차량 사이버 보안 규제 UN R155: CSMS 인증을 위한 CAN 버스 데이터 침입 탐지 시스템(IDS)

자동차가 기계 중심의 제품에서 소프트웨어 중심의 이동수단으로 변화하면서 차량 사이버 보안의 중요성이 빠르게 커지고 있다. 과거에는 자동차의 전자제어장치가 외부 네트워크와 연결되는 범위가 제한적이었지만, 최근 차량은 LTE·5G, Wi-Fi, Bluetooth, 내비게이션, 스마트폰 연동, 클라우드 서비스와 연결된다. 여기에 OTA(Over-The-Air) 소프트웨어 업데이트까지 확대되면서 차량 내부 네트워크 역시 사이버 공격에 대비해야 하는 환경이 되었다.

이러한 변화에 대응하기 위해 자동차 업계에서 중요하게 다뤄지는 규정이 UN R155다. UN R155는 차량 사이버 보안과 사이버 보안 관리 시스템(CSMS)에 관한 국제적인 자동차 규정으로, UNECE가 공식 규정 문서를 제공하고 있다.

특히 차량 내부에서 ECU들이 데이터를 주고받는 CAN(Controller Area Network)​은 오랫동안 자동차 전자 시스템의 핵심 통신 방식으로 사용되어 왔다. 따라서 CAN 통신의 이상 징후를 탐지하는 IDS(Intrusion Detection System)​는 차량 사이버 보안을 구현하는 중요한 기술 중 하나로 볼 수 있다.

UN R155와 CSMS의 관계

UN R155를 이해하려면 먼저 CSMS라는 개념을 알아야 한다. CSMS는 Cyber Security Management System의 약자로 차량의 사이버 보안 위험을 체계적으로 관리하기 위한 조직적·기술적 체계를 의미한다.

중요한 것은 CSMS를 단순한 보안 소프트웨어 하나로 생각해서는 안 된다는 점이다. 자동차 제조사는 차량 개발 과정에서 어떤 사이버 보안 위험이 존재하는지 파악하고, 위험을 평가한 뒤 적절한 보호 및 대응 방법을 마련해야 한다.

차량이 판매된 이후에도 새로운 취약점이나 공격 방법이 등장할 수 있기 때문에 사이버 보안은 개발 단계에서 끝나는 작업이 아니다. 취약점 관리, 사고 대응, 보안 업데이트 등 지속적인 관리가 필요하다.

따라서 CAN 버스 IDS는 CSMS 전체와 동일한 개념이 아니라 CSMS를 구성하는 여러 기술적 보안 수단 가운데 하나로 이해하는 것이 정확하다.

자동차 CAN 버스란 무엇인가?

CAN은 차량 내부에 설치된 여러 ECU가 정보를 교환할 수 있도록 만든 통신 네트워크다.

자동차에는 엔진이나 모터, 제동장치, 조향장치, 차체 제어장치 등 다양한 전자 시스템이 존재한다. 이들이 각각 독립적으로 작동하는 것이 아니라 서로 정보를 교환해야 하기 때문에 차량 내부 통신망이 필요하다.

CAN은 이러한 ECU 간 통신에 널리 사용되어 왔다.

예를 들어 한 ECU에서 차량 상태와 관련된 데이터를 전송하면 다른 ECU가 해당 메시지를 받아 필요한 제어 또는 판단에 사용할 수 있다.

하지만 전통적인 CAN 통신은 오늘날의 인터넷 보안 시스템과 비교하면 보안 기능 측면에서 한계가 있다. 특히 기본적인 CAN 구조에서는 네트워크에 접근한 장치가 실제로 신뢰할 수 있는 ECU인지 메시지 자체만으로 판단하기 어려운 문제가 있다.

이 때문에 차량 내부 네트워크에 대한 접근 경로를 제한하고, 게이트웨이와 인증 기술 등을 추가하며, 이상 통신을 탐지하는 IDS를 함께 사용하는 방식이 고려된다.

CAN 버스에서 IDS가 필요한 이유

IDS는 Intrusion Detection System, 즉 침입 탐지 시스템을 뜻한다.

자동차용 IDS의 기본적인 역할은 차량 네트워크에서 발생하는 통신을 관찰하면서 정상적인 패턴과 다른 움직임을 찾아내는 것이다.

예를 들어 특정 CAN 메시지가 정상적인 상황에서는 일정한 주기로 발생한다고 가정해 보자.

그런데 특정 시점부터 해당 메시지가 비정상적으로 빠른 빈도로 반복되거나, 평소에는 거의 나타나지 않던 메시지가 갑자기 지속적으로 발생한다면 이상 징후로 판단할 수 있다.

이때 IDS가 바로 공격이라고 확정하는 것은 아니다. 차량 시스템에서는 소프트웨어 오류나 통신 장애도 비정상적인 패턴을 만들 수 있기 때문이다.

