[論文レビュー] AnoMili: Spoofing Prevention and Explainable Anomaly Detection for the 1553 Military Avionic Bus

Efrat Levy, Nadav Maman+2 more|arXiv (Cornell University)|Feb 14, 2022

Network Security and Intrusion Detection被引用数 12

ひとこと要約

AnoMili は、物理的侵入検出、デバイスファンネル（検出モードおよび防止モード）、文脈ベースの異常検出、リアルタイムでの異常説明を組み合わせた、MIL-STD-1553 軍用航空電子バス向けの新規で解釈可能なセキュリティシステムである。実ハードウェアのテストベッドにおいて、99.45%を超える検出精度とほぼゼロの誤検出率を達成し、スプーフィングや内部者攻撃に対するエンドツーエンドの保護を提供する。また、実行可能な人間が読める説明を提供する。

ABSTRACT

MIL-STD-1553, a standard that defines a communication bus for interconnected devices, is widely used in military and aerospace avionic platforms. Due to its lack of security mechanisms, MIL-STD-1553 is exposed to cyber threats. The methods previously proposed to address these threats are very limited, resulting in the need for more advanced techniques. Inspired by the defense in depth principle, we propose AnoMili, a novel protection system for the MIL-STD-1553 bus, which consists of: (i) a physical intrusion detection mechanism that detects unauthorized devices connected to the 1553 bus, even if they are passive (sniffing), (ii) a device fingerprinting mechanism that protects against spoofing attacks (two approaches are proposed: prevention and detection), (iii) a context-based anomaly detection mechanism, and (iv) an anomaly explanation engine responsible for explaining the detected anomalies in real time. We evaluate AnoMili's effectiveness and practicability in two real 1553 hardware-based testbeds. The effectiveness of the anomaly explanation engine is also demonstrated. All of the detection and prevention mechanisms employed had high detection rates (over 99.45%) with low false positive rates. The context-based anomaly detection mechanism obtained perfect results when evaluated on a dataset used in prior work.

研究の動機と目的

• MIL-STD-1553 は広く使用されているが、ネイティブなセキュリティが欠如しているため、その問題を解決すること。
• 1553 バス上のスプーフィング攻撃や、不正なデバイス接続といった内部者脅威を軽減すること。
• 検出された異常について、リアルタイムで人間が対応可能な説明を提供することで、迅速な対応および是正を可能にすること。
• 計算負荷を最小限に抑え、プロトコルや OS 层の変更を避けることで、実用的な展開を確保すること。
• 電圧ベースの検出モデルを除き、最小限の再トレーニングで、1553 システム間で移行可能であるようにすること。

提案手法

• 起動時でさえ、受動的またはサイレントなデバイスであっても、1553 バス上の電圧信号を分析して、物理的側帯信号を用いた非教師あり深層学習ベースの侵入検出メカニズムを導入し、新たなまたは不正なデバイスの検出を実現する。
• メッセージ送信中の電圧信号特性に基づいてトレーニングされた深層学習分類器を用いて、デバイスのファンネルを実装し、デバイスの出所を認証し、スプーフィングを検出する。
• 書き込み試行時に送信元アドレスを検証することで、スプーフィングを防止する 1553 トランシーバのハードウェアラッパーを導入し、ソフトウェアレベルでのバイパスをゼロに保証する。
• 非教師あり深層学習モデルを用いて、正常なメッセージシーケンスを学習し、メッセージのタイミング、シーケンス、周波数といった送信文脈に基づいて異常を検出する。
• 人間の運用者や自動システムを支援するために、高レベル（例：「発射コマンドの後に偽の位置情報」）および低レベル（例：「メッセージ長または送信元アドレスの逸脱」）の説明を生成する異常説明エンジンを開発する。
• システム仕様および攻撃パターンを用いて異常説明エンジンをトレーニングし、アラートの一貫性と解釈可能性を保証する。

実験結果

リサーチクエスチョン

• RQ1 MIL-STD-1553 バス上での不正なデバイス接続をリアルタイムで検出するために、電圧変動といった物理的側帯信号を効果的に活用できるか？
• RQ2 既存の 1553 ハードウェアやソフトウェアを変更せずに、電圧信号に基づく深層学習モデルが、高い精度でデバイスファンネルおよびスプーフィング検出を達成できるか、その範囲はどの程度か？
• RQ3 非教師あり学習を用いた文脈ベースの異常検出が、実世界の 1553 トラフィックにおいて、高い精度と低い誤検出率で悪意あるメッセージパターンを同定できるか？
• RQ4 解釈可能な AI エンジンが、実際の攻撃ベクトルおよび意図と一致する直感的で実行可能な正確な説明を提供できるか？
• RQ5 検出メカニズムは、さまざまな 1553 システム間でどの程度移行可能か？また、電圧ベースのモデルのためのデータ収集およびトレーニングのオーバーヘッドはどの程度か？

主な発見

• 物理的侵入検出メカニズムは、2つの実際の 1553 ハードウェアテストベッドで、10の物理的攻撃シナリオすべてにおいて、100%の検出精度とゼロの誤検出率を達成した。
• デバイスファンネル検出アプローチは、電圧信号パターンに基づいてスプーフィングまたは不正なデバイスを識別する際、99.45%を超える分類精度を達成した。
• ハードウェアベースのスプーフィング防止メカニズムは、すべてのテストシナリオで不正な書き込み試行を完全にブロックし、100%の効果を示した。
• 文脈ベースの異常検出メカニズムは、先行研究のベンチマークデータセットを用いた評価で、完全な検出性能（100%の再現率および適合率）を達成した。
• 異常説明エンジンは、実際の攻撃行動および意図と一致する一貫性があり、直感的で攻撃固有の説明（例：「発射コマンドの後に偽の位置情報」）を生成した。
• 電圧信号ベースのモデルは、1システムあたり数分間のデータ収集とトレーニングで十分であり、高い実用性と低い展開オーバーヘッドを示した。