KR20170050941A - 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법 - Google Patents

전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법 Download PDF

Info

Publication number
KR20170050941A
KR20170050941A KR1020150153111A KR20150153111A KR20170050941A KR 20170050941 A KR20170050941 A KR 20170050941A KR 1020150153111 A KR1020150153111 A KR 1020150153111A KR 20150153111 A KR20150153111 A KR 20150153111A KR 20170050941 A KR20170050941 A KR 20170050941A
Authority
KR
South Korea
Prior art keywords
automation system
power control
cyber attack
open flow
whitelist
Prior art date
Application number
KR1020150153111A
Other languages
English (en)
Inventor
민석홍
김인회
최재덕
Original Assignee
(주) 시스템뱅크
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주) 시스템뱅크 filed Critical (주) 시스템뱅크
Priority to KR1020150153111A priority Critical patent/KR20170050941A/ko
Priority to PCT/KR2016/005640 priority patent/WO2017078235A1/ko
Publication of KR20170050941A publication Critical patent/KR20170050941A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02J—CIRCUIT ARRANGEMENTS OR SYSTEMS FOR SUPPLYING OR DISTRIBUTING ELECTRIC POWER; SYSTEMS FOR STORING ELECTRIC ENERGY
    • H02J3/00—Circuit arrangements for ac mains or ac distribution networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/70—Virtual switches
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H02J2003/001—
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/142—Denial of service attacks against network infrastructure
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02B—CLIMATE CHANGE MITIGATION TECHNOLOGIES RELATED TO BUILDINGS, e.g. HOUSING, HOUSE APPLIANCES OR RELATED END-USER APPLICATIONS
    • Y02B70/00—Technologies for an efficient end-user side electric power management and consumption
    • Y02B70/30—Systems integrating technologies related to power network operation and communication or information technologies for improving the carbon footprint of the management of residential or tertiary loads, i.e. smart grids as climate change mitigation technology in the buildings sector, including also the last stages of power distribution and the control, monitoring or operating management systems at local level
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S20/00—Management or operation of end-user stationary applications or the last stages of power distribution; Controlling, monitoring or operating thereof
    • Y04S20/20—End-user application control systems
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

본 발명은 멀티 레벨 네트워크 구조를 갖는 IEC 61850 기반의 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템으로서, 상기 전력 제어 자동화 시스템의 이웃하는 레벨에 위치하는 기기들을 중계하며, 상기 전력 제어 자동화 시스템 내에서 포워딩이 허용되는 트래픽이 정의된 화이트리스트가 반영된 포워딩 테이블에 따라 트래픽 제어를 수행하는 오픈플로우 스위치와; 상기 오픈플로우 스위치를 제어하는 컨트롤러를 포함하는 사이버 공격 대응 시스템을 제공한다.