따라서 IDS는 먼저 보안 이벤트를 탐지하고 기록한 뒤 추가적인 분석과 대응을 지원하는 역할을 수행한다.

AUTOSAR가 정의한 온보드 IDS 아키텍처에서도 Security Sensors, Intrusion Detection System Manager(IdsM), Security Event Memory(Sem), Intrusion Detection System Reporter(IdsR) 등의 구성 요소를 통해 보안 이벤트를 수집·처리·저장·보고하는 구조를 설명하고 있다.

CAN 버스 IDS의 대표적인 탐지 방식

CAN IDS를 구현하는 방법은 하나로 정해져 있지 않다. 차량의 네트워크 구조와 ECU 특성, 필요한 보안 수준에 따라 다양한 방법을 사용할 수 있다.

1. 메시지 주기 기반 탐지

가장 직관적인 방법 중 하나는 메시지가 발생하는 주기를 관찰하는 것이다.

특정 CAN ID가 정상적으로 일정한 주기로 발생한다면 IDS는 해당 패턴을 기준으로 삼을 수 있다.

정상 범위를 크게 벗어난 메시지 빈도가 감지되면 보안 이벤트로 기록하는 방식이다.

이 방법은 구현하기 비교적 쉽다는 장점이 있지만, 차량의 운전 조건이나 시스템 상태에 따라 통신량이 달라질 수 있다는 점을 고려해야 한다.

2. CAN ID 기반 탐지

특정 ECU나 기능에서 사용하는 CAN ID 목록을 기준으로 허용되지 않은 메시지를 찾는 방식이다.

예상하지 못한 ID가 특정 네트워크 구간에서 발생한다면 이상 이벤트로 분류할 수 있다.

하지만 차량의 전체 통신 구조를 정확히 파악해야 하며, 소프트웨어 버전이나 차량 옵션에 따라 정상적인 메시지 구성이 달라질 수 있다는 점이 중요하다.

3. 데이터 값 범위 기반 탐지

CAN 메시지의 데이터 값 자체를 분석하는 방법도 있다.

예를 들어 특정 메시지의 값이 정상적인 차량 상태에서 나타나는 범위를 크게 벗어나는지 확인할 수 있다.

다만 단순한 숫자 범위만으로 공격 여부를 결정하는 것은 위험하다. 차량의 주행 상황에 따라 정상적인 데이터 범위가 변화할 수 있기 때문이다.

4. 머신러닝 기반 이상 탐지

최근에는 머신러닝을 활용해 CAN 통신의 정상적인 패턴을 학습하고 이상 데이터를 탐지하는 방법도 연구되고 있다.

머신러닝 방식의 장점은 사람이 모든 이상 조건을 사전에 규칙으로 작성하지 않아도 복잡한 패턴을 분석할 가능성이 있다는 것이다.

반면 학습 데이터가 실제 차량 환경을 충분히 반영하지 못하면 오탐이나 미탐이 증가할 수 있다.

따라서 머신러닝 기반 CAN IDS 역시 무조건 기존 방식보다 우수하다고 볼 수 없으며, 실제 환경에서 충분한 검증이 필요하다.

CAN IDS의 실제 동작 과정

CAN IDS의 동작을 단순화하면 다음과 같이 이해할 수 있다.

CAN 메시지 수집 → 정상 통신 패턴과 비교 → 이상 여부 판단 → 보안 이벤트 생성 → 이벤트 저장 및 보고 → 후속 대응

예를 들어 차량 내부에서 특정 CAN ID가 평소와 다른 빈도로 반복해서 발생한다고 가정해 보자.

보안 센서가 해당 이벤트를 수집하면 IDS 관리 기능에서 사전에 설정된 규칙이나 분석 모델을 이용해 이벤트를 분류할 수 있다.

이후 중요한 이벤트는 로컬에 저장하거나 별도의 보안 시스템으로 전달할 수 있다.

AUTOSAR의 IDS 관련 사양에서도 여러 센서가 보안 이벤트를 수집하고 IdsM이 필터 규칙을 이용해 이벤트를 처리한 뒤 Reporter나 Security Event Memory 등의 대상으로 전달하는 구조를 정의하고 있다.

이러한 구조를 이용하면 차량 내부에서 발생한 이상 현상을 단순히 일회성 경고로 끝내지 않고 이후 분석에 활용할 수 있다.

IDS 탐지 결과만으로 공격을 확정하면 안 되는 이유

차량 사이버 보안에서 중요한 부분이 바로 오탐(False Positive)​이다.

예를 들어 차량의 정상적인 작동 조건이 변경되면서 CAN 메시지 발생 빈도가 달라질 수도 있다. 소프트웨어 업데이트나 진단 작업 역시 평소와 다른 통신 패턴을 만들 수 있다.

