스마트 그리드 보안: 차세대 전력망 공격과 방어

 

스마트 그리드 보안: 차세대 전력망 공격과 방어

시리즈명: 철통보안 시리즈 003

저자: 토니 플릭, 저스틴 모어하우스

역자: 박남제, 안길준, 원동호

출판사: 비제이퍼블릭

출간일: 2011년 9월 20일(수)

정가: 26,000원

페이지: 328p

판형: 190 x 245

ISBN: 978-89-94774-04-6(93560)

원서정보:  Securing the Smart Grid: Next Generation Power Grid Security

 

책 소개

철통보안, 스마트 그리드: 차세대 전력 시스템 보안

 

스마트 그리드는 수백만 가구와 연결되어 있다. 따라서 소비자의 안전 및 전력 공급의 지속성을 위해 안전한 네트워크의 개발 및 유지가 필수적이다.

“안전한 스마트 그리드의 첫걸음은 보안 전체에 대한 완벽한 이해에서 시작한다. 본서는 스마트 그리드의 보안과 관련된 기본개념을 적절하게 설명하고 있다. 따라서 전력 보안과 관련한 책임자 및 스마트 그리드 기술을 고려하고 있는 소비자에겐 필독서라 할 수 있다.”

- Patrick Engerbretson, 다코다 주립대, 컴퓨터 보안 교수

 

스마트 그리드는 에너지 산업의 미래다. 발전소에서 가정까지 네트워크를 구축함으로써 기업은 안정적으로 전력을 소비할 수 있고, 가정은 필요한 만큼의 전력을 보장받을 수 있다. 그러나 새로운 네트워크 기술 및 스마트 미터와 같은 창의적인 장비가 에너지 절약에 기여하는 장점도 있는 반면, 인위적으로 통제되는 전력 공급 네트워크가 개방된 네트워크 환경과 연결되는 문제점도 있다. 따라서 앞으로 건설할 스마트 그리드는 강력한 보안제어가 필요하다. 스마트 그리드에 대한 공격은 수천의 수십 배에 달하는 가구에 혼란을 초래할 수 있으며, 기업의 생산활동을 정지시킬 수 있고 사이버 전쟁에 공격도구로도 활용될 수 있기 때문이다.

《스마트 그리드 보안: 차세대 전력망 공격과 방어》는 오늘날 스마트 그리드 보안에 대한 개요와 어떻게 전력 공급망을 설계하고 전 세계 수백만의 가구에 배포할 것인지에 대한 개괄적인 방법을 설명하고 있다. 또 스마트 미터 및 스마트 장치, 장치와 연결된 네트워크 및 네트워크 응용 프로그램에 대한 직접적인 공격방법과 함께 이에 대응하기 위한 방안도 포함하고 있다. 덧붙여 스마트 그리드 시스템 전반에 걸친 보안의 구현 방안에 대한 프레임워크도 포함하고 있어, 스마트 그리드의 보안을 유지하기 위해 공격자의 크고 작은 공격에 대응하는 방법이 필요한 보안 컨설턴트 및 시스템/네트워크 아키텍트에게 많은 도움을 줄 것이다:

 

l  스마트 그리드에 적용될 수 있는 해킹기법의 상세 및 대응기법

l  현재의 보안 기준 및 부족한 점에 대한 논의

l  새로운 인프라에 대한 해커의 공격기법 분석

 

책 전체 내용과 핵심내용들

이 책은 전체가 14개의 단원으로 구성되어 스마트 그리드의 장단점을 다루고 있다. 스마트 그리드 내에서의 무결성, 가용성, 기밀성을 바로 이해하고 스마트 그리드의 장단점을 통해 각종 위협과 공격 그리고 스마트 그리드를 사용하는 데 주의해야 할 보안관련주제들을 이해하는 것에 목적을 두고 있다.

 

책 전반을 통해 스마트 그리드로 기인한 위험요소를 줄이기 위해 소비자, 스마트 그리드 기기 개발업체 그리고 전력회사들에게 필요한 제어기술에 대해 배우고 각 단원에서는 현재 사용되는 보안 구현기술뿐만 아니라 앞으로 필요로 할 기술까지 함께 기술하려고 노력했다.