Description

전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법{System and method of responding to cyber-attach to power control automation system}
본 발명은 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법에 관한 것이다.
기존 전력망에 IT기술을 접목하여 공급자와 소비자가 양방향으로 실시간 전력정보를 교환함으로써 에너지 효율을 최적화하는 차세대 전력망인 스마트 그리드(smart grid)에 대한 연구가 최근에 활발히 진행되고 있다.
가정이나 공장 또는 빌딩 등에 전력을 공급하기 위한 전력 시스템은 전력을 생산하는 발전소, 전력을 수송하는 송전선로, 전력을 필요한 크기로 변성하는 변전소, 및 필요한 각 지역으로 전력을 배분하는 배전선로 등으로 이루어지고, 상기 변전소는 변압기, 모선, 선로, 차단기 등의 전력 설비로 구성된다.
변압기에서는 전송되는 전압의 크기를 변성하고, 모선에서는 송전선로를 연결하며, 차단기에서는 선로의 전력흐름을 차단하는 역할을 수행한다.
IED(Intelligent Electronic Device)는 변전소에 설치되어 각종 전력 설비를 감시, 제어 및 보호하기 위한 지능형 전자 장치로서 컴퓨터가 사용될 수 있다. IED에 결함이 발생하면 전력 설비를 적절히 감시, 제어 및 보호하기 어려우므로 전력공급이 원활히 이루어지기 어렵다.
기존의 변전소에서는 IED가 전력 설비와 직접 연결되고 독립적으로 동작하였으나 최근에는 각 IED가 서로 정보를 공유하는 변전소 자동화 시스템이 도입되는 추세이다.
IEC(International Electrotechnical Commission) 61850은 변전소 내 설치된 이종 IED간의 원활한 통신을 구현하기 위하여 제안된 국제표준 변전소 자동화 통신 아키텍쳐(architecture)이다.
IEC 61850은 변전소 자동화에 있어 실질적으로 유일한 국제 표준으로 자리잡고 있어, 향후 모든 IED가 IEC 61850 국제 규격을 따를 전망이다.
그런데, IEC 61850은 개방형(open) 아키텍쳐로서 일반적인 ICT 환경에서의 보안 취약성이 그대로 유입될 수 있다. 특히, 근래의 사이버 공격은 과거 불특정 다수를 대상으로 하는 단순한 방법에서 지능형 공격 즉, APT(Advanced Persistent Threat)으로 진화하고 있으며, 이와 같은 지능형 사이버 공격은 알려지지 않은 취약점인 제로데이(zero day) 취약점을 이용하거나 장시간 준비과정을 거쳐 은밀하게 이루어지는 경우가 대부분이기 때문에 이에 대하 탐지나 차단이 상당히 곤란한 문제가 있다.
이와 같은 지능형 사이버 공격이 변전소 자동화 시스템에서 발생되면 그 파급력은 사회 전체를 마비시킬 정도로 엄청나게 된다. 나아가, 이와 같은 사이버 공격 문제는 변전소 자동화 시스템과 같이 오픈플로우 스위치가 적용될 수 있는 멀티 레벨 네트워크 구조의 전력 제어 자동화 시스템에 대해서도 동일하게 발생할 수 있다.
이러한바, 변전소 자동화 시스템을 포함하는 전력 제어 자동화 시스템에 대한 지능형 사이버 공격을 대응할 수 있는 방안이 마련될 필요가 있다.
본 발명은 전력 제어 자동화 시스템에 대한 사이버 공격에 효과적으로 대응할 수 있는 방안을 제공하는 것을 과제로 한다.
전술한 바와 같은 과제를 달성하기 위해, 본 발명은 멀티 레벨 네트워크 구조를 갖는 IEC 61850 기반의 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템으로서, 상기 전력 제어 자동화 시스템의 이웃하는 레벨에 위치하는 기기들을 중계하며, 상기 전력 제어 자동화 시스템 내에서 포워딩이 허용되는 트래픽이 정의된 화이트리스트가 반영된 포워딩 테이블에 따라 트래픽 제어를 수행하는 오픈플로우 스위치와; 상기 오픈플로우 스위치를 제어하는 컨트롤러를 포함하는 사이버 공격 대응 시스템을 제공한다.
