[論文レビュー] Deriving Cyber-security Requirements for Cyber Physical Systems

Robert Laddaga, Paul Robertson+4 more|arXiv (Cornell University)|Jan 7, 2019

Software Testing and Debugging Techniques参考文献 19被引用数 4

ひとこと要約

DCRYPPSは、Pamela確率的モデリング言語を用いて、モデルベース診断と攻撃/脅威モデル、および機能的設計規定を統合することで、サイバー物理システム（CPS）のサイバー・セキュリティ要件の自動導出を実現する。自動操縦システムに対して、定義された脅威条件下で有効である5つの必須かつ十分なサイバー物理セキュリティ要件を生成した。

ABSTRACT

Today's cyber physical systems (CPS) are not well protected against cyber attacks. Protected CPS often have holes in their defense, due to the manual nature of today's cyber security design process. It is necessary to automate or semi-automate the design and implementation of CPS to meet stringent cyber security requirements (CSR), without sacrificing functional performance, timing and cost constraints. Step one is deriving, for each CPS, the CSR that flow from the particular functional design for that CPS. That is the task assumed by our system, Deriving Cyber-security Requirements Yielding Protected Physical Systems - DCRYPPS. DCRYPPS applies Artificial Intelligence (AI) technologies, including planning and model based diagnosis to an important area of cyber security.

研究の動機と目的

• 現在手動で設計されているため攻撃に対して脆弱な、サイバー物理システム（CPS）における自動的かつ効果的なサイバー・セキュリティ要件（CSR）の導出における重要なギャップを埋める。
• 機能的設計モデルから直接CSRを生成するシステムを構築し、機能的パフォーマンス、タイミング、コスト制約を保持する。
• 攻撃モデルとシステム動作モデルを統合し、実装前に潜在的な脅威を事前に特定・緩和する。
• 形式的モデリングとAI技術を用いて、設計者が正確でアプリケーション固有のセキュリティ要件を生成できるようにする。
• リスク低減と実装の複雑さのトレードオフをサポートするための確率的証明書と制約のトレードオフを提供する。

提案手法

• CPSモデリングと分析のための中核的な設計・統合プラットフォームとして、バナーディル・ジェネリックモデリング環境（GME）を用いる。
• 機能的設計モデルと制約を、CPSの動作と不確実性をモデリングするための確率的でオブジェクト指向のドメイン固有言語であるPamelaに変換する。
• モデルベース診断技術を用いて、脅威モデルを分析し、サイバー物理的攻撃を達成する故障経路を同定する。
• 診断分析をもとに、各攻撃経路を排除する条件を同定することで、サイバー・セキュリティ要件を生成する。
• Pamelaに確率的推論とイン・サイト学習機能を統合し、システム動作と攻撃行動の発生確率を推定する。
• GME内に統合された制約統合モジュールを用いて、リスク低減と要件の複雑さのトレードオフを設計者が調整できるようにする。

実験結果

リサーチクエスチョン

• RQ1 性能やコストに影響を与えることなく、CPSの機能的設計からサイバー・セキュリティ要件を体系的に導出する方法は何か？
• RQ2 モデルベース診断は、サイバー物理的攻撃経路を同定・防止するためにどの程度適応可能か？
• RQ3 高水準のシステムモデルから、アプリケーション固有の形式的サイバー・セキュリティ要件を自動的に生成できるか？
• RQ4 生成された要件は、現実的な脅威仮定下でCPSを保護するのにどの程度効果的か？
• RQ5 確率的モデリングは、導出されたセキュリティ要件の正確性と関連性を向上させるのに果たす役割は何か？

主な発見

• DCRYPPSは、定義された脅威条件下で独立的に検証された結果、自動操縦CPSモデルに対して5つのサイバー・セキュリティ要件を効果的に生成した。
• モデルベース診断と攻撃モデルを統合するアプローチにより、故障を達成する脅威と、それらを特定の要件で緩和する方法を包括的にマッピングできた。
• WAN通信の認証に関する要件（公開鍵暗号を用いたもの）は、センサーの不一致と通信整合性の脅威を分析した結果、直接的に導出された。
• 評価結果から、導出された要件が、物理的アクセスやハードウェア／ソフトウェアの変更なしに、リモートで知識に基づく攻撃に対して効果的にシステムを保護していることが確認された。
• Pamelaの使用により、システム動作と攻撃行動の確率的モデリングが可能になり、リスクと解決策の有効性の正確な推定が可能になった。
• 本フレームワークは小規模なCPSモデルで実現可能性を示したが、今後の確率的サイバー物理証明書（PCCs）の開発により、より大規模かつ複雑なシステムへのスケーリングが可能となる。