ICSSPulse: A Modular LLM-Assisted Platform for Industrial Control System Penetration Testing

논문 요약: ICSSPulse (산업 제어 시스템 침투 테스트를 위한 모듈형 LLM 지원 플랫폼)

1. 문제 정의 (Problem)

현대 산업 제어 시스템 (ICS) 은 에너지, 수처리, 제조 등 핵심 인프라의 운영 핵심을 담당하지만, IT/OT 네트워크의 융합으로 인해 사이버 위협에 노출되고 있습니다.

• 현황: Stuxnet, TRITON, Industroyer 와 같은 사례는 ICS 가 물리적 피해로 이어질 수 있음을 보여주었습니다.
• 도전 과제: 기존 IT 중심의 침투 테스트 도구 (Metasploit, Nmap 등) 는 Modbus, OPC UA 와 같은 산업 프로토콜의 시맨틱, 타이밍 제약, 결정론적 행동을 처리하는 데 한계가 있습니다.
• 제약 사항: 실제 운영 중인 ICS 환경에서는 가용성과 안전이 최우선이므로, 공격적인 보안 테스트나 직접적인 침투 시뮬레이션을 수행하기 어렵습니다.
• 필요성: 안전하고 재현 가능한 환경에서 ICS 프로토콜의 취약점을 연구하고 훈련할 수 있는 통제된 환경과 전문 도구가 절실히 필요합니다.

2. 방법론 (Methodology)

저자들은 ICSSPulse라는 오픈 소스, 모듈형, 확장 가능한 웹 기반 침투 테스트 플랫폼을 개발했습니다. 이 플랫폼은 다음과 같은 아키텍처와 기능을 제공합니다.

• 시스템 아키텍처:
  • 웹 기반 GUI (Flask): 사용자 상호작용을 조정하는 중앙 컨트롤 노드.
  • 네트워크 스캐닝: RustScan(Docker 컨테이너 내 실행) 을 통합하여 호스트 및 포트 발견.
  • 프로토콜 핸들러:
    • Modbus: pymodbus 라이브러리 기반. 코일 (Coils), 디스크리트 입력, 홀딩 레지스터, 입력 레지스터에 대한 읽기/쓰기 및 장치 발견 (Unit ID 스캔) 기능 지원.
    • OPC UA: python-opcua 라이브러리 기반. 네임스페이스 탐색, 노드 (변수, 메서드) 발견, 인증/암호화 정책 확인 및 값 조작 기능 지원.
  • LLM 지원 리포팅: OpenAI GPT-4o-mini API 를 활용하여 수집된 기술적 데이터를 기반으로 자동 보고서 생성.
• 침투 테스트 라이프사이클 통합:
  • 계획 및 정찰, 스캐닝 및 열거, 취약점 분석, 악용 (Exploitation), 사후 악용, 보고 및 대응 단계를 모두 지원합니다.
  • 특히, 보고 단계에서 기술적 발견 사항을 MITRE ATT&CK ICS 매트릭스의 완화 전략과 연결하여 자동화합니다.
• 적용 범위:
  • 물리적 작동이나 펌웨어 해킹은 제외하고, 프로토콜 수준의 상호작용 (인증되지 않은 접근, 잘못된 입력, 데이터 조작) 에 초점을 맞춥니다.
  • 공격자는 네트워크 접근 권한을 가진 것으로 가정하며, 레지스터/메모리 공간 열거 및 값 조작을 수행합니다.

3. 주요 기여 (Key Contributions)

1. 최초의 통합 웹 플랫폼: 네트워크 스캐닝, 프로토콜 인식형 Modbus/OPC UA 상호작용, 그리고 LLM 지원 자동 보고서 생성을 단일 경량 생태계로 통합한 최초의 웹 기반 플랫폼입니다.
2. 모듈형 및 확장성 설계: 새로운 프로토콜 (DNP3, MQTT 등) 이나 사이버 레인지 기능을 GUI 변경 없이 백엔드 모듈만 추가하여 쉽게 확장할 수 있도록 설계되었습니다.
3. LLM 기반 자동 보고서: 기술적 발견 사항 (스캔 결과, 레지스터 값 등) 을 수집하여 경영진용 (Executive) 및 기술자용 (Technical) 두 가지 형태의 구조화된 보고서를 자동 생성합니다. 이 보고서는 ICS MITRE ATT&CK 매트릭스에 기반한 완화 가이드를 포함합니다.
4. 안전한 실험 환경: 실제 물리적 장비를 손상시키지 않고, 시뮬레이션된 산업 서비스 (Factory I/O, 커스텀 서버) 를 통해 재현 가능한 공격 시나리오를 제공합니다.

4. 실험 결과 (Results)

ICSSPulse 는 세 가지 시나리오를 통해 평가되었습니다.

• 시나리오 1 (PyModbus 서버): Python 기반 Modbus TCP 서버를 사용하여 PLC, 센서, 액추에이터를 시뮬레이션했습니다.
  • 결과: 활성 Modbus 서비스 (포트 5002) 를 성공적으로 발견하고, 1000 개 이상의 주소 범위를 스캔하여 레지스터 값을 열거 및 조작 (쓰기) 하는 데 성공했습니다.
• 시나리오 2 (Factory I/O 수처리 시설): 3D 산업 시뮬레이터인 Factory I/O 를 활용하여 수처리 공장을 모델링했습니다.
  • 결과: 아날로그/디지털 신호 모두에서 ICSSPulse 가 밸브 제어 레지스터를 식별하고 값을 변경하여 물탱크 수위를 제어하는 시뮬레이션을 성공적으로 수행했습니다.
• 시나리오 3 (OPC UA 생산 라인): 커스텀 Python OPC UA 서버를 사용하여 계층적 네임스페이스 구조를 테스트했습니다.
  • 결과: 익명 인증이 활성화된 서버에서 노드 탐색, 메타데이터 추출, 그리고 모터 속도 및 상태 변수의 읽기/쓰기 조작을 성공적으로 수행했습니다.
• 리포팅 평가: 수집된 모든 데이터 (스캔 로그, Modbus/OPC UA 상호작용 기록) 를 LLM 에 입력하여, MITRE ATT&CK 기반의 완화 전략이 포함된 기술 보고서와 경영진 요약 보고서를 정확히 생성했습니다.

5. 의의 및 결론 (Significance)

• 교육 및 연구 도구: ICSSPulse 는 ICS 보안 분석의 이론과 실습 간의 격차를 해소하며, 연구실, 사이버 레인지, 교육 훈련에 적합한 안전한 환경을 제공합니다.
• 자동화 및 효율성: LLM 을 활용한 보고서 자동화는 수동으로 수행되던 복잡한 보고서 작성 및 완화 전략 매핑 작업을 획기적으로 줄여줍니다.
• 한계 및 향후 과제: 현재 Python 기반 실행과 소프트웨어 시뮬레이션에 의존하여 대규모 환경이나 고성능 테스트에는 제약이 있습니다. 향후 추가 프로토콜 지원, 성능 최적화, 하드웨어 인 더 루프 (HIL) 테스트 및 인증된 배포 환경으로의 확장이 필요합니다.

결론적으로, ICSSPulse 는 산업 제어 시스템의 프로토콜 수준 취약점을 안전하게 평가하고, 그 결과를 AI 를 통해 직관적인 보고서로 변환하는 혁신적인 도구로서, ICS 사이버 보안 생태계에 중요한 기여를 하고 있습니다.