여기서, 상기 컨트롤러와, 상기 화이트리스트에 대한 작성 기능을 제공하는 화이트리스트 작성모듈, 상기 화이트리스트를 저장하는 데이터베이스장치를 포함하고, 상기 전력 제어 자동화 시스템의 게이트웨이를 통해 상기 오픈플로우 스위치와 연결되는 관리서버를 포함할 수 있다.
상기 화이트리스트 작성모듈은, 상기 화이트리스트에 대한 업데이트나 삭제 기능을 제공하고, 상기 업데이트나 삭제된 화이트리스트는 상기 오픈플로우 스위치에 전송되어 상기 포워딩 테이블에 반영되도록 구성될 수 있다.
상기 전력 제어 자동화 시스템은 변전소 자동화 시스템일 수 있다.
다른 측면에서, 본 발명은 멀티 레벨 네트워크 구조를 갖는 IEC 61850 기반의 전력 제어 자동화 시스템에 대한 사이버 공격 대응 방법으로서, 컨트롤러에 의해 제어되고 상기 전력 제어 자동화 시스템의 이웃하는 레벨에 위치하는 기기들을 중계하는 오픈플로우 스위치에서, 상기 전력 제어 자동화 시스템 내에서 포워딩이 허용되는 트래픽이 정의된 화이트리스트가 반영된 포워딩 테이블에 따라 트래픽 제어를 수행하는 단계를 포함하는 사이버 공격 대응 방법을 제공한다.
여기서, 화이트리스트 작성모듈을 통해 상기 화이트리스트를 작성하는 단계와; 상기 작성된 화이트리스트를 데이터베이스장치에 저장하는 단계를 포함하고, 상기 작성된 화이트리스트는 상기 전력 제어 자동화 시스템의 게이트웨이를 통해 상기 오픈플로우 스위치에 전송될 수 있다.
상기 화이트리스트 작성모듈은, 상기 화이트리스트에 대한 업데이트나 삭제 기능을 제공하고, 상기 업데이트나 삭제된 화이트리스트는 상기 오픈플로우 스위치에 전송되어 상기 포워딩 테이블에 반영될 수 있다.
상기 전력 제어 자동화 시스템은 변전소 자동화 시스템일 수 있다.
본 발명에 따르면, IEC 61850 기반 변전소 자동화 시스템에 대한 지능형 사이버 공격 대응 시스템으로서 오픈플로우 프로토콜 기반의 시스템을 구축하게 된다.
이에 따라, 변전소 자동화 시스템 네트워크 내에서 포워딩이 허용되는 트래픽을 정의한 화이트리스트를 기반으로 트래픽 제어를 효과적으로 수행할 수 있게 되어, 변전소 자동화 시스템에 대한 지능형 사이버 공격을 신속하고 효율적으로 탐지하여 차단할 수 있게 된다.
도 1은 본 발명의 실시예에 따른 변전소 자동화 시스템과 이에 대한 사이버 공격을 대응하는 사이버 공격 대응 시스템을 개략적으로 도시한 도면.
도 2는 본 발명의 실시예에 따른 사이버 공격 대응 시스템의 구성을 개략적으로 도시한 도면.
도 3은 본 발명의 실시예에 따른 사이버 공격 대응 시스템의 오픈플로우 스위치의 트래픽 출력 제어 모습을 개략적으로 도시한 도면.
이하, 도면을 참조하여 본 발명의 실시예를 상세하게 설명한다.
이하에는, 설명의 편의를 위해, 사이버 공격 대응 시스템의 대상이 되는 전력 제어 자동화 시스템으로서 변전소 자동화 시스템을 일예로 들어 설명한다.
도 1은 본 발명의 실시예에 따른 변전소 자동화 시스템과 이에 대한 사이버 공격을 대응하는 사이버 공격 대응 시스템의 구성을 개략적으로 도시한 도면이다.
도 1을 참조하면, 본 실시예에 따른 변전소 자동화 시스템(10)은 IEC 61850 기반의 시스템으로서, 이 시스템(10)에 설치된 기기 간에는 IEC 61850 프로토콜에 따라 통신하여 메세지를 송수신할 수 있게 된다.
여기서, 변전소 자동화 시스템(10) 네트워크에서는, 예를 들면, MMS(Manufacturing Message Specification), GOOSE(General Objected Oriented Sustation Event), SV(Sampled Value) 메세지와 같은 트래픽이 대부분을 차지하며, 이들은 프로토콜 스택 중 데이터 링크 계층을 공통속성으로 갖고 있어 동일한 이더넷 헤더를 사용하고 공통으로 송신지와 목적지의 이더넷 주소를 기반으로 송수신된다. 따라서, 네트워크 외부와의 송수신 트래픽 외의 메세지는 이더넷 주소를 사용하여 네트워크 내의 기기 간에 송수신된다.