 

이 책의 독자는?

이 책은 스마트 그리드의 통신 및 애플리케이션 보안업무를 담당하는 이들에게 중요한 관련자료가 될 것이며 스마트 그리드에서 모니터링 업무를 맡은 이들과 스마트 그리드 기기를 사용하는 소비자들에게도 큰 도움을 줄 것이다. 시스템 엔지니어, 애플리케이션 개발자, 그리고 시스템 통합 관리자들이 스마트 그리드의 장단점을 배우는 데 도움을 주고 현재와 앞으로의 스마트 그리드 활용 방안에 적용할 지식을 습득하게 될 것이다.

 

경영진들 또한 스마트 그리드 기술을 구현함으로 발생하는 복잡한 문제들을 기술제공자와 동시에 소비자의 관점에서 이해할 수 있게될 것이다. 각 가정과 사업체 그리고 여러 기관까지 다루게 될 스마트 그리드를 보호하기 위한 보안관련 정책에 대한 예산안이나 지원에 도움을 줄 것이다.

 

이 책의 구성은?

전체 14개의 각 단원이 주요 주제를 다루고 있다. 각 단원들이 전 단원에서 다룬 기본정의, 공격과 위협, 기술관련 내용을 다루고 있어서 스마트 그리드의 정의를 다룬 제1단원에서부터 앞으로의 전망을 기술한 제14단원까지 읽어내려 가면 독자들에게 많은 도움이 될 것이다.

 

 

저자소개

토니 플릭 (Tony Flick, CISSP)

정보보호 업무를 7년 이상 해오고 있으며 정보보호 관련회사인 FYRM Associates를 운영하고 있다. 전문분야는 통신과 애플리케이션 보안, 위험분석, 정책준수 조사, 그리고 성장기술관련 등이다. 에너지 회사에서 통신과 애플리케이션 관련 침투 테스팅과 보안 정책과 절차개발을 담당했으며, 전력회사와 협력업체들을 컨설팅 해왔다. University of Maryland, College Park에서 전자계산학과 수학을 학부로 전공하였다. 스마트 그리드와 애플리케이션 보안으로 Black Hat, DEFCON, ShmooCon, ISSA, 그리고 OWASP 등의 각종 회의와 학회에서 강연을 맡아 왔고 Associated Press, SC magazine, Dark Reading, 그리고 eWeek를 포함한 각종 미디어 매체를 통해 동 분야의 전문가로 활동해오고 있다.

 

저스틴 모어하우스 (Justin Morehouse, CISSP, CISM, MCSE)

8년 이상 정보보안 업무를 해왔고 전문분야는 보안관련 공격과 침투테스팅이다. 미국 내 대형소매점을 포함한 Fortune 1000에 속해 있는 회사들과 미국 연방정부기관의 보안진단을 맡아오고 있다. PassiveRecon과 GuestStealer를 비롯한 각종 보안 툴을 개발해 왔고, DEFCON, EntNet, ISSA, ISACA, OWASP, 그리고 ShmooCon 등의 각종회의와 학회에서 강연을 맡아 왔다. George Washington University에서 학부과정을, Norwich University에서 정보보안으로 석사과정을 이수하였다. 현재 DeVry University에서 강사로 일하고 있으며, 미국 플로리다 주의 OWASP Tampa Chapter를 이끌고 있다.

 

 

역자소개

박남제 (Namje Park)

동국대학교 정보산업학 박사

성균관대학교 정보보호학 석사

성균관대학교 컴퓨터공학 박사

한국전자통신연구원 선임연구원

University of California at Los Angeles, Staff Researcher

Arizona State University, Research Scientist

(현) 제주대학교 교육대학 컴퓨터교육전공 교수

 

안길준 (Gail-Joon Ahn)

Soong-Sil University, Computer Science 학사

George Mason University, Computer Science 석사

George Mason University, Information Technology 박사

University of North Carolina at Charlotte, Software and Information Systems 교수

(현) Arizona State University, Computer Science and Engineering 교수

 

원동호 (Dongho Won)

