다.

알람을 수신한 사용자 단말(20)의 입력에 따라 발전소 제어망 자산(10)을 승인 또는 비승인하도록 구성될 수도 있다.

아울러 사용자가 도면 등을 통해 알고 있는 발전소 제어망 자산(10)에 대해서는 직접 수동으로 승인할 수 있다. 사용자가 도면 등을 통해 확인할 수 없는 구성에 대해서는 비승인할 수 있다.

다시 말하면, 머신 러닝에 의해 UD 코드 부여와 그 이상 상황을 탐지하고 궁극적으로는 자산까지 등록하고 이를 이상 상황으로 탐지하지 않도록 하는 일련의 구성이 모두 자동적으로 이루어질 수 있다.

이상 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허청구범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.

101: 발전소 제어망 자산 트래픽 수집 모듈
102: 트래픽 분석 모듈
103: UD 코드 생성 모듈
104: UD 코드 분산 데이터베이스
105: UD 코드 분산 데이터베이스 대비 모듈
106: 알람 생성 모듈
107: 알람 송신 모듈

Claims (3)

1. 발전소 제어망 내에서 네트워크 통신을 하는 발전소 제어망 자산 간의 트래픽 데이터를 실시간 수집하는 발전소 제어망 자산 트래픽 수집 모듈;
   상기 발전소 제어망 자산 트래픽 수집 모듈에서 실시간 수집되는 트래픽 데이터를 파싱하여 헤더와 페이로드로 분류하고 실시간 분석하는 트래픽 분석 모듈;
   머신 러닝을 수행하여 상기 트래픽 분석 모듈에서 실시간 분석되는 트래픽 데이터의 헤더를 파악하여 각 발전소 제어망 자산에 대한 고유의 UD 코드를 실시간 자동으로 생성하는 UD 코드 생성 모듈;
   다수의 분산 데이터 베이스들로 구성되며, 상기 다수의 분산 데이터 베이스들 각각에는 상기 UD 코드 생성 모듈에서 실시간 생성된 UD 코드가 동일하게 실시간 저장되는 UD 코드 분산 데이터 베이스;
   상기 UD코드가 각각 저장된 다수의 분산 데이터 베이스들을 상호 대비하여 일치하지 않는 특정 분산 데이터 베이스를 검색하는 UD 코드 분산 데이터 베이스 대비 모듈;
   상기 UD 코드 분산 데이터베이스 대비 모듈에서 상호 일치하지 않는 특정 분산 데이터베이스가 검색된 경우, 침입자가 상기 특정 분산 데이터 베이스에 접속하여 데이터를 변경하는 경우라 판단하고 상기 특정 분산 데이터베이스에 대한 침입 알람을 생성하는 알람 생성 모듈; 및
   상기 알람 생성 모듈에서 생성된 침입 알람을 사용자 단말로 실시간 송신하는 알람 송신 모듈을 포함하는 것을 특징으로 하는 발전소 제어망 자산의 트래픽의 분산 저장을 이용한 이상 감지 시스템.
2. 삭제
3. 삭제

Images