이와 같은 변전소 자동화 시스템(10)은, 멀티 레벨(multi-level)의 다계층 구조를 가질 수 있는데, 예를 들면, 최하위 레벨인 프로세스 레벨(process level)과, 최상위 레벨인 스테이션 레벨(station level)과, 중간 레벨인 베이 레벨(bay level)이 구성될 수 있다.
여기서, 프로세스 레벨에는 적어도 하나의 IED 즉 프로세스 IED(IED1)가 위치할 수 있다. 프로세스 IED(IED1)는, 예를 들면, 변전소 내 변압기, 모선, 선로, 차단기 등의 전력 설비 각 계통에 연결될 수 있다.
베이 레벨에는 적어도 하나의 IED 즉 베이 IED(IED2)가 위치할 수 있다.
베이 레벨에 위치하는 베이 IED(IED2)와 프로세스 레벨에 위치하는 프로세스 IED(IED1)는 이들 사이의 프로세스 버스 상에 구성된 스위치 즉 제1스위치(SW1)에 연결되어 이더넷(ethernet) 기반의 통신 프로토콜에 따라 통신하게 된다. 제1스위치(SW1)를 통한 통신 중계에 의해, 베이 IED(IED2)는 프로세스 IED(IED1)를 제어하고 프로세스 IED(IED1)로부터 정보를 수집할 수 있다.
스테이션 레벨에는 이보다 하위 레벨에 위치하는 기기들을 제어하는 적어도 하나의 스테이션 장치(SD)가 위치할 수 있다. 스테이션 장치(SD)는 컴퓨터와 같은 사용자 인터페이스, 예를 들어 HMI(Human-Machine Interface)에 해당된다. 또한, 스테이션 레벨에는 변전소 자동화 시스템(10)을, 이를 제어하고 관리하는 외부의 시스템 예를 들면 관리센터(MS)와 연계하기 위한 게이트웨이(GW)가 위치할 수 있다.
스테이션 레벨에 위치하는 스테이션 장치(SD)와 베이 레벨에 위치하는 베이 IED(IED2)는 이들 사이의 스테이션 버스 상에 구성된 스위치 즉 제2스위치(SW2)에 연결되어 이더넷(ethernet) 기반의 통신 프로토콜에 따라 통신하게 된다. 제2스위치(SW2)를 통한 통신 중계에 의해, 스테이션 장치(SD)는 베이 IED(IED2)를 제어하고 베이 IED(IED2)로부터 정보를 수집할 수 있다.
그리고, 게이트웨이(GW)는 관리센서(MS)와의 연계를 위해 제2스위치(SW2)와 연결되도록 구성된다.
전술한 바와 같이 구성된 IEC 61850 기반의 변전소 자동화 시스템(10)은 그 특성상 APT와 같은 지능형 사이버 공격에 취약한바, 본 실시예에서는 지능형 사이버 공격에 대응하기 위한 사이버 공격 대응 시스템(100)이 구성된다.
이와 같은 사이버 공격 대응 시스템(100)의 구성에 대해 도 2를 더 참조하여보다 상세하게 설명한다.
이 사이버 공격 대응 시스템(100)은 오픈플로우(openflow) 프로토콜을 이용하여 구현된 시스템으로서, 오픈플로우 스위치(SW_of)와, 오픈플로우 스위치(SW_of)를 제어하는 컨트롤러(120)가 구성된 제어서버(110)를 포함할 수 있다.
이와 같이, 본 실시예의 사이버 공격 대응 시스템(100)은 오픈플로우 프로토콜을 이용하게 되는바, 변전소 자동화 시스템(10) 내에서의 트래픽 허용 리스트인 화이트리스트(white list) 기반의 환경이 제공될 수 있게 된다. 특히, 화이트리스트는 변전소 자동화 시스템(10) 네트워크 내에서의 트래픽 속성들의 조합으로 구성될 수 있다.
이에 따라, 변전소 자동화 시스템(10) 내에서 화이트리스트에 정의된 허용된 네트워크 경로에 대해서만 패킷 포워딩 동작이 수행되고, 허용되지 않은 네트워크 경로에 대해서는 패킷 포워딩이 차단되도록 구성할 수 있게 된다. 따라서, 비정상적인 네트워크 경로를 통한 트래픽에 의한 지능형 사이버 공격이 효과적으로 차단될 수 있게 된다.