이러한 상황까지 모두 공격으로 판단한다면 경고가 지나치게 많이 발생할 수 있다.

반대로 공격자가 정상적인 통신 패턴을 모방한다면 탐지 시스템이 이를 놓칠 가능성도 있다. 이것이 미탐(False Negative) 문제다.

따라서 차량용 IDS에서는 탐지율 하나만 보는 것이 아니라 오탐률, 처리 시간, CPU 및 메모리 사용량, 실제 운전 환경에서의 안정성 등을 함께 평가해야 한다.

UN R155와 IDS를 연결해서 생각해야 하는 이유

UN R155의 핵심은 특정 보안 제품 하나를 설치하는 것보다는 차량의 사이버 보안 위험을 체계적으로 관리하는 데 있다.

따라서 CAN IDS를 설치했다고 해서 그것만으로 CSMS 요구사항을 모두 충족한다고 판단해서는 안 된다.

실제 차량 보안에서는 공격 표면 분석, 위험 평가, 보안 설계, 취약점 관리, 사고 대응, 소프트웨어 업데이트 등 다양한 활동이 연결된다.

IDS는 이 가운데 차량 내부에서 발생할 수 있는 비정상적인 활동을 탐지하고 관련 정보를 제공하는 역할을 담당할 수 있다.

이렇게 보면 IDS는 탐지 계층, CSMS는 ​전체적인 관리 체계라는 차이가 명확해진다.

자동차 사이버 보안에서 IDS의 한계

IDS가 중요한 기술인 것은 분명하지만 모든 공격을 해결할 수 있는 만능 장치는 아니다.

첫째, 이미 네트워크에 침투한 공격자를 항상 정확하게 구분할 수 있는 것은 아니다.

둘째, 정상적인 통신 패턴이 복잡할수록 탐지 기준을 만드는 것이 어려워진다.

셋째, 차량의 ECU와 통신량이 증가하면 IDS가 처리해야 하는 데이터도 늘어난다.

넷째, 이상을 발견한 뒤 어떤 조치를 취할 것인지 별도의 대응 정책이 필요하다.

특히 안전과 관련된 ECU의 통신을 보안 이벤트 하나만으로 무조건 차단하는 방식은 적절하지 않을 수 있다. 사이버 보안과 기능 안전을 함께 고려해 대응 수준을 결정해야 한다.

앞으로의 차량용 사이버 보안

차량이 중앙집중형 또는 도메인·존 기반 전자 아키텍처로 발전하고 외부 연결성이 높아지면서 자동차 네트워크 보안의 중요성은 더욱 커질 가능성이 있다.

AUTOSAR 역시 자동차 소프트웨어의 보안 기능과 ECU 간 통신, 플랫폼 업데이트 등을 지속적으로 발전시키고 있다. 현재 AUTOSAR는 Classic Platform과 고성능 ECU를 위한 Adaptive Platform을 구분하고 있으며, Adaptive Platform은 자율주행과 같은 fail-operational 시스템의 활용 사례를 대상으로 한다.

앞으로는 단순한 CAN 메시지 규칙 기반 탐지를 넘어 차량 내부 여러 네트워크의 이벤트를 함께 분석하고, 보안 로그와 차량 상태 정보를 결합하는 방식도 중요해질 수 있다.

마무리

UN R155는 자동차 사이버 보안을 차량 개발과 관리 과정에서 중요한 요소로 다루도록 하는 규정이다. 그 중심에는 CSMS라는 지속적인 사이버 보안 관리 체계가 있다.

CAN 버스 IDS는 이러한 환경에서 차량 내부 네트워크의 이상 통신을 탐지하는 기술적 수단으로 활용될 수 있다.

특히 메시지 주기, CAN ID, 데이터 값, 통신 패턴 등을 분석하면 정상적인 상황과 다른 이벤트를 찾아낼 수 있으며, 탐지된 이벤트는 이후 분석과 대응을 위한 자료로 활용할 수 있다.

그러나 IDS만으로 차량 사이버 보안이 완성되는 것은 아니다. 보안 설계, 접근 제어, 인증, 취약점 관리, 안전한 소프트웨어 업데이트, 사고 대응 체계 등이 함께 마련되어야 한다.

결국 자동차 사이버 보안의 핵심은 공격을 막는 것뿐 아니라 이상 징후를 발견하고, 위험을 평가하고, 적절하게 대응하며, 문제가 발생한 이후에도 시스템을 개선할 수 있는 지속적인 관리 체계​를 구축하는 데 있다.

UN R155와 CSMS, CAN IDS를 함께 이해하면 앞으로 소프트웨어 중심 자동차가 왜 단순한 기계적 안전성뿐 아니라 네트워크와 소프트웨어 보안까지 요구받는지 보다 명확하게 이해할 수 있다.