KMS테크놀로지, 보안솔루션 ‘디펜직스’로 자동차 사이버 보안 확대

2022년 05월 17일

케이엠에스테크놀로지(KMS Technology, 대표 이창표, www.kmstech.co.kr )는 자동차 사이버 보안 표준 준수와 위협 대응을 위해 차량용 네트워크 프로토콜 및 파일 퍼징(fuzzing: 대량의 데이터를 자동으로 입력해 '응답 예외' 또는 잠재적인 취약점 징후를 발견) 테스트 솔루션인 ‘디펜직스(Defensics)’를 통해 자동차 프로토콜 지원 강화를 발표했다.

디펜직스(Defensics)는 차량의 알려지지 않은 취약점과 보안 결함을 자동으로 탐지하여 자동차 사이버 보안 법규(WP.29, UNR-155, CSMS)를 효과적으로 대응하도록 CAN, 차량용 이더넷(Automotive Ethernet), Wi-Fi, Bluetooth 등과 같은 네트워크 프로토콜과 각종 미디어 파일을 지원한다.

디펜직스(Defensics)는 세계 최초의 퍼징 테스트 도구로서 20년 동안 “퍼징 테스트 솔루션” 분야를 선도하며 전 세계 및 국내 시장 점유율 1위 자리를 굳건히 지키고 있다. 자동차 사이버 보안 기술 표준에서 퍼징 테스트를 의무화하고 있다. 이에 대응하여, 디펜직스(Defensics)는 자동차 전용 프로토콜, 인포테인먼트, 외부 통신 등 자동차 사이버 보안 퍼징 테스트를 폭넓게 지원하고 있다.

디펜직스(Defensics)는 차량의 공격 벡터(Attack Vector)가 되는 통신 프로토콜과 파일에 잠재되어 있는 알려지지 않은 취약점과 보안 결함을 효율적으로 찾을 수 있는 퍼징 테스트 도구다. 퍼징은 오작동을 유발할 수 있는 무작위 데이터를 입력하여 취약점을 찾는 테스트 방식이다. 또한, 디펜직스는 차량 내외부에서 사용되는 프로토콜을 지원하고 있다. 특히 차량 내부 주요 통신 프로토콜인 CAN과 CAN-FD를 지원하고 차세대 차량 통신 기술인 차량 이더넷(1000Base-T1 등)과 차량 이더넷 기반의 DoIP, SOME/IP, gPTP, SRP를 지원하고 있다. 그 밖에 차량 AVN에서 사용하는 Bluetooth, Wi-Fi 등 무선통신과 IPv4 기반 프로토콜을 지원하여 차량의 알려지지 않은 취약점과 보안 결함을 효과적으로 탐지할 수 있다.

케이엠에스테크놀로지 솔루션 사업부 김상모 이사는 “케이엠에스테크놀로지는 디펜직스(Defensics)의 자동차 사이버 보안 기능 확대와 더불어, 사이버 보안 표준 및 법규에서 의무화하고 있는 자동차 사이버 보안 점검 전 영역에 대한 대응 방안 및 솔루션을 제공한다. 이를 통해 국내 기관 및 기업의 개발, 검증, 운영 단계에 최적화된 사이버 보안 점검 방안을 제공한다.”라고 밝혔다.

*업계 동향: 최근 차량에서 사용되는 네트워크 프로토콜이 확대됨에 따라 자동차 사이버 보안 위협이 점차 증가하고 있다. 자동차 산업 발전에 따라 차량에는 60~100개 정도의 전자 제어 장치(ECU)가 탑재되어 차량은 단순한 기계장치를 넘어 디지털화되어가고 있기 때문이다. 또한 차량 내부 장치와 시스템은 여러 통신 기술을 사용해 연결되었으며 이제 차량 외부까지 확장되고 있다. 이러한 변화로 자동차 사이버 보안 위협이 점차 증가하고 있다.

차량에는 다양한 네트워크 프로토콜과 관련 애플리케이션들이 동작하고 있다. 이는 주로 ECU 간 통신인 내부 네트워크와 차량 AVN에서 길 안내 정보, 영화, 음악, SNS 등과 같은 인포테인먼트(Information+Entertainment)를 위해 사용되는 Buletooth, Wi-Fi 그리고 차량의 원격 제어 진단 등을 위한 외부 네트워크로 나눠진다. 이러한 네트워크의 프로토콜과 프로토콜에 기반하는 애플리케이션들은 많은 보안 취약점을 내포하고 있다. 차량 내 사용되는 ECU와 소프트웨어, 차량 네트워크의 사용이 확대될수록 통신 채널과 외부 인터페이스를 이용한 차량 위협이 증가하기 때문에 사이버 보안 중요성이 강조되고 있다.

차량용 네트워크 연결 범위 확대로 사이버 보안 위협이 증가함에 따라, UNECE에서 WP.29 자동차 사이버 보안 법규를 제정하여 UNECE 회원국을 대상으로 의무적으로 인증을 취득하도록 하고 있다. 자동차 사이버 보안 법규 인증을 취득하기 위해서는 개발 초기 단계에서부터 사이버 보안 테스트를 통해 취약점을 식별하고 관리할 수 있는 프로세스를 갖춰야 한다.