[論文レビュー] A Public Network Trace of a Control and Automation System

Gorby Kabasele Ndonda, Ramin Sadre|arXiv (Cornell University)|Aug 6, 2019

Network Security and Intrusion Detection参考文献 9被引用数 4

ひとこと要約

本論文は、大学キャンパスの実際のビルメンテナンスシステム（BMS）HVACインfraストラクチャから得られた、公開可能な最初のネットワークトレースを提示する。このトレースは、現場デバイス、制御サーバー、HMIからの健全なパケットヘッダーを収集したものであり、研究者が現実的な条件下でフロー指向のインシデント検出システム（IDS）を評価できるようにする。プライバシー上の理由からペイロードを含まないが、安定した長時間接続や日周期的なトラフィックパターンに関する洞察を提供する。

ABSTRACT

The increasing number of attacks against automation systems such as SCADA and their network infrastructure have demonstrated that there is a need to secure those systems. Unfortunately, directly applying existing ICT security mechanisms to automation systems is hard due to constraints of the latter, such as availability requirements or limitations of the hardware. Thus, the solution privileged by researchers is the use of network-based intrusion detection systems (N-IDS). One of the issue that many researchers encounter is how to validate and evaluate their N-IDS. Having access to a real and large automation systems for experimentation is almost impossible as companies are not inclined to give access to their systems due to obvious concerns. The few public traffic datasets that could be used for off-line experiments are either synthetic or collected at small testbeds. In this paper, we will describe and characterize a public traffic dataset collected at the HVAC management system of a university campus. Although the dataset contains only packet headers, we believe that it can help researchers, in particular designers of flow-based IDS, to validate their solutions under more realistic conditions. The traces can be found on https://github.com/gkabasele/HVAC_Traces.

研究の動機と目的

• サイバーセキュリティ研究のための、産業制御システム（ICS）から公開可能な実世界のネットワークトレースが不足しているという問題を解決すること。
• 特許権やライブシステムへのアクセスを必要とせずに、フローベースのネットワークインシデント検出システム（N-IDS）を検証・評価できる現実的なデータセットを提供すること。
• 本番のBMSから得た実際のトラフィック特性を提供することで、正確な合成トラフィックモデルおよびテストベッド構成の開発を支援すること。
• 自動化システムにおける健全なトラフィックパターン（日周期的リズム、フロー安定性など）を研究者に提供すること。
• 収集方法とシステムの文脈を文書化したオープンアクセスデータセットを提供することで、再現可能な実験を促進すること。

提案手法

• 2つのゲートウェイでネットワークモニタリングを実施し、大学キャンパスの実際のHVAC管理システムからネットワークパケットヘッダーを収集した。
• 通信の対象である制御サーバー、HMI、現場デバイス（PLC/RTU）に注目し、連続的な期間にわたりデータ収集を実施した。
• パケットヘッダーから、パケット数、バイトサイズ、フロー持続時間、接続パターンなどのフローレベル特徴量を抽出した。
• 時間スケール（毎時、日周期）およびゲートウェイごとのトラフィック行動を分析し、安定性と異常を特定した。
• プライバシー保護のためペイロードデータを除外したが、トラフィックモデリングおよび異常検出に適したタイムスタンプ、サイズ、フローメタデータを保持した。
• GitHubを通じてデータセットを公開し、IDS研究分野における再現性とコミュニティの再利用を支援した。

実験結果

リサーチクエスチョン

• RQ1 実世界のBMS HVACシステムの主なトラフィック特性は何か。特に、フロー安定性と日周期的パターンの観点から。
• RQ2 実際の産業制御システムネットワークは、従来のITネットワークと比較して、どれほど予測可能で長時間持続する接続を示すのか。
• RQ3 公開された実世界のBMSトレースは、合成トラフィック生成およびN-IDS評価の現実性と妥当性をどのように向上させることができるか。
• RQ4 安定したBMS環境で、どのような異常や不規則なトラフィックパターンが発生するのか。また、それらはインシデント検出システムにどのように影響を与えるか。
• RQ5 合成攻撃トラフィックと組み合わせた場合、実際のBMSシステムからの公開トレースは、フローベースのIDS研究における信頼できるベンチマークとして機能できるか。

主な発見

• 24時間のトレース期間中に約150万件のユニークなフローが記録され、その大部分がトレース全体の期間にわたって継続していたことから、高いフロー安定性が示された。
• トラフィックには明確な日周期的パターンが見られ、授業予約やシステム更新に伴う人間活動と一致する昼間のピークが観察された。
• 1時間あたりに発見される新規フロー数は、DCE/RPCのポート変更やソフトウェア更新による一時的なピークを除き、ほぼ一定（500未満）を維持していた。
• ゲートウェイXはゲートウェイYよりも顕著に高いトラフィック量を発生させており、ゲートウェイYでは200万件を超える空のACKパケットが観測された。これは非対称な通信パターンを示している。
• データセットには悪意のあるペイロードや攻撃イベントが一切含まれず、異常検出モデルの学習およびテストに適している。
• 安定性は保たれているが、一時的な異常（フロー作成数やパケット量の急増）も観察され、これらはN-IDSの誤検出率に挑戦要因となる可能性がある。