A Study of Security Evaluation Criteria for Reconnaissance Drone

정찰 드론 보안성 평가 기준에 대한 연구

Abstract

As drones are widely used, attack attempts using drone vulnerabilities are increasing, and drone security is growing in importance. This paper derives security requirements for reconnaissance drone delivered to government office through threat modeling. Threats are analyzed by the data flow of the drone and collecting possible vulnerabilities. Attack tree is built by analyzed threats. The security requirements were derived from the attack tree and compared with the security requirements suggested by national organizations. Utilizing the security requirements derived from this paper will help in the development and evaluation of secure drones.

드론이 활용되는 분야가 다양해짐에 따라 드론의 취약점을 이용한 공격 시도가 늘어나고 있고 드론 보안의 중요성 또한 강조되고 있다. 본 논문은 관공서에 납품되는 정찰용 드론에 대해 위협모델링을 통해 보안요구사항을 도출하였다. 드론의 데이터 흐름을 분석하고 발생할 수 있는 취약점을 수집하여 위협 분석 및 공격 트리를 작성하였다. 공격 트리로부터 보안요구사항을 도출하고 국가에서 제시한 보안요구사항과 비교하였다. 본 논문에서 도출된 보안요구사항을 활용하면 안전한 정찰 드론 개발과 평가에 도움이 될 것이다.

I. 서론

드론은 4차 산업혁명을 맞아 공공분야와 민간 산업에서 활용이 증가하고 있다. 영국에서는 드론을 활용하여 병원 간 혈액, 장기를 운반하려 하고 있고, 미국의 아마존사는 드론으로 상품을 배송하기 위한 ‘프라임 에어’ 프로젝트를 진행 중이다. 이렇게 드론 산업이 성장함에 따라 드론 보안의 중요성도 증가하고 있으며 관련 국가기관에서는 드론 사이버 보안 가이드를 발표하였다 [1].

촬영용 드론이라고도 불리는 정찰 드론은 군사적 목적으로 기지 경계와 적진 정찰뿐만 아니라 산림보호, 화재방재, 범죄지역 조사 등 소방, 경찰과 같은 공공분야에서도 활용도가 높다 [2]. 정찰드론은 일반적인 조종 신호에 대한 보안과 주고받는 영상 데이터와 카메라에 대한 보안을 모두 고려해야 하므로 활용성과 보안성 측면에서 모두 중요하다.

본 논문에서는 Microsoft에서 개발한 위협 모델링 기법을 적용해 정찰 드론을 위한 보안요구사항을 도출하였다 [3]. 보안요구사항 도출은 제품의 구성요소로부터 발생할 수 있는 취약점을 엮어 최종적으로 공격에 달성하지 못하도록 킬체인을 끊는 작업이다 [4]. 본 논문은 관공서에 납품되는 정찰 드론을 대상으로 구성요소를 분석하고 보안성 평가 기준을 수립하였다. 도출된 평가기준을 활용하여 안전한 드론 개발, 제품 평가를 위한 보호 프로파일 작성, 드론 간 보안성 비교의 기준 등으로 활용될 수 있다. Fig.1.과 같이 위협 모델링으로부터 보안요구사항을 도출하고 보안 메커니즘을 개발하는 일련의 과정을 통해 정찰 드론의 보안성을 평가하고 안전한 정찰 드론을 개발할 수 있다. [4].

Fig. 1. System Security Engineering[4]

본 논문의 2절에서는 드론 취약점, 보안요구사항 도출 관련 연구와 위협 모델링 방법을 소개한다, 3절에서는 위협 모델링 프로세스에 따라 드론에 발생할 수 있는 위협과 공격 방식을 분석한다. 4절에서는 3절의 결과로부터 보안요구사항을 도출하고 평가한다. 마지막으로 5절에서는 결론을 기술한다.

Ⅱ. 관련 연구

이 절에서는 선행연구와 본 논문에서 필요한 기본 개념을 소개한다. 2.1절에서는 드론 취약점과 관련된 연구, 2.2절에서는 보안요구사항 도출에 관한 연구, 2.3절에서는 본 논문에서 사용한 위협 모델링 방법에 대해 설명한다.

