[論文レビュー] Application of Correlation Indices on Intrusion Detection Systems: Protecting the Power Grid Against Coordinated Attacks

Christian Moya, Junho Hong+1 more|arXiv (Cornell University)|Jun 9, 2018

Smart Grid Security and Resilience参考文献 23被引用数 5

ひとこと要約

本稿では、電力グリッドにおけるインシデント検出のための意味的分析フレームワークを提案する。このフレームワークは、相関インデックス生成装置（CIG）と相関知識ベース（CKB）を用い、低誤検出率・低見逃し率で監視制御攻撃（MCA）を検出する。相関する攻撃をインデックス化し、文脈的なグリッドデータを活用することで、高い検出精度と低ランタイムを達成し、連携攻撃の状況下で見逃しを著しく低減する。

ABSTRACT

The future power grid will be characterized by the pervasive use of heterogeneous and non-proprietary information and communication technology, which exposes the power grid to a broad scope of cyber-attacks. In particular, Monitoring-Control Attacks (MCA) --i.e., attacks in which adversaries manipulate control decisions by fabricating measurement signals in the feedback loop-- are highly threatening. This is because, MCAs are (i) more likely to happen with greater attack surface and lower cost, (ii) difficult to detect by hiding in measurement signals, and (iii) capable of inflicting severe consequences by coordinating attack resources. To defend against MCAs, we have developed a semantic analysis framework for Intrusion Detection Systems (IDS) in power grids. The framework consists of two parts running in parallel: a Correlation Index Generator (CIG), which indexes correlated MCAs, and a Correlation Knowledge-Base~(CKB), which is updated aperiodically with attacks' Correlation Indices (CI). The framework has the advantage of detecting MCAs and estimating attack consequences with promising runtime and detection accuracy. To evaluate the performance of the framework, we computed its false alarm rates under different attack scenarios.

研究の動機と目的

• . 伝統的なIDSが検出できない、巧妙で測定値を隠す性質を持つ連携監視制御攻撃（MCA）を効果的に検出する課題に対処すること。
• . エラー警報が重要な物理的運用を妨げる可能性があるため、電力グリッドのインシデント検出システム（IDS）における誤検出を低減すること。
• . 長時間のシミュレーションや長期間の履歴データ処理を避けることで、リアルタイムのサイバーフィジカルシステムにおける検出遅延を最小限に抑えること。
• . 多様な攻撃シナリオ下でも高い検出精度を維持できる、スケーラブルで低オーバーヘッドのIDSフレームワークを構築すること。
• . 意味的分析を用いて複数のグリッドコンポONENT間で攻撃行動を相関させることで、MCA脅威の早期検出を可能にすること。

提案手法

• . フレームワークは、制御信号および測定信号における悪意ある行動の相関を分析・インデックス化する相関インデックス生成装置（CIG）を用いる。
• . CIGから得られる相関インデックス（CIs）を用いて、周期的でない頻度で相関知識ベース（CKB）が更新され、高速なランタイムスキャンが可能になる。
• . CIGは最小基数の攻撃集合を分析することで、強く相関するMCAパターンを同定し、連携脅威の検出を保証する。
• . システムはハイブリッド検出戦略を採用する：CKBは既知の攻撃パターンの高速スキャンを実行し、CIGは未知または新規の攻撃をフォールバックとして処理する。
• . 意味的検出論理に、潮流のずれやネットワークトポロジーなどの文脈的グリッド情報が統合され、検出精度が向上する。
• . シミュレーションベースの評価フレームワークにより、攻撃率やターゲットセットの変動下でのFPRおよびFNRが計算され、ベルヌーイ分布を用いた攻撃および警報イベントのモデル化により、現実世界の不確実性を再現する。

実験結果

リサーチクエスチョン

• RQ1 . 電力グリッドにおけるインシデント検出システムは、通常の測定信号に紛れ込むため、検出が困難な連携監視制御攻撃（MCA）をどのように効果的に検出できるか？
• RQ2 . サイバー物理的電力グリッドにおけるIDSの誤検出率および見逃し率に、攻撃表面のサイズとターゲット選定が与える影響は何か？
• RQ3 . 長時間のシミュレーションや継続的な履歴データ監査を避ける一方で、高い検出精度を維持できる、軽量で低遅延のIDSを設計可能か？
• RQ4 . 実時間の電力グリッド環境において、従来のIDS手法と比較して、相関インデックスの使用が検出性能にどのように寄与するか？
• RQ5 . CKBにおける重要なグリッドターゲットの数と配置をチューニングする際、検出精度、誤報率、計算オーバーヘッドの間にはどのようなトレードオフが存在するか？

主な発見

• . 提案されたCKB/CIGフレームワークは、1本の重要な線路のみを監視する状況で、誤検出率（FPR）が最小0.0190にまで低下し、脅威検出における高い正確性を示している。
• . 脅威の見逃し率（FNRt）は文脈的情報の有無に強く依存し、重要な線路の数が減少するに従い、0.1806から0.0190に著しく低下する。
• . 重要な線路集合（L）の基数が減少するに従い、平均FPRtは0.1806から0.0190に低下し、ターゲットが少ないほどより高い耐性を示す。
• . 実時間のシミュレーションや継続的なデータマイニングを回避することで、検出遅延が低減され、時間的に重要な電力グリッド運用における迅速な対応が可能になる。
• . CIGは未知攻撃に対する信頼できるフォールバックとして機能する一方、適切にチューニングされたCKBは、誤検出率が低い状態で高速スキャンを実現する。
• . フレームワークは攻撃目的の選定に強く感受性を示す——最適なパフォーマンスは、リスク評価に基づいて重要ターゲットを慎重に選定した場合に達成される。