사이버 대응 시스템(100)의 오픈플로우 스위치(SW_of)는 변전소 자동화 시스템(10) 내의 이웃하는 상하 레벨 간의 통신을 중계하는 스위치(SW1,SW2)로 사용된다. 즉, 변전소 자동화 시스템(10)의 제1,2스위치(SW1,SW2) 각각을 오픈플로우 스위치(SW_of)로 구성하게 된다.
오픈플로우 스위치(SW_of)는 소프트웨어 영역(A1)과 하드웨어 영역(A2)로 구성된다. 소프트웨어 영역(A1)에는 보안채널(secure channel)(SC)이 구성되고, 하드웨어 영역(A2)에는 적어도 하나의 포워딩 테이블(FT)(즉, 플로우 테이블)이 구성될 수 있다. 본 실시예에서는 설명의 편의를 위해, 다수의 포워딩 테이블(FT)이 파이프라인 형태로 배치된 경우를 예로 든다. 한편, 도시하지는 않았지만, 하드웨어 영역(A2)에는 그룹 테이블이 구성될 수 있다.
소프트웨어 영역(A2)에 구성된 보안채널(SC)을 통해 오픈플로우 스위치(SW_of)는 외부에 구성된 컨트롤러(120)와 오픈플로우 프로토콜 통신을 수행하게 된다. 오픈플로우 프로토콜 통신을 통해, 컨트롤러(120)는 오픈플로우 스위치(SW_of)에 명령을 하고, 이 명령에 따라 오픈플로우 스위치(SW_of)는 패킷을 목적지로 전송하거나 수정, 폐기(drop)하는 등의 트래픽 처리를 수행할 수 있다.
이와 같은 신호 처리 동작은 하드웨어 영역(A2)에 저장된 포워딩 테이블(FT)을 참조하여 수행될 수 있게 된다. 포워딩 테이블(FT)은 오픈플로우 스위치(SW_of)를 경유하는 패킷 플로우에 대한 포워딩 동작이 정의된 테이블로서, 특히 본 실시예에서는 변전소 자동화 시스템(10) 내의 트래픽 허용 리스트인 화이트리스트를 기반으로 포워딩 테이블(PT)이 설정된다.
이와 같은 포워딩 테이블(FT)은, 각각이 '조건(header fields 또는 match fields)', '액션(actions)', '통계(stats 또는 couters)' 정보로 구성된 다수의 포워딩 엔트리(entries)(즉, 플로우 엔트리)로 구성될 수 있다. 여기서, '조건' 정보에는 포워딩 경로와 같은 포워딩 룰이 정의되고, '액션' 정보에는 전송, 폐기 등의 포워딩 룰에 대한 처리 동작이 정의되고, '통계' 정보에는 해당 포워드 엔트리 별 송수신 트래픽 양(예를 들어, 패킷 수와 바이트 수 등)이 기록되어 나타날 수 있다.
도 3을 참조하여, 위와 같이 구성된 오픈플로우 스위치(SW_of)에 대해 변전소 자동화 시스템(10) 내의 특정 기기로부터 전달된 패킷이 스위치(SW_of)에 입력되면, 포워딩 테이블(FT)과 비교 과정이 수행되어 매칭되는 포워드 엔트리가 있으면 이에 해당되는 액션 즉 포워딩 동작을 수행하여 출력하고, 매칭되는 포워딩 엔트리가 없으면 폐기 동작을 수행하여 포워딩을 차단하게 된다.
이처럼, 포워딩 테이블(FT)은 이를 경유하는 트래픽에 대한 포워딩 룰이 정의된 테이블로서, 정의된 플로우에 매칭되는 트래픽에 대해서는 전송 동작을 수행하게 되고 정의되지 않은 플로우의 트래픽에 대해서는 전송 동작을 수행하지 않게 된다.
한편, 포워딩 테이블(FT)에 정의되지 않은 전송 경로의 트패릭에 대해서는 해당 트랙픽에 대한 통계 정보를 컨트롤러(120)로 전송하도록 구성될 수 있다. 이 경우에, 이 통계 정보는 오픈플로우 스위치(SW_of)의 메모리에 데이터베이스화 되어 저장되도록 구성될 수 있다.
위와 같이, 본 실시예에서는 오픈플로우 스위치(SW_of)를 사용하여 화이트리스트 기반의 트래픽 포워딩 제어 동작을 수행하게 됨으로써, 비정상적 트래픽을 통한 지능형 사이버 공격을 효과적으로 방지할 수 있게 된다.
오픈플로우 스위치(SW_of)를 제어하는 컨트롤러(120)는 제어서버(110)에 소프트웨어로 구성될 수 있다. 제어서버(110)는 변전소 자동화 시스템(10)의 게이트웨이(GW)를 통해 오픈플로우 스위치(SW_of)와 연결되도록 구성될 수 있으며, 이에 따라 제어서버(110)에 구성된 컨트롤러(120)는 오픈플로우 프로토콜 통신을 통해 오픈플로우 스위치(SW_of)의 동작을 제어하게 된다.