2.1 드론의 취약점 분석 관련 연구

드론 취약점에 대한 연구는 공격 대상에 따라 통신채널에 대한 취약점과 드론 비행을 위해 탑재된 다양한 센서에 대한 취약점이 있다. 이러한 기법들은 3.2절에서 구축한 공격 라이브러리에 포함되어 있다.

드론은 조종기 또는 지상제어장치와 통신하며 비행제어에 관한 신호와 촬영한 영상을 통신한다. 통신채널의 취약점에 대한 연구는 다양한 드론의 통신채널에 대해 공격하는 것으로서 많은 드론이 사용하는 WiFi 통신채널에 대한 취약점, 저전력 프로토콜인 Xbee와 드론 간 통신 프로토콜인 MAV Link에대한 취약점이 있다. [5-13]. 영상채널에 대해서는 재밍 공격을 가해 사용자가 드론에서 촬영한 영상을 정상적으로 수신하지 못하도록 할 수 있다. [14]. 이러한 무선 통신구간에 대해 보안성 강화 방안을 제시한 연구도 있다 [15].

드론에는 항법을 위한 GPS 모듈과 가속도계, 기압계, 나침반, 자이로스코프센서 등 다양한 센서가탑재된다. 이러한 센서 값에 오류를 일으키게 되면 추락하거나 제자리에 착륙하는 등 정상적인 비행이 불가능해진다. GPS 모듈에 대해서는 수신하는 GPS값을 변조하는 스푸핑 공격과 재밍을 통해 정상적인 통신을 못하도록 하는 재밍 공격이 있다[7,9,14,16-21]. 다른 센서들에 대한 공격으로는 가속도계에 초음파를 보내 에러를 발생시키는 취약점, 자이로스코프에 대한 취약점, 드론에 탑재된 나침반센서에 대한 취약점이 있다. [22-24]. 이외에도 드론 하드웨어에 관한 공격이나 다양한 센서 공격들의 한계와 대응 방안에 대해 정리한 논문도 있다 [25,26].

2.2 보안성 평가 기준 관련 연구

드론 보안 관련 연구는 2.1절과 같이 취약점 중심의 연구가 많이 진행되고 있으며 드론의 보안성 평가에 대한 연구는 국내와 국외에 1건씩 있다. 국내 연구는 중국과 프랑스에서 생산된 4종의 상용 드론에 대해 기존에 알려진 드론 취약점을 분석하고 이를 바탕으로 보안 요구사항을 도출하였다 [27]. 국외 연구는 알려진 일부의 드론 취약점에 대해 STRIDE와DREAD를 통해 취약점을 평가하였으나 기준을 제시하지 않았다 [28]. 한국인터넷진흥원(KISA)는 드론 보안에 대한 위협과 대응 방안을 공유하고자 드론 사이버 보안 가이드를 발표하였다 [1]. 보안성평가 기준이 없는 새로운 기술과 제품에 대한 관련 연구로 블록체인이라는 분산화된 참여자들이 존재하는 시스템에 대해 평가 범위와 요구사항을 도출한 연구와 IP카메라와 스마트TV에 대해 위협 모델링을 기반으로 보안요구사항을 도출한 연구가 있다 [29-31].

2.3 위협 모델링

위협모델링은 제품에서 발생할 수 있는 위협을 체계적으로 도출하는 프로세스다. 위협 모델링 방법의 종류는 Microsoft에서 개발한 STRIDE, 위험중심의 위협 모델링 프레임워크인 PASTA, 프라이버시를 고려한 LINDDUN 등 도출하고자 하는 위협에 따라 다양하다 [32,33]. 본 논문에서는 정찰 드론의 보안성 평가 기준을 도출하기 위한 방법으로서 STRIDE 방법을 적용하였다.

STRIDE는 안전한 시스템이 갖춰야 할 6가지 요소로 인증, 무결성, 부인방지, 기밀성, 가용성, 권한 부여에 대한 위협을 도출하기에 효과적이며 낮은 false-positive를 가지는 특징 때문에 STRIDE 방법을 통해 보안성 기준을 도출하기에 적합하다 [34]. 사이버 영역에서만 사용되던 STRIDE 방법을 스마트그리드에 적용함으로서 사이버-물리 시스템으로 확장할 수 있음을 보인 연구가 있으며, 드론 시스템도 이와 유사하게 STRIDE 방법을 적용해 체계적으로 위협을 도출하는 것이 가능하다 [35].

