[論文レビュー] Checking is Believing: Event-Aware Program Anomaly Detection in Cyber-Physical Systems

Long Cheng, Ke Tian+3 more|arXiv (Cornell University)|Apr 30, 2018

Security and Verification in Computing参考文献 66被引用数 6

ひとこと要約

本論文は、サイバー物理システム（CPS）のランタイム異常検出フレームワークであるOrpheusを提案する。このフレームワークは、サイバー物理的実行意味論を強制することで、データ指向の攻撃を検出する。制御プログラムをイベント対応型有限状態オートマトン（eFSA）としてモデル化し、物理的イベントとプログラムの状態遷移の整合性を検証する。これにより、低遅延（状態チェックあたり0.0001秒）で、巧妙なデータ改ざん攻撃を効果的に検出可能である。

ABSTRACT

Securing cyber-physical systems (CPS) against malicious attacks is of paramount importance because these attacks may cause irreparable damages to physical systems. Recent studies have revealed that control programs running on CPS devices suffer from both control-oriented attacks (e.g., code-injection or code-reuse attacks) and data-oriented attacks (e.g., non-control data attacks). Unfortunately, existing detection mechanisms are insufficient to detect runtime data-oriented exploits, due to the lack of runtime execution semantics checking. In this work, we propose Orpheus, a new security methodology for defending against data-oriented attacks by enforcing cyber-physical execution semantics. We first present a general method for reasoning cyber-physical execution semantics of a control program (i.e., causal dependencies between the physical context and program control flows), including the event identification and dependence analysis. As an instantiation of Orpheus, we then present a new program behavior model, i.e., the event-aware finite-state automaton (eFSA). eFSA takes advantage of the event-driven nature of CPS control programs and incorporates event checking in anomaly detection. It detects data-oriented exploits if a specific physical event is missing along with the corresponding event dependent state transition. We evaluate our prototype's performance by conducting case studies under data-oriented attacks. Results show that eFSA can successfully detect different runtime attacks. Our prototype on Raspberry Pi incurs a low overhead, taking 0.0001s for each state transition integrity checking, and 0.063s~0.211s for the cyber-physical contextual consistency checking.

研究の動機と目的

• 伝統的な制御フローオンリーや整合性メカニズムでは検出できない、増加する巧妙なデータ指向攻撃の脅威に対処すること。
• 実行時意味論のチェックが欠如しているため、既存の異常検出手法がデータ指向の改ざん攻撃を検出できないという限界を克服すること。
• 制御意思決定と物理的イベントの不整合を検出できるように、サイバーと物理的文脈を統合したプログラム動作モデルを開発すること。
• Raspberry Piなどのリソース制約のあるCPSプラットフォームへの実用的導入を可能にし、最小限のパフォーマンス遅延を実現すること。

提案手法

• 物理的イベントとプログラム制御フローの因果的依存関係を分析することで、サイバー物理的実行意味論を強制するセキュリティ手法「Orpheus」を提案する。
• イベント駆動型実行意味論を組み込み、状態遷移時の欠落または不整合な物理的イベントの有無を検査する、イベント対応型有限状態オートマトン（eFSA）を設計する。
• 物理的文脈がCPSプログラムの制御意思決定に与える影響をモデル化するため、イベント同定と依存関係解析を実施する。
• 組み込みプラットフォームに、状態遷移の整合性チェック（0.0001秒の遅延）とサイバー物理的文脈整合性チェック（0.063～0.211秒の遅延）を統合する。
• CPS制御プログラムのイベント駆動特性を活用し、対応する状態遷移と一致しない物理的イベントが発生しない場合に異常を検出する。
• 実世界の事例研究を通じて、制御分岐や制御強度の操作を含む、さまざまなデータ指向攻撃に対する手法の有効性を検証する。

実験結果

リサーチクエスチョン

• RQ1 制御フローオンリーや整合性が保たれる状況下でも、ランタイムにおけるデータ指向攻撃は効果的に検出可能か？
• RQ2 サイバー物理的実行意味論を形式的に扱うことで、物理的イベントとプログラム動作の不整合を検出できるか？
• RQ3 イベント対応型プログラムモデルは、従来のCFIベースの防御を回避する巧妙なデータ改ざん攻撃を検出可能か？
• RQ4 リソース制約のあるCPSプラットフォームにイベント対応意味論を強制する際のパフォーマンス遅延はどの程度か？
• RQ5 本手法は、既存の物理ベースまたはサイバーのみのモデルと比較して、データ指向攻撃の検出において優れているか？

主な発見

• eFSAモデルは、制御フローオンリーや整合性を損なわない範囲で制御意思決定や制御強度を改ざんするデータ指向攻撃を効果的に検出できる。
• Raspberry Piに実装されたプロトタイプは、状態遷移の整合性チェックあたりわずか0.0001秒の遅延しか発生せず、低ランタイム遅延であることが実証された。
• 文脈整合性チェックの遅延は0.063秒から0.211秒の間であり、リアルタイムCPSアプリケーションへの適用可能性が示された。
• eFSAは、実際の物理的状態（例：ローター回転速度）と予想されるプログラム動作との不整合を特定することで、Stuxnetに類似した攻撃を検出可能である。
• 本手法は、ハードウェアベースのデータ改ざん攻撃に対しても有効であり、物理的イベントとプログラム実行のランタイム整合性を検証するためである。
• eFSAは物理的文脈を統合しているため、制御フローに基づくメカニズムでは検出できない異常を検出可能であり、従来のサイバーのみのモデルを上回る性能を示した。