| 1 |
1
적어도 하나의 프로세서에 의해 구동되는 컴퓨터 장치에서 PROFINET 프로토콜을 사용하는 기기간 화이트리스트를 생성하는 방법으로서,복수의 산업 장치들에서 생성된 정상 데이터 패킷들을 수집하는 단계,상기 정상 데이터 패킷들의 이더넷 헤더에 표시된 패킷 타입 정보에 기초하여 PROFINET 관련 데이터 패킷들을 선별하고 패킷 종류 별로 구분하는 단계, 그리고상기 패킷 종류 별로 사전에 지정된 패킷 특성값을 상기 PROFINET 관련 데이터 패킷들로부터 추출하고, 상기 추출한 패킷 특성값을 토대로 화이트리스트를 생성하는 단계를 포함하고,상기 PROFINET 관련 데이터 패킷들은,PROFINET 프로토콜과 상기 PROFINET 프로토콜을 이용한 통신 연결 과정에서 사용되는 적어도 하나의 PROFINET 관련 프로토콜의 데이터 패킷들인, 방법
|
| 2 |
2
제1항에서,상기 화이트리스를 생성하는 단계는,상기 패킷 종류 별로 구분한 PROFINET 관련 데이터 패킷들을 동일한 MAC(Media Access Control) 주소를 가진 데이터 패킷 들로 그룹핑하는 단계,그룹핑된 데이터 패킷들을 토대로 각각의 서로 다른 종류의 PROFINET 관련 데이터 패킷이 차지하는 트래픽 비율을 계산하는 단계, 그리고복수의 MAC 주소에 대한 각각의 트래픽 비율을 맵핑한 제1 화이트리스트를 생성하는 단계를 포함하는, 방법
|
| 3 |
3
제2항에서,상기 그룹핑하는 단계 이후,상기 그룹핑된 데이터 패킷들의 패킷 간격 및 패킷 개수 중 적어도 하나를 이용하여 패킷 패턴 정보를 생성하는 단계, 그리고 복수의 MAC 주소에 대한 각각의 패킷 패턴 정보를 맵핑한 제2 화이트리스트를 생성하는 단계를 더 포함하는, 방법
|
| 4 |
4
제3항에서,상기 제1 화이트리스트 및 상기 제2 화이트리스트를 이용하여 임의의 산업 장치로부터 생성된 비정상 데이터 패킷을 탐지하는 단계를 더 포함하는, 방법
|
| 5 |
5
제3항에서,상기 패킷 타입 정보는,상기 정상 데이터 패킷들의 MAC 계층의 EtherType 필드에 수록되는, 방법
|
| 6 |
6
제3항에서,상기 구분하는 단계는,상기 패킷 타입 정보 및 포트 번호를 이용하여, 상기 정상 데이터 패킷들이 LLDP(Link Layer Discovery Protocol), PROFINET Real-time, ARP(Address Resolution Protocol) 또는 PROFINET Standard 중 어느 패킷 종류에 속하는지 구분하는, 방법
|
| 7 |
7
제6항에서,상기 제1 화이트리스트는,그룹핑된 동일한 MAC 주소를 가진 정상 데이터 패킷들 중에서 상기 LLDP, 상기 PROFINET Real-Time, 상기 ARP 및 상기 PROFINET Standard에 해당하는 패킷들이 차지하는 상대적인 트래픽 비율을 포함하는, 방법
|
| 8 |
8
제6항에서,상기 제2 화이트리스트를 생성하는 단계는,출발지 MAC 주소 및 목적지 MAC 주소가 동일한 ARP 또는 LLDP의 정상 데이터 패킷으로부터 생성된 패킷 간격 패턴이 맵핑된 제2 화이트리스트를 생성하는 단계,출발지 MAC 주소 및 목적지 MAC 주소가 동일한 PROFINET Real-time의 정상 데이터 패킷으로부터 추출된 프레임 식별자 및 패킷 길이와, 상기 PROFINET Real-time의 정상 데이터 패킷으로부터 생성된 패킷 간격 패턴 및 패킷 개수 패턴이 맵핑된 제2 화이트리스트를 생성하는 단계, 그리고출발지 MAC 주소 및 목적지 MAC 주소가 동일한 PROFINET Standard의 정상 데이터 패킷으로부터 추출된 IP 주소, 출발지 포트, 목적지 포트, Operation 코드 및 패킷 길이와, 상기 PROFINET Standard의 정상 데이터 패킷으로부터 생성된 패킷 간격 패턴이 맵핑된 제2 화이트리스트를 생성하는 단계중 적어도 하나를 포함하는, 방법