III. 드론 위협 모델링

본 논문에서는 정찰 드론 보안성 평가 기준을 수립하기 위해 위협 모델링을 수행하였다. 3.1절에서는 본 논문에서 분석한 정찰 드론에 대해 기술하고 3.2 절에서는 드론의 데이터 흐름도를 작성하였다. 3.3절에서는 2.1절에서 소개한 선행 연구를 포함하여 관련 CVE 취약점들을 모아 공격 라이브러리를 구축하였다. 3.4절에서는 3.2절에서 작성한 데이터 흐름도에 3.3절에서 구축한 공격 라이브러리를 적용하여 발생할 수 있는 위협을 분석하였다. 3.5절과 3.6절에서는 분석한 위협을 바탕으로 실제 발생할 수 있는 공격에 대한 공격 트리를 작성하였다.

3.1 정찰 드론

본 논문에서는 국방 분야에 납품되고 있는 마이크로 크기(0.1~25kg)의 드론 중 2019년 조달청 혁신 시제품으로 선정된 드론을 대상으로 하였다. Fig.2.와 같이 대상 드론은 카메라와 드론, 암호 모듈이 탑재된 컨트롤러로 구성되며, 드론에는 기체 제어를 위한 센서와 GPS 모듈, 비행로그 저장소가 포함되어 있다.

Fig. 2. Reconnaissance drone component

3.2 데이터 흐름도 작성 데이터흐름도(dataflow diagram)는 시스템의 프로세스(process), 저장소(data store), 외부객체(external entity) 사이의 데이터 흐름(dataflow)를 도식화한 것으로 Table 1과 같이 구성된다. 대상 드론이 비행하고 영상을 스트리밍하는 과정을 분석하여 Fig. 3.과 같이 나타냈다. 드론은 미리 정한 경로대로 비행하는 자동 비행 모드와 사용자가 직접 제어하는 수동 비행 모드가 있으며 조종신호는 별도의 암호화를 거치지 않고 무선으로 전송된다. 비디오 처리 프로세스는 촬영한 영상을 인증받은 암호 모듈을 통해 암호화하여 전송한다. 대상 드론을 분석한 결과 총 20개의 프로세스와 5개의 데이터 저장소, 54개의 데이터 흐름을 식별했다.

Table 1. DFD Components

Fig. 3. Data Flow Diagram for Reconnaissance Drone

3.3 공격 라이브러리 구축

공격 라이브러리는 해당 시스템과 관련된 취약점들을 수집해 데이터베이스화한 것으로 다른 분석자에 의해 수행되어도 일련의 결과를 얻을 수 있도록 한다 [36]. 3.1절과 3.2절에서 분석한 내용에 따라 카메라, GPS모듈 등 정찰 드론을 구성하고 있는 요소와 관련된 취약점들을 최근 5년 안에 발표된 유명 드론 보안 관련 논문이나 해킹 컨퍼런스, 보안 블로그, github에 공개된 취약점들을 수집한 것과 고려대학교와 연세대학교, 성균관대학교에서 합동으로 수행한 고등급 마이크로커널 개발 프로젝트에서 구축한 드론 공격 라이브러리를 참고하여 데이터베이스화하였다 [37]. Table 2는 카메라에서 발생할 수 있는 취약점, Table 3은 GPS 신호에 관한 취약점, Table 4는 펌웨어에서 발생 가능한 취약점, Table 5는 메인보드나 가속도계 센서 등 하드웨어에서 발생할 수 있는 취약점, Table 6은 네트워크 프로토콜상에서 발생할 수 있는 취약점이다. 컨퍼런스 4건, CVE 37건, 논문 18건, 취약점 시연 2건으로부터 총 80개의 취약점을 수집하였다.