한편, 제어서버(110)는 관리센터(MS) 내에 구성될 수 있는데, 이에 한정되지는 않는다.
제어서버(110)에는 포워딩 테이블을 설정하기 위한 정보로서 트패픽 허용 리스트인 화이트리스트를 작성하기 위한 화이트리스트 작성모듈(130)과, 작성된 화이트리스트를 데이터베이스로 저장하는 데이터베이스장치(DB)를 구비할 수 있다. 이와 같은 화이트리스트는 변전소 자동화 시스템(10) 네트워크에서의 트래픽 속성들의 조합으로 구성될 수 있다.
화이트리스트 작성모듈(130)은 소프트웨어로 구성될 수 있으며, 사용자 그래픽 인터페이스를 제공할 수 있다. 이와 같은 사용자 그래픽 인터페이스를 사용하여 사용자는 화이트리스트를 작성할 수 있다.
화이트리스트 작성모듈(130)은 화이트리스트를 작성하는 기능에 더하여 화이트리스트를 업데이트(update)하거나 적어도 일부를 삭제하는 기능을 제공할 수 있다. 이때, 화이트리스트 업데이트나 삭제는 오픈플로우 스위치(SW_of)로부터 전송된 트래픽 통계 정보를 참조하여 수행될 수 있다.
한편, 화이트리스트 작성, 업데이트(update), 삭제의 각 과정은 사용자에 의해 수행되거나 자동적으로 수행될 수 있다. 일예로, 화이트리스트 작성 과정에 있어, 자동적으로 디폴트 형태의 화이트리스트가 생성될 수 있고 사용자가 디폴트 화이트리스트에 추가적인 리스트를 부가하여 화이트리스트가 생성될 수 있다. 또한, 화이트리스트를 구성하는 속성 정보들 중 적어도 일부는 자동적으로 생성될 수 있으며, 나머지 속성 정보들을 사용자가 작성하도록 구성될 수도 있다.
화이트리스트 작성모듈(130)에 의해 작성된 화이트리스트는 데이터베이스장치(DB)에 저장되며, 업데이트나 삭제 발생시 이는 데이터베이스장치(DB)에 반영된다.
화이트리스트 작성모듈(130)을 통해 작성된 화이트리스트는 컨트롤러(120)의 제어에 의해 오픈플로우 스위치(SW_of)로 전송될 수 있다. 오픈플로우 스위치(SW_of)는 전송된 화이트리스트를 포워딩 테이블(FT)에 반영하게 되며, 이 포워딩 테이블을 참조하여 화이트리스트 기반의 트래픽 포워딩 제어를 수행하게 된다.
또한, 화이트리스트에 대한 업데이트나 삭제가 발생하게 되면, 업데이트나 삭제된 화이트리스트가 오픈플로우 스위치(SW_of)로 전송되어 포워딩 테이블(FT)에 즉시 적용될 수 있게 된다.
전술한 바와 같이, 본 발명의 실시예에 따르면, IEC 61850 기반 변전소 자동화 시스템에 대한 지능형 사이버 공격 대응 시스템으로서 오픈플로우 프로토콜 기반의 시스템을 구축하게 된다.
이에 따라, 변전소 자동화 시스템 네트워크 내에서 포워딩이 허용되는 트래픽을 정의한 화이트리스트를 기반으로 트래픽 제어를 효과적으로 수행할 수 있게 되어, 변전소 자동화 시스템에 대한 지능형 사이버 공격을 신속하고 효율적으로 탐지하여 차단할 수 있게 된다.
한편, 전술한 사이버 공격 대응 시스템은, 변전소 자동화 시스템 뿐만 아니라 그 외에 오픈플로우 스위치가 적용될 수 있는 멀티 레벨 네트워크 구조의 전력 제어 자동화 시스템에 적용할 수 있음은 자명하다.
전술한 본 발명의 실시예는 본 발명의 일예로서, 본 발명의 정신에 포함되는 범위 내에서 자유로운 변형이 가능하다. 따라서, 본 발명은, 첨부된 특허청구범위 및 이와 등가되는 범위 내에서의 본 발명의 변형을 포함한다.
10: 변전소 자동화 시스템 100: 사이버 공격 대응 시스템
110: 제어서버 120: 컨트롤러
130: 화이트리스트 작성모듈
SW1,SW2: 제1,2스위치 SW_of: 오픈플로우 스위치
A1,A2: 소프트웨어 영역, 하드웨어 영역
SC: 보안채널 FT: 포워딩 테이블
IED1,IED2: 제1,2IED SD: 스테이션 장치
GW: 게이트웨이

