| 1 |
1
소정기간 동안 원격지 자원을 감시하는 제어시스템의 Modbus/TCP 통신시 발생한 트래픽을 모니터링 하고, 모니터링된 상기 트래픽을 토대로 모드버스 통신 패턴을 생성하는 통신패턴 분류기; 및생성된 상기 모드버스 통신 패턴을 기반으로 상기 제어시스템의 비정상 트래픽을 탐지하는 비정상 행위 탐지기를 포함하는 비정상 트래픽 탐지 장치
|
| 2 |
2
제1항에 있어서,상기 통신패턴 분류기는 상기 제어시스템의 클라이언트에 의해 생성된 모드버스 요청 메시지를 수집하여 상기 모드버스 요청 메시지를 토대로 상기 모드버스 통신 패턴을 생성하는 것인 비정상 트래픽 탐지 장치
|
| 3 |
3
제2항에 있어서,상기 통신패턴 분류기는 상기 모드버스 요청 메시지의 목적지 주소 값과 동일한 서버 주소 값이 상기 모드버스 통신 패턴에 포함된 서버 테이블에 등록되어 있는지 여부를 판단하고, 판단결과, 상기 목적지 주소 값와 동일한 서버 주소 값이 상기 서버 테이블에 등록되어 있지 않은 경우, 상기 목적지 주소 값을 상기 서버 테이블에 등록하는 것인 비정상 트래픽 탐지 장치
|
| 4 |
4
제2항에 있어서,상기 통신패턴 분류기는 상기 모드버스 요청 메시지의 근원지 주소 값/목적지 주소 값/유닛 아이디 값/명령 코드 값(SIP/UIP/UID/FCode)조합 정보와 동일한 조합 정보가 상기 모드버스 통신 패턴에 포함된 명령어 테이블에 등록되어 있는지 여부를 판단하고, 판단결과, 상기 SIP/UIP/UID/FCode조합 정보와 동일한 조합 정보가 상기 명령어 테이블에 등록되어 있지 않은 경우, 상기 SIP/UIP/UID/FCode조합 정보를 상기 명령어 테이블에 등록하는 것인 비정상 트래픽 탐지 장치
|
| 5 |
5
제1항에 있어서,상기 통신패턴 분류기는 상기 제어시스템의 클라이언트에 의해 생성된 모드버스 요청 메시지를 수집하고, 수집된 상기 모드버스 요청 메시지를 토대로 상기 모드버스 통신 패턴으로서, 서버 테이블 및 명령어 테이블의 엔트리를 생성하는 것인 비정상 트래픽 탐지 장치
|
| 6 |
6
제5항에 있어서,상기 통신패턴 분류기는 서버 주소 값 및 유닛 아이디 값을 포함하는 상기 서버 테이블의 엔트리와 근원지 주소 값, 목적지 주소 값, 유닛 아이디 값 및 명령 코드 값을 포함하는 상기 명령어 테이블의 엔트리를 생성하는 것인 비정상 트래픽 탐지 장치
|
| 7 |
7
제1항에 있어서,상기 비정상 행위 탐지기는 상기 제어시스템의 클라이언트로부터 수신된 모드버스 요청 메시지와 생성된 상기 모드버스 통신 패턴을 기반으로 상기 제어시스템의 Modbus/TCP 통신시 비정상 트래픽을 탐지하는 것인 비정상 트래픽 탐지 장치
|
| 8 |
8
제7항에 있어서,상기 비정상 행위 탐지기는 상기 모드버스 요청 메시지의 근원지 주소 값과 동일한 서버 주소 값이 상기 모드버스 통신 패턴에 포함된 서버 테이블에 존재하는지 여부를 판단하고, 판단결과, 상기 근원지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재할 경우, 상기 근원지 주소 값에 대응되는 서버를 비정상 서버로 판단하는 것인 비정상 트래픽 탐지 장치
|
| 9 |
9
제8항에 있어서,상기 비정상 행위 탐지기는 상기 판단결과, 상기 근원지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재하지 않는 경우, 상기 모드버스 요청 메시지의 목적지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재하는지 여부를 판단하고, 판단결과 상기 목적지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재하지 않는 경우, 상기 목적지 주소 값에 대응되는 서버를 알 수 없는 서버로 판단하는 것인 비정상 트래픽 탐지 장치
|
| 10 |
10
제9항에 있어서,상기 비정상 행위 탐지기는 상기 목적지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재할 경우, 상기 모드버스 요청 메시지의 SIP/UIP/UID/FCode 조합 정보와 동일한 조합 정보가 상기 모드버스 통신 패턴에 포함된 명령어 테이블에 존재하는지 여부를 판단하고, 판단결과에 따라 비정상 명령어 레벨을 설정하며, 설정된 결과를 토대로 경보가 발생하도록 하는 것인 비정상 트래픽 탐지 장치
|
| 11 |
11
소정기간 동안 원격지 자원을 감시하는 제어시스템의 Modbus/TCP 통신시 발생한 트래픽을 모니터링 하고, 모니터링된 상기 트래픽을 토대로 모드버스 통신 패턴을 생성하는 단계; 및생성된 상기 모드버스 통신 패턴을 기반으로 상기 제어시스템의 비정상 트래픽을 탐지하는 단계를 포함하는 비정상 트래픽 탐지 방법
|
