[論文レビュー] Detection of Hidden Attacks on Cyber-Physical Systems from Serial Magnitude and Sign Randomness Inconsistencies

Paul J Bonczek, Nicola Bezzo|arXiv (Cornell University)|Apr 30, 2021

Smart Grid Security and Resilience参考文献 20被引用数 7

ひとこと要約

本稿では、カイ二乗検定統計量の差の大きさと符号における系列的不一致を分析することにより、サイバー物理システムにおける隠れた偽データインジェクション攻撃を検出するランタイムモニタ「Serial Detector」を提案する。連続する検定統計量における期待されるランダム性からの逸脱をモニタリングすることで、従来の異常検出手法が回避する、一貫した大きさと符号の挙動を保つ攻撃に対しても、最先端の検出手法（Bad-Data、CUSUM、CUSIGN）を凌駕する性能を発揮する。

ABSTRACT

Stealthy false data injection attacks on cyber-physical systems (CPSs) introduce erroneous measurement information to on-board sensors with the purpose to degrade system performance. An intelligent attacker is able to leverage knowledge of the system model and noise characteristics to alter sensor measurements while remaining undetected. To achieve this objective, the stealthy attack sequence is designed such that the detector performs similarly in the attacked and attack-free cases. Consequently, an attacker that wants to remain hidden will leave behind traces of inconsistent behavior, contradicting the system model. To deal with this problem, we propose a runtime monitor to find these inconsistencies in sensor measurements by monitoring for serial inconsistencies of the detection test measure. Specifically, we employ the chi-square fault detection procedure to monitor the magnitude and signed sequence of its chi-square test measure. We validate our approach with simulations on an unmanned ground vehicle (UGV) under stealthy attacks and compare the detection performance with various state-of-the-art anomaly detectors.

研究の動機と目的

• 従来の異常検出器が回避する、モデルの不一致を利用する隠れた偽データインジェクション攻撃を検出する課題に対処すること。
• テスト統計量の差の大きさと符号における系列的不一致を介して、隠れた攻撃を検出するランタイムモニタを開発すること。
• 提案されたSerial Detectorを回避可能な最悪の攻撃シナリオを特定し、検出限界と耐性限界を確立すること。
• バイアス攻撃およびパターン化攻撃によって欺される従来の検出器を模倣する、実世界のUGVケーススタディにおいて検出器の有効性を検証すること。

提案手法

• 本手法は、残差ベクトル rk からスカラーのテスト統計量 zk = rTkΣ−1rk を計算するカイ二乗故障検出手順を採用する。
• Serial Detector は、テスト統計量の差 dk = zk − zk−1 の系列的挙動を監視し、大きさと符号の両方の系列を分析する。
• 大きさ検出のため、スライディングウィンドウ上でのアラームレート ψM を計算し、期待されるカイ二乗分布に基づく 3σ 検出境界と比較する。
• 符号検出のため、dk の符号列を累積符号（CUSIGN）手法を用いて分析し、非ランダムな符号変化を検出する。
• 統計的しきい値に基づいて検出境界を設定する：大きさ用に Ω±、符号用に Ψ± を設定し、期待アラームレートと標準偏差に基づく。
• 攻撃回避分析により、アラームレートを検出境界内に保つために攻撃ベクトル δk が満たすべき制約を導出する。これにより、Serial Detector に対してスティールネスを確保する。

実験結果

リサーチクエスチョン

• RQ1 カイ二乗検定統計量の差の大きさと符号における系列的不一致は、従来の検出器が回避する隠れた攻撃を効果的に検出できるか？
• RQ2 Serial Detector に検出されないままに残存可能な最悪の攻撃戦略は何か？
• RQ3 同一の攻撃条件下で、Bad-Data、CUSUM、CUSIGN といった最先端の検出器と比較して、Serial Detector の性能はどの程度か？
• RQ4 攻撃者はテスト統計量の系列をどの程度制御することで、一貫した大きさと符号の挙動を維持しながら検出を回避できるか？
• RQ5 現実のシステムノイズとモデル不確実性を想定した場合、Serial Detector の検出能力を定義する統計的境界は何か？

主な発見

• Serial Detector は、Bad-Data や CUSUM、CUSIGN といった従来の検出器が同じ条件下でアラームを発動しないバイアス攻撃およびパターン化攻撃を効果的に検出する。
• バイアス攻撃下では、Serial Detector の大きさ成分がテスト統計量系列における不一致を検出するが、符号成分は変化せず、したがって検出されない。
• パターン化攻撃下では、Serial Detector の符号成分が予期される符号切り替え挙動の破壊を検出するが、大きさは境界内に保たれる。
• 検出器は、大きさの期待アラームレート E[ψM] = 0.20 および符号の期待アラームレート E[ψS] = 2/3 を達成し、検出境界は ±3 標準偏差に設定されている。
• 攻撃回避分析により、攻撃者は δk を同時に大きさと符号の両方の制約を満たすように精密に制御する必要があることが明らかとなり、成功する回避は次第に困難になる。
• UGV ケーススタディにおけるシミュレーションにより、Serial Detector が従来のテスト統計量ベースの検出手法の限界を突く隠れた攻撃を検出する追加のセキュリティ層を提供することが確認された。