Claims (8)

  1. 멀티 레벨 네트워크 구조를 갖는 IEC 61850 기반의 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템으로서,
    상기 전력 제어 자동화 시스템의 이웃하는 레벨에 위치하는 기기들을 중계하며, 상기 전력 제어 자동화 시스템 내에서 포워딩이 허용되는 트래픽이 정의된 화이트리스트가 반영된 포워딩 테이블에 따라 트래픽 제어를 수행하는 오픈플로우 스위치와;
    상기 오픈플로우 스위치를 제어하는 컨트롤러
    를 포함하는 사이버 공격 대응 시스템.
  2. 제 1 항에 있어서,
    상기 컨트롤러와, 상기 화이트리스트에 대한 작성 기능을 제공하는 화이트리스트 작성모듈, 상기 화이트리스트를 저장하는 데이터베이스장치를 포함하고,
    상기 전력 제어 자동화 시스템의 게이트웨이를 통해 상기 오픈플로우 스위치와 연결되는 관리서버
    를 포함하는 사이버 공격 대응 시스템.
  3. 제 2 항에 있어서,
    상기 화이트리스트 작성모듈은, 상기 화이트리스트에 대한 업데이트나 삭제 기능을 제공하고,
    상기 업데이트나 삭제된 화이트리스트는 상기 오픈플로우 스위치에 전송되어 상기 포워딩 테이블에 반영되도록 구성된
    사이버 공격 대응 시스템.
  4. 제 1 항에 있어서,
    상기 전력 제어 자동화 시스템은 변전소 자동화 시스템인
    사이버 공격 대응 시스템.
  5. 멀티 레벨 네트워크 구조를 갖는 IEC 61850 기반의 전력 제어 자동화 시스템에 대한 사이버 공격 대응 방법으로서,
    컨트롤러에 의해 제어되고 상기 전력 제어 자동화 시스템의 이웃하는 레벨에 위치하는 기기들을 중계하는 오픈플로우 스위치에서, 상기 전력 제어 자동화 시스템 내에서 포워딩이 허용되는 트래픽이 정의된 화이트리스트가 반영된 포워딩 테이블에 따라 트래픽 제어를 수행하는 단계
    를 포함하는 사이버 공격 대응 방법.
  6. 제 5 항에 있어서,
    화이트리스트 작성모듈을 통해 상기 화이트리스트를 작성하는 단계와;
    상기 작성된 화이트리스트를 데이터베이스장치에 저장하는 단계를 포함하고,
    상기 작성된 화이트리스트는 상기 전력 제어 자동화 시스템의 게이트웨이를 통해 상기 오픈플로우 스위치에 전송되는
    사이버 공격 대응 방법.
  7. 제 6 항에 있어서,
    상기 화이트리스트 작성모듈은, 상기 화이트리스트에 대한 업데이트나 삭제 기능을 제공하고,
    상기 업데이트나 삭제된 화이트리스트는 상기 오픈플로우 스위치에 전송되어 상기 포워딩 테이블에 반영되는
    사이버 공격 대응 방법.
  8. 제 5 항에 있어서,
    상기 전력 제어 자동화 시스템은 변전소 자동화 시스템인
    사이버 공격 대응 방법.
KR1020150153111A 2015-11-02 2015-11-02 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법 KR20170050941A (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020150153111A KR20170050941A (ko) 2015-11-02 2015-11-02 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법
PCT/KR2016/005640 WO2017078235A1 (ko) 2015-11-02 2016-05-27 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020150153111A KR20170050941A (ko) 2015-11-02 2015-11-02 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법