성균관대학교 전자공학 학사, 석사, 박사

동경공업대학 객원연구원

University of California at Irvine 방문교수

성균관대학교 정보통신대학원장, 연구처장, 교학처장

한국정보보호학회 회장

산학연 정보보안협의회 회장

정보보호인증기술연구센터(ITRC) 센터장

(현) 성균관대학교 정보통신공학부 교수

 

 

목차

 

chapter 1. 스마트 그리드: 정의

전기 그리드의 역사

자동 원격 검침(AMR)의 정의

미래 인프라

스마트 그리드의 정의

지능형 검침 인프라(AMI)의 정의

국제 계획안

스마트 그리드 보안이 필요한 이유

요약

 

chapter 2. 위협과 영향: 소비자 측면

소비자가 직면하는 위협

자연적으로 발생하는 위협

개인 또는 단체에 미치는 위협

소비자에게 미치는 영향

가용성에 미치는 영향

경제적으로 미치는 영향

공격가능성

요약

 

chapter 3. 위협과 영향: 공급자 측면

기밀성

무결성

가용성

요약

 

chapter 4. 스마트 그리드 보안에 대한 미국 연방정부의 노력

미 연방정부

DOE

FERC

NIST

DHS NIPP

기타 관련법

보안 후원

스마트 그리드 보안의 관료주의 및 정치학

요약

 

 

chapter 5. 미국 주 정부 및 지방 정부 보안 계획안

주 정부

주 규제기관

주 법원

보안교육 장려

정치학 및 스마트 그리드

요약

 

chapter 6. 공공 기업과 개인 기업

자율 감시를 위한 산업 계획

준수 vs 보안

어떻게 기술 판매자 간의 격차를 좁힐 것인가

어떻게 전력회사 간의 격차를 좁힐 것인가

요약

 

chapter 7. 전력회사 공격

동기

네트워크 공격

시스템 공격

애플리케이션 공격

무선 공격

사회공학 공격

물리적 공격

결론

요약

 

chapter 8. 전력회사 보안

스마트 그리드 보안 프로그램

스마트 그리드 보안을 위한 최상위 12가지 기술 업무

요약

 

 

chapter 9. 제3자 서비스

서비스 공급 업체

소비자 공격

서비스 공급 업체 공격

스마트 그리드에 대한 제3자 접근 보안

요약

 

chapter 10. 모바일 애플리케이션 및 장비

모바일 애플리케이션이어야 하는 이유

플랫폼

신뢰

공격

모바일 장치 보안

모바일 애플리케이션 보안

요약

 

chapter 11. 소셜 네트워킹, 그리고 스마트 그리드

스마트 그리드의 사회화

소셜 네트워킹의 위협

스마트 그리드 소셜 네트워킹 보안 체크 리스트

요약

 

chapter 12. 스마트 미터기 공격

오픈소스 보안 테스트 방법론에 대한 설명서(OSSTMM)

NIST의 특별 보고서 800-42: 네트워크 보안 테스트 지침서

요약

 

chapter 13. 스마트 기기 공격

공격할 스마트 기기 선택하기

스마트 기기 공격하기

요약

 

chapter 14. 그 다음은 무엇인가?

연대표

소비자들은 무엇을 기대하는가?

스마트 그리드 기술 판매회사들은 무엇을 예상해야 하는가?

전력회사들은 무엇을 예상해야 하는가?

보안 전문가들은 무엇을 예상해야 하고 또 예측해야 하는가?

스마트 그리드 커뮤니티

요약

  

 

*단원 요약

 

제1단원: 스마트 그리드: 정의

본 단원에서는 전기 그리드의 역사와 보안이 통합되지 않는 스마트 그리드 기술 설계 및 구현의 잠재적인 결과가 설명되며, 스마트 그리드의 가능성이 안전하게 구현될 수 있도록 이 같은 결과의 해결 방법에 대한 권장사항이 기술되었다.

 

제2단원: 위협과 영향: 소비자 측면

이 단원에서는 스마트 그리드의 위협 요소와 영향들을 소비자의 관점에서 살펴본다. 스마트 그리드의 궁극적인 목적 중의 한 가지는 소비자들의 전력 소비량에 대한 에너지 사용과 비율들에 대한 좀 더 풍성한 정보를 함께 제공하는 것이다. 더욱이 소비자들이 직면하게 될 위협요소들을 다룸으로 인해 스마트 그리드와 관련된 위험을 줄여야 하는 이유를 인식하게 될 것이다. 여기서 다루는 내용들은 또한 전력회사, 기술개발 협력업체 그리고 소비자들이 공격이 미칠 영향을 감소화시킬 수 있는 대비책을 제시하는 밑거름이 될 것이다.