Table 2. Attack Library(Camera)

Table 3. Attack Library(GPS)

Table 4. Attack Library(Firmware)

Table 5. Attack Library(Hardware)

Table 6. Attack Library(Network)

3.4 위협 분석

3.2절에서 도출된 데이터 흐름도의 프로세스, 데이터플로우 등 각 요소에 대해 STRIDE 방법을 적용하여 발생할 수 있는 위협을 분석하였다. Table 7에 제시한 결과와 같이 총 106개의 위협이 도출되었으며 이를 3.3절의 공격 라이브러리와 매핑하였다. 식별한 주요 위협은 통신 프로세스 P6.1이 취약한 통신 프로토콜을 이용할 경우 통신 내용이 유출되거나 변조될 수 있는 위협이 있다. 위협 도출 시 드론의 암호모듈 내부에 속한 프로세스와 데이터 저장소는 별도의 인증을 받아 안전하다고 가정하였기 때문에 부채널 공격과 같이 암호 모듈에 대한 공격은 범위에서 제외하였다.

3.5 공격 트리 작성

공격 트리는 공격 목표에 달성하기 위해 필요한 공격 방법들을 조건에 따라 트리 형태로 표현한 것이다. 본 논문에서는 3.4절에서 수행한 위협 분석 결과를 바탕으로 드론 비행, 영상, 펌웨어, 로그에 대한 공격 트리를 작성하였다. Table 8~11은 공격 트리를 표 형식으로 작성한 것으로 공격 목표를 달성하기 위한 보조 공격 목표와 공격 방식을 3.4절에서의 식별한 위협과 연관지었다. 공격 목표를 달성하기 위한 조건은 표의 구분선으로 나타나며 실선은 공격을 달성하기 위한 or조건, 점선은 and조건을 나타낸다. 예를 들어, Table 8내의 1.1 드론의 자동 비행 실패를 유도하기 위해서는 1.1.1 gps에 대한 공격을 수단으로 이용할 수 있고, 해당 공격을 성공하기 위해서는 1.1.1.1 공격 대상 드론의 위치를 알아내야 1.1.1.2에 해당하는 GPS 신호 재밍이나 스푸핑을 성공시킬 수 있다. 드론에 대한 공격 목표로 Table 8은 드론 비행을 실패하기 위한 목표, Table 9는 영상을 수신하지 못하거나 유출시키는 등 영상과 관련된 공격 목표, Table 10은 펌웨어와 관련된 공격 목표, Table 11은 로그와 관련된 공격 목표로 크게 4개로 분류하여 공격 트리를 나타냈다.

Table 7. Threat analysis

Table 8. Attack Tree (flight control)

Table 9. Attack Tree (video)

Table 10. Attack Tree (log)

Table 11. Attack Tree (firmware)

IV. 드론 보안요구사항 도출

4절에서는 3절에서 수행한 위협모델링을 기반으로 정찰용 드론에 대한 보안요구사항을 도출하였다. 4.1절에서는 본 논문에서 도출한 보안요구사항을 제시하고, 4.2절에서는 한국인터넷진흥원에서 발표한 드론 사이버 보안 가이드에 제시된 보안요구사항과 본 논문에서 도출한 요구사항을 비교하였다.

4.1 드론 보안요구사항

본 논문에서는 3.5절에서 작성한 공격 트리의 공격 목표를 달성할 수 없도록 공격 트리의 최하위 노 드인 공격 방법에 대한 대응책으로서 24개의 보안요구사항을 도출하였다. 정찰용 드론 개발 시 Table 12의 보안 요구사항을 고려하면 본 논문에서 수집하고 분석한 위협과 공격으로부터 안전한 지 정찰드론을 평가할 수 있다.

Table 12. Security requirement of reconnaissance drone

4.2 보안요구사항 평가

4.1절에서 도출한 보안요구사항과 한국인터넷진흥원에서 제시한 드론 사이버 보안 가이드의 보안요구 사항을 비교하였다. 드론 사이버 보안 가이드는 드론의 구성요소 및 기능을 분석하고 각 요소에서 발생할 수 있는 위협을 나열하여 6가지 위협 시나리오를 작성하였다. 작성된 위협 시나리오로부터 보안과 안전한 비행, 프라이버시 측면을 모두 고려하여 HW 및 SW의 안전성, 인증 등 7개 보안 항목에 대해 27개의 대응 방안을 제시하였다 [1].