Publications (1)

Publication Number Publication Date
KR20170050941A true KR20170050941A (ko) 2017-05-11

Family

ID=58662069

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020150153111A KR20170050941A (ko) 2015-11-02 2015-11-02 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법

Country Status (2)

Country Link
KR (1) KR20170050941A (ko)
WO (1) WO2017078235A1 (ko)

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010101522A1 (en) * 2009-03-03 2010-09-10 Megger Sweden Ab Method for detecting errors in an electrical power substation network
EP2498373B2 (en) * 2011-03-07 2022-06-08 Hitachi Energy Switzerland AG IEC 61850 substation gateway
US20140371941A1 (en) * 2013-06-18 2014-12-18 The Regents Of The University Of Colorado, A Body Corporate Software-defined energy communication networks
EP2887605A1 (en) * 2013-12-20 2015-06-24 ABB Technology AB Security framework for transmitting communication messages between a substation LAN and packet-switched WAN
US9344364B2 (en) * 2014-03-31 2016-05-17 Metaswitch Networks Ltd. Data center networks

Also Published As

Publication number Publication date
WO2017078235A1 (ko) 2017-05-11

Similar Documents

Publication Publication Date Title
EP2721801B1 (en) Security measures for the smart grid
US8756411B2 (en) Application layer security proxy for automation and control system networks
US9021067B2 (en) Determining VLAN-IDs for a switched-based communication network of a process control system
US9894080B1 (en) Sequence hopping algorithm for securing goose messages
US10389173B2 (en) Programmable and application aware power utility automation networking
Mashima et al. Artificial command delaying for secure substation remote control: Design and implementation
Hussain et al. Vulnerabilities and countermeasures in electrical substations
CN108183945A (zh) 基于物联网技术的人防工程设备智能化管理系统
da Silveira et al. IEC 61850 network cybersecurity: Mitigating GOOSE message vulnerabilities
Chromik et al. Bro in SCADA: Dynamic intrusion detection policies based on a system model
US20220137600A1 (en) Iot gateway for industrial control systems, associated devices, systems and methods
Kalra et al. Using software-defined networking to build modern, secure IEC 61850-based substation automation systems
Kabir-Querrec et al. Power utility automation cybersecurity: IEC 61850 specification of an intrusion detection function
Naedele et al. Network security for substation automation systems
KR101749554B1 (ko) 변전소 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법
Kirkman Development in substation automation systems
Wei et al. Application layer security proxy for smart Grid substation automation systems
CN109639466B (zh) 一种基于“源网荷”的电力工控系统网络安全检测系统
KR20170050941A (ko) 전력 제어 자동화 시스템에 대한 사이버 공격 대응 시스템 및 방법
KR20180036076A (ko) 화이트리스트 기반 사이버 공격 대응 시스템 및 화이트리스트 로그 분석 시스템
Ciancamerla et al. An electrical grid and its SCADA under cyber attacks: Modelling versus a Hybrid Test Bed
Abbaspour et al. Adaptive scheme protecting renewable‐dominated micro‐grids against usual topology‐change events
CN101436777B (zh) 一种基于传感器网络的继电保护监控系统及方法
US20040098172A1 (en) Configuration system for network appliances, and a method for reconfiguration of appliances
CN112367224A (zh) 一种终端监测装置、系统及方法

Legal Events

Date Code Title Description
E902 Notification of reason for refusal
E601 Decision to refuse application