|
| 9 |
9
메모리, 그리고상기 메모리에 로드된 프로그램의 명령들(instructions)을 실행하는 적어도 하나의 프로세서를 포함하고,상기 프로세서는, 복수의 산업 장치들에서 생성된 정상 데이터 패킷들 중에서 이더넷 헤더에 표시된 패킷 타입 정보에 기초하여 선별된 PROFINET 관련 데이터 패킷들을 토대로 패킷 종류 별 화이트리스트를 생성하고, 임의의 산업 장치로부터 생성되는 검사 대상 패킷으로부터 상기 검사 대상 패킷의 종류에 대하여 지정된 패킷 특성값을 추출하고 추출한 패킷 특성값이 상기 검사 대상 패킷의 종류에 해당하는 화이트리스트에 등록된 패킷 특성값과 일치하는지 판단하여 불일치하거나 또는 상기 패킷 특성값의 차이값이 임계 범위를 벗어나면 비정상 패킷 탐지로 결정하도록 기술된 명령들을 포함하는, 컴퓨팅 장치
|
| 10 |
10
제9항에서,상기 프로세서는, 출발지 MAC(Media Access Control) 주소 및 목적지 MAC 주소 별로 상기 정상 데이터 패킷들 중에서 각각의 패킷 종류 별로 상대적인 트래픽 비율을 맵핑한 제1 화이트리스트를 생성하도록 기술된 명령들을 포함하고,동일한 출발지 MAC 주소 및 목적지 MAC 주소를 가진 검사 대상 패킷들을 일정 시간 수집한 후, 수집한 검사 대상 패킷들의 종류 별 트래픽 비율을 상기 제1 화이트리스트에 등록된 트래픽 비율과 비교하여 비정상 패킷 탐지를 결정하도록 기술된 명령들을 포함하는, 컴퓨팅 장치
|
| 11 |
11
제10항에서,상기 프로세서는, 상기 패킷 타입 정보 및 포트 번호를 이용하여, 상기 정상 데이터 패킷들이 LLDP(Link Layer Discovery Protocol), PROFINET Real-time, ARP(Address Resolution Protocol) 또는 PROFINET Standard 중 어느 패킷 종류에 속하는지 구분하고, LLDP 또는 ARP에 해당하는 정상 데이터 패킷으로부터 출발지 MAC(Media Access Control) 주소, 목적지 MAC 주소, 및 이전 패킷과 현재 패킷 간의 시간 차이인 패킷 간격 중 적어도 하나를 패킷 특성값으로 추출하고,PROFINET Real-time에 해당하는 정상 데이터 패킷으로부터 출발지 MAC 주소, 목적지 MAC 주소, 프레임 식별자, 패킷 길이, 상기 패킷 간격 및 패킷 개수 패턴 중 적어도 하나를 패킷 특성값으로 추출하며,PROFINET Standard에 해당하는 정상 데이터 패킷으로부터 출발지 MAC 주소, 목적지 MAC 주소, IP 주소, 출발지 포트, 목적지 포트, Operation 코드, 패킷 길이, 상기 패킷 간격 및 패킷 개수 패턴 중 적어도 하나를 패킷 특성값으로 추출하고,상기 패킷 종류 별로 각각의 패킷 특성값이 맵핑된 제2 화이트리스트를 생성하며,상기 검사 대상 패킷의 패킷 종류에 대응하는 패킷 특성값을 상기 검사 대상 패킷으로부터 추출하여 상기 제2 화이트리스트에 등록된 패킷 특성값과 비교하여 비정상 패킷 탐지를 결정하도록 기술된 명령들을 포함하는, 컴퓨팅 장치
|