본 논문에서 도출한 요구사항과 항목별로 비교한 결과는 Table 13과 같다. 가이드라인은 본 논문에서 제시한 24개의 보안요구사항 중 17개의 요구사항을 포함하고 있다. 본 연구에서 제시하였지만 가이드 라인에 포함되지 않은 요구사항은 정찰용 드론에 탑재되는 센서와 카메라 보안, 영상 처리 과정에서 메모리에 대한 보안, 펌웨어 분석 및 수정에 대한 보안, 로그 프로세스가 정상 작동하는지를 확인하는 것에 대한 요구사항이다. 가이드라인에서 도출되지 않은 요구사항이 본 논문에서 도출할 수 있었던 이유는 두 가지가 있다.

첫 번째는 대상으로 삼은 드론의 구성요소가 다르다. 실제로 가이드라인에서 설명하는 드론 구성 요소를 보면 촬영용 카메라를 드론의 페이로드로 취급하는 반면, 본 논문에서는 정찰 드론을 대상으로 삼았기 때문에 카메라 역시 정찰 드론에 포함되는 구성요소로서 포함하였다.

두 번째는 가이드 라인의 경우 보안요구사항 도출과정의 각 단계가 독립적이다. 가이드라인의 보안요구사항 도출 과정을 살펴보면 2장 2절의 위협 시나리오에서 센서 취약점에 대한 위협을 식별하였으나 이로부터 관련된 보안요구사항이 3장 2절에 도출되지 않았다.

반면, 본 논문에서 도출한 요구사항에는 포함되어 있지 않으나 가이드라인에서 제시한 항목은 드론간 통신 시 식별 수단, 비행 금지구역에 대한 접근차단, 드론 비행 시 충돌 회피 기능, 프라이버시, 드론 시스템 설계에 대한 요구사항이다. 드론 간 통신 시 식별수단과 비행금지구역, 충돌 회피 기능에 대해서는 본 논문에서 대상으로 삼은 정찰 드론이 수행하는 임무상 요구되지 않는 기능에 대한 보안요구사항이고, 프라이버시와 시스템 설계에 대한 요구사항은 본 논문의 정찰 드론에도 적용 가능한 요구사항이지만, 본 논문의 위협 모델링 과정에서 고려하지 않은 영역이다.

Table 13. Drone security countermeasure assessment

V. 결론

드론이 활용되는 분야가 다양해짐에 따라 드론 취약점을 이용한 공격 시도가 늘어나고 있다. 드론 취약점 관련 연구들이 꾸준히 수행되고 있고 관련 국가기관에서도 드론 사이버 보안 가이드라인을 제시하는 등 드론 보안의 중요성이 강조되고 있다.

본 논문에서는 다양한 분야에서 활용되고 있는 정찰용 드론이 해킹이나 무선 신호 위협으로부터 안전할 수 있도록 개발되고 이미 개발된 드론의 보안성 평가를 돕기 위해 드론 보안 요구사항을 도출하였다. 네트워크, 펌웨어 등 드론 구성 요소별로 발생할 수 있는 공격 방식 80개를 수집하여 공격 라이브러리를 구축하였고, 이를 바탕으로 발생할 수 있는 106개의 위협을 분석하였다. 분석한 위협으로부터 드론의 비행실패나 영상 유출 등 4가지의 목표를 달성하기 위한 조건을 도출한 위협과 연관지어 공격 트리를 작성했다. 최종적으로 공격을 달성하기 위한 조건을 충족시키지 못하도록 하는 24개의 드론 보안 요구사항을 도출했다. 본 논문에서 도출한 요구사항은 안전한 드론 개발, 상용 드론 평가, 이미 제시된 보안요구사항과의 비교 등 드론의 보안성 향상에 도움이 될 것으로 기대한다. 안전한 드론의 활용을 위해 고려해야 할 문제는 보안과 프라이버시이다. 본 논문에서는 보안성을 고려하기 위해 STRIDE 위협 모델링 방법을 활용하였지만, 향후에는 프라이버시 영역에 초점을 둔 위협 모델링 방법인 LINDDUN 방법을 적용한다면 프라이버시 관련 위협과 요구사항을 도출할 수 있을 것이 다.