 

제3단원: 위협과 영향: 공급자 측면

본 단원에서는 2단원에서 다룬 소비자 측면에서의 위협요소, 영향과 상이한 내용을 다루지만 전력회사와 공급자들의 측면에 초점을 두었다. 스마트 그리드에 대한 위협들이 기밀성과 무결성, 그리고 가용성에 어떤 영향을 끼치는지 다루고 있다. 본 단원을 통해 독자들은 스마트 그리드가 각 기관이 공격으로 인한 영향과 위험들을 관리하는 방식들을 꾸준히 바꾸어가야 하는 것을 배우게 될 것이다. 이 단원에서 다루는 위협요소와 영향은 현실에 기반한 것들이고 스마트 그리드가 제공하는 많은 이점들 때문에 때론 간과되었던 것들을 다루었다. 본 단원의 목적은 대중들에게 스마트 그리드가 직면할 수 있는 위협요소로 인해 공포나 불확실성이나 의심을 주고자 하는 것이 아니라, 이러한 위협요소와 공격으로부터 스마트 그리드를 보호하기 위한 여러 방안들을 모색하는 데 도움을 주는데 있음을 기억하기 바란다.

 

제4단원: 스마트 그리드 보안에 대한 연방 정부의 노력

많은 국가들이 자국의 전기 그리드의 보안을 국가적인 과제로 여기고 있고, 그로 인해 이들 정부들이 새로운 정책과 법적인 제재를 앞다투어 내놓아 스마트 그리드의 보안문제에 대처하고 있다. 본 단원에서는 연방정부가 수행하고 있는 스마트 그리드 보안에 대한 표준, 정책 그리고 지침에 대해 다루고 있다. 또한 연방정부가 전력 회사 및 스마트 그리드 공급업체를 돕기 위해 어떤 역할과 계획안을 가지고 있는지 대해 논의한다.

 

제5단원: 주정부 및 지방 정부 보안 계획안

본 단원에서는 주정부와 연방정부의 스마트 그리드 관련 보안 위협에 대해 어떤 노력들을 하고 있는지 다루고 있다. 제4단원에서 다룬 것처럼, 정부기관이 스마트 그리드 보안에 미치는 영향들을 언급하고 스마트 그리드 내의 방대한 정보들을 법률기관에서 어떻게 유용할 수 있는지도 살펴본다.  또한 주 정부 및 지방 정부기관이 스마트 그리드와의 안전한 상호 작용 방법 교육을 소비자에게 제공하는 데 담당해야 하는 역할을 살펴보았다.

 

제6단원: 공공 기업과 개인 기업

본 단원에서는 공공기업과 개인기업이 스마트 그리드 보안에 어떻게 공헌할 수 있는지 다룬다. 먼저 업계 표준에 대해 다루었고, 산업표준 준수가 중요하지만 스마트 그리드 보안과 동일시 여길 수 없음을 살펴보았다. 또한 각 기업들이 어떻게 보안 표준 준수와 보안의 격차를 줄여 갈수 있는지를 논하였다.

 

제7단원: 전력 회사 공격

본 단원에서는 전력회사들이 대비해야 할 다수의 공격벡터에 대해 다룬다. 침투테스팅과 취약점 분석들이 전력회사의 보안 프로그램에 꼭 필요한 업무이지만 한정된 공격벡터에 집중된 제한된 테스팅은 보안에 대해 잘못된 진단을 줄 수 있음을 간과해서는 안 된다. 본 단원의 내용은 포괄적인 보안분석을 하기 위한 전력회사 자체 혹은 제3자 보안업체를 통한 보안분석에 모두 도움이 될 것이다.

