[論文レビュー] Attack Detection and Identification in Cyber-Physical Systems -- Part I: Models and Fundamental Limitations

Fabio Pasqualetti, Florian Dörfler+1 more|arXiv (Cornell University)|Feb 28, 2012

Smart Grid Security and Resilience参考文献 38被引用数 41

ひとこと要約

本稿は、線形記述子系としてモデル化されたサイバー物理システムにおける検出不能かつ同定不能な攻撃を統一的枠組みで分析する手法を提案する。攻撃は未知の外部入力として扱われる。静的・動的・アクティブなモニタの根本的限界を確立し、スティールト攻撃の存在に関する代数的およびグラフ理論的条件を導出する。実際の水道網および電力網において検証済み。

ABSTRACT

Cyber-physical systems integrate computation, communication, and physical capabilities to interact with the physical world and humans. Besides failures of components, cyber-physical systems are prone to malignant attacks, and specific analysis tools as well as monitoring mechanisms need to be developed to enforce system security and reliability. This paper proposes a unified framework to analyze the resilience of cyber-physical systems against attacks cast by an omniscient adversary. We model cyber-physical systems as linear descriptor systems, and attacks as exogenous unknown inputs. Despite its simplicity, our model captures various real-world cyber-physical systems, and it includes and generalizes many prototypical attacks, including stealth, (dynamic) false-data injection and replay attacks. First, we characterize fundamental limitations of static, dynamic, and active monitors for attack detection and identification. Second, we provide constructive algebraic conditions to cast undetectable and unidentifiable attacks. Third, by using the system interconnection structure, we describe graph-theoretic conditions for the existence of undetectable and unidentifiable attacks. Finally, we validate our findings through some illustrative examples with different cyber-physical systems, such as a municipal water supply network and two electrical power grids.

研究の動機と目的

• 従来の部品故障を超える洗練されたスティールト攻撃に対して脆弱なサイバー物理システムにおけるセキュリティメカニズムの必要性に対応すること。
• 攻撃を未知の外部入力として扱う線形記述子系としてサイバー物理システムをモデル化し、スティールト攻撃、偽のデータインジェクション攻撃、リプレイ攻撃を包括的に捉えること。
• 静的・動的・アクティブなモニタが、このような攻撃の検出および同定において直面する根本的限界を特定すること。
• システム構造に基づいて、検出不能かつ同定不能な攻撃の存在に関する構成的代数的およびグラフ理論的条件を導出すること。
• 水道網および2つの電力グリッドを用いた事例研究を通じて、理論的知見を検証すること。

提案手法

• サイバー物理システムをインデックス1の線形記述子系としてモデル化し、微分代数方程式フレームワークを用いて動的特性を表現する。
• 攻撃をシステム状態（x）、出力（y）、測定値に影響を与える未知の外部入力（u）として表現し、攻撃シグネチャ行列BおよびDを導入する。
• ゼロダイナミクスと構造的システム理論を用いて攻撃の検出可能性および同定可能性を分析し、攻撃が観測可能なシステムモードを励起するかに注目する。
• システム行列のランクおよび核空間の性質に基づいて、検出不能および同定不能な攻撃の代数的条件を導出する。
• システムの相互接続構造を用いたグラフ理論的条件を導入し、システム全体の知識がなくてもスティールト攻撃の存在を同定可能とする。
• 水ネットワークおよび電力グリッドにおけるシミュレーションを通じて理論的結果を検証し、攻撃が検出を回避できるように設計可能であることを示す。

実験結果

リサーチクエスチョン

• RQ1 静的・動的・アクティブなモニタは、サイバー物理システムにおける攻撃の検出および同定において、どのような根本的限界を有するか？
• RQ2 線形記述子系において、攻撃者が検出不能または同定不能な攻撃を設計できる代数的条件は何か？
• RQ3 ネットワーク相互接続構造は、サイバー物理システムにおけるスティールト攻撃の存在にどのように影響するか？
• RQ4 グラフ理論的条件は、特定の数値的実装に依存せずに検出不能な攻撃の存在を予測可能か？
• RQ5 水や電力グリッドのような実世界のサイバー物理システムは、どのようにしてスティールト攻撃に対する脆弱性を分析できるか？

主な発見

• 動的モニタは、静的モニタよりもシステムのダイナミクスを活用するため、測定数が少ない場合でも攻撃検出性能に優れる。
• アクティブモニタは、受動的動的モニタと同様の構造的制約に直面するため、根本的限界を克服できない。
• 攻撃シグネチャ（B, D）がシステムのゼロダイナミクスにのみ励起する場合に限り、検出不能な攻撃が存在する。これは、システム行列に関する代数的条件によって特定可能である。
• 検出不能な攻撃の存在に関するグラフ理論的条件は、システムの相互接続構造に基づいて導出され、ほとんどすべての適合する数値的実装に対して成り立つ。
• 水供給ネットワークの事例研究において、攻撃者は貯水タンクR₂から水を盗難可能であり、センサーS₁を改ざんし、ポンプP₂を操作し、圧力計測値を維持するように攻撃信号を調整することで検出を回避できる。
• 初期状態やネットワーク全体の構造を事前に知らなくても攻撃戦略は有効であり、接続係数A₃₁を除き、他の変数を監視する追加センサーがあっても検出されないままである。