| 12 |
12
제11항에 있어서, 상기 생성하는 단계는,상기 제어시스템의 클라이언트에 의해 생성된 모드버스 요청 메시지를 수집하는 단계; 및수집된 상기 모드버스 요청 메시지를 토대로 상기 모드버스 통신 패턴으로서, 서버 테이블 및 명령어 테이블의 엔트리를 생성하는 단계를 포함하는 것인 비정상 트래픽 탐지 방법
|
| 13 |
13
제12항에 있어서, 상기 엔트리를 생성하는 단계는,상기 모드버스 요청 메시지의 목적지 주소 값과 동일한 서버 주소 값이 상기 모드버스 통신 패턴에 포함된 서버 테이블에 등록되어 있지 않은 경우, 상기 목적지 주소 값을 상기 서버 테이블에 등록하는 단계;상기 모드버스 요청 메시지의 SIP/UIP/UID/FCode조합 정보와 동일한 조합 정보가 상기 모드버스 통신 패턴에 포함된 명령어 테이블에 등록되어 있는지 여부를 판단하는 단계; 및판단결과, 상기 SIP/UIP/UID/FCode조합 정보와 동일한 조합 정보가 상기 명령어 테이블에 등록되어 있지 않은 경우, 상기 SIP/UIP/UID/FCode조합 정보를 상기 명령어 테이블에 등록하는 단계를 포함하는 것인 비정상 트래픽 탐지 방법
|
| 14 |
14
제11항에 있어서, 상기 제어시스템의 비정상 트래픽을 탐지하는 단계는,상기 제어시스템의 클라이언트로부터 수신된 모드버스 요청 메시지와 생성된 상기 모드버스 통신 패턴을 기반으로 상기 제어시스템의 Modbus/TCP 통신시 비정상 트래픽을 탐지하는 단계를 포함하는 것인 비정상 트래픽 탐지 방법
|
| 15 |
15
제14항에 있어서, 상기 Modbus/TCP 통신시 비정상 트래픽을 탐지하는 단계는,상기 모드버스 요청 메시지의 근원지 주소 값과 동일한 서버 주소 값이 상기 모드버스 통신 패턴에 포함된 서버 테이블에 존재하는지 여부를 판단하는 단계; 및판단결과, 상기 근원지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재할 경우, 상기 근원지 주소 값에 대응되는 서버를 비정상 서버로 판단하는 단계를 포함하는 것인 비정상 트래픽 탐지 방법
|
| 16 |
16
제15항에 있어서, 상기 Modbus/TCP 통신시 비정상 트래픽을 탐지하는 단계는,상기 판단결과, 상기 근원지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재하지 않는 경우, 상기 모드버스 요청 메시지의 목적지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재하는지 여부를 판단하는 단계; 및 판단결과, 상기 목적지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재하지 않는 경우, 상기 목적지 주소 값에 대응되는 서버를 알 수 없는 서버로 판단하는 단계를 더 포함하는 것인 비정상 트래픽 탐지 방법
|
| 17 |
17
제16항에 있어서, 상기 Modbus/TCP 통신시 비정상 트래픽을 탐지하는 단계는,상기 목적지 주소 값과 동일한 서버 주소 값이 상기 서버 테이블에 존재할 경우, 상기 모드버스 요청 메시지의 SIP/UIP/UID/FCode조합 정보와 동일한 조합 정보가 상기 모드버스 통신 패턴에 포함된 명령어 테이블에 존재하는지 여부를 판단하는 단계; 및판단결과에 따라 비정상 명령어 레벨을 설정하고, 설정된 결과를 토대로 경보를 발생하는 단계를 더 포함하는 것인 비정상 트래픽 탐지 방법
|
| 18 |
18
제17항에 있어서, 상기 경보를 발생하는 단계는,상기 SIP/UIP/UID/FCode조합 정보와 동일한 조합 정보가 상기 명령어 테이블에 존재하지 않는 경우, SIP/FCode조합 정보와 동일한 조합 정보가 상기 명령어 테이블에 존재하는지 여부를 판단하는 단계; 및판단결과, 상기 SIP/FCode조합 정보와 동일한 조합 정보가 상기 명령어 테이블에 존재할 경우, 상기 비정상 명령어 레벨을 최저 위험 레벨로 설정하는 단계를 포함하는 것인 비정상 트래픽 탐지 방법
|
| 19 |
19
제18항에 있어서, 상기 경보를 발생하는 단계는,상기 SIP/FCode조합 정보와 동일한 조합 정보가 상기 명령어 테이블에 존재하지 않는 경우, FCode가 상기 명령어 테이블에 존재하는지 여부를 판단하는 단계; 및판단결과 상기 FCode가 상기 명령어 테이블에 존재하지 않는 경우, 상기 비정상 명령어 레벨을 최고 위험 레벨로 설정하는 단계를 더 포함하는 것인 비정상 트래픽 탐지 방법
|
| 20 |
20
제19항에 있어서, 상기 경보를 발생하는 단계는, 상기 FCode가 상기 명령어 테이블에 존재할 경우, 상기 비정상 명령어 레벨을 상기 최저 위험 레벨 및 상기 최고 위험 레벨의 중간 위험 레벨로 설정하는 단계를 더 포함하는 것인 비정상 트래픽 탐지 방법
|