 

제8단원: 전력 회사 보안

본 단원에서는 전력회사에 적용될 정보보안 기술을 구현하는 방법에 대해 살펴본다. ISO 27000 시리즈나 정보보안 포럼(ISF)의 모범사례 표준과 같은 표준과 모범절차들을 살펴봄으로써 실질적으로 효과적인 정보보안 기술을 구현하는 데 필요한 사항들을 이해하는 것에 도움을 주고자 한다. 또한 스마트 그리드를 안전하게 구연하기에 꼭 필요한 12항목의 기술적인 보안 절차들을 포함하고 있다. 전력회사에 몸담고 있는 독자가 있다면 이 단원이 많은 도움을 주리라 생각한다.

 

제9단원: 제3자 서비스

본 단원에서는 전력회사와 제3자 공급업체 간의 신뢰 관계를 살펴본다. 협력업체의 보안통제를 수월하게 할 때 발생할 수 있는 회사내의 위험성에 대해 배우게 되고, 제3자 공급업체가 제공할 수 있는 역할과 그로 인해 노출될 수 있는 가능한 공격 등을 이해하는 데 도움을 준다. 특별히 전력회사가 제3자 공급업체에게 야기시킬 수 있는 위험요소 등도 살펴보았다.

 

제10단원: 모바일 애플리케이션 및 장치

본 단원에서는 스마트 그리드 내에서의 모바일 애플리케이션과 장치의 사용에 대해 살펴보았다. 또한 전력회사에서 스마트 그리드의 자원을 사용하기 위해 어떻게 모바일 애플리케이션과 장치를 활용하려고 하는지에 대해 살펴보고, 모바일 애플리케이션 및 모바일 장치에 발생 가능한 공격과 이러한 애플리케이션 및 장치를 보호하는 방법을 기술하였다.

 

제11단원: 소셜 네트워킹 그리고 스마트 그리드

본 단원에서는 Facebook과 Twitter 같은 소셜 네트워킹사이트와 스마트 그리드 기기의 연합에 대해 다루고 있다. 스마트 기기 제조업체들과 소비자들이 이러한 연합된 기술을 얻게 되는 정보와 서비스 대해 살펴보고 또한 전력사용량에 대한 자료들을 소셜 네트워킹 사이트를 통해 주고받음으로써 발생할 수 있는 위협요소들, 그리고 이를 대비한 보안기술들을 다룬 스마트 그리드 소셜 네트워킹 보안 체크리스트(Smart Grid Social Networking Security Check List)에 대해 언급한다.

 

제12단원: 스마트 미터기 공격

본 단원에서는 스마트 미터기를 기술적으로 공격하는 것에 대해 살펴본다. 먼저 ISECOM의 오픈 소스 테스팅 방법론에 대한 설명서 (Open Source Security Testing Methodology Manual) 기준한 스마트 미터기에 대한 공격과 공격을 위해 사용되는 툴에 대해서 기술하였다. 또한 미 표준청의 특별 보고서 (NIST SP 800-42)인 스마트 미터기를 공격하기 위한 통신보안 테스팅 (Guideline on Network Security Testing to Attacking Smart Meters)를 기반으로 하는 공격기술과 스마트 미터기의 테스팅에 필요한 전반적인내용 들을 다루었다.

 

제13단원: 스마트 기기 공격

12단원에는 스마트 미터기를 공격하기 위해 사용되는 테스팅 기법들에 대해 다룬 반면, 이 단원에서는 스마트 기기에 대한 실질적인 공격에 대해 다루고 있다. 공격할 스마트 기기를 공격대상으로 선택하는 과정과 선택된 기기에 대한 통신과 애플케이션 단계의 공격을 하기 위해 사용되는 툴이 어떻게 사용되는지 살펴보았다. 이 단원은 좀 더 기술적이고 실질적인 공격을 다루고 있어서, 전반적인 테스팅 기법을 다룬 12단원을 먼저 읽기를 권장한다.

 

제14단원: 앞으로의 전망

본 단원에서는 스마트 그리드가 장차 소비자, 기술개발업체 그리고 전력회사들에게 어떠한 미래를 제공하게 될 것인지 언급한다. 또한 보안 관련 종사자들에게 예견될 수 있는 미래의 스마트 그리드에 대해 살펴보고 최근의 스마트 그리드 구현 기술에 대한 정보를 공유하는 스마트 그리드 관련 단체들에 어떻게 참여하여 공헌할 수 있는지를 다룬다.