[論文レビュー] Gamifying Education and Research on ICS Security: Design, Implementation and Results of S3

Daniele Antonioli, Hamid Reza Ghaeini+3 more|arXiv (Cornell University)|Feb 10, 2017

Smart Grid Security and Resilience参考文献 18被引用数 7

ひとこと要約

本論文は、情報技術（IT）セキュリティと産業制御システム（ICS）工学の間のギャップを埋めるために、実際のICSとシミュレートされたICSテストベッドを組み合わせた、最初の産業制御システム（ICS）セキュリティに特化したCapture-The-Flag（CTF）コンテスト「S3」を提示する。この大会はオンラインジェパリスタイルとライブ撃破防御の2フェーズ構成であり、6チームが合計18件の成功した攻撃を実行したが、その多くは学術的な防御システムによって検出された。これは、ゲーム化されたICSセキュリティ教育の有効性を示している。

ABSTRACT

In this work, we consider challenges relating to security for Industrial Control Systems (ICS) in the context of ICS security education and research targeted both to academia and industry. We propose to address those challenges through gamified attack training and countermeasure evaluation. We tested our proposed ICS security gamification idea in the context of the (to the best of our knowledge) first Capture-The-Flag (CTF) event targeted to ICS security called SWaT Security Showdown (S3). Six teams acted as attackers in a security competition leveraging an ICS testbed, with several academic defense systems attempting to detect the ongoing attacks. The event was conducted in two phases. The online phase (a jeopardy-style CTF) served as a training session. The live phase was structured as an attack-defense CTF. We acted as judges and we assigned points to the attacker teams according to a scoring system that we developed internally based on multiple factors, including realistic attacker models. We conclude the paper with an evaluation and discussion of the S3, including statistics derived from the data collected in each phase of S3.

研究の動機と目的

• ITセキュリティと産業制御システム（ICS）の間の文化的・技術的ギャップに起因する、専門的なICSセキュリティ教育の増大するニーズに対応すること。
• 研究や訓練に利用可能なアクセス可能なリアルなICSテストベッドの不足により、実地学習や実験が制限されている問題を克服すること。
• 制御理論、サイバーセキュリティ、工学の分野間の横断的隔たりを、インタラクティブでゲーム化された学習環境を構築することで埋めること。
• 攻撃的・防御的セキュリティ訓練を現実世界の文脈に統合した、スケーラブルで繰り返し可能なICSセキュリティコンテストのフレームワークを提供すること。
• ゲーム化されたCTFイベントが、学術界および産業界におけるICSセキュリティ教育および研究の発展において、実用的で効果的であることを実証すること。

提案手法

• 実際の水処理プラントのテストベッドとシミュレーション環境を用いて、2フェーズ構成のCTF大会（オンライン予選とライブ撃破防御コンテスト）を設計・実装した。
• 攻撃チームのスコアリングに特化したマルチファクターのスコアシステムを導入し、攻撃の成功度、ステルス性、影響度を含む現実的な攻撃モデルに基づいた評価を実施した。
• ライブフェーズ中に攻撃者の行動をリアルタイムで監視・評価できるよう、2つの学術的検出システムを統合し、防御の自動検証を可能にした。
• 参加者にPLC、HMI、ネットワーク構成を含む、標的となるICSシステムの完全なドキュメントを提供することで、現実的な攻撃表面の露出を確保した。
• 実際の産業用プロトコル（例：Modbus、DNP3）と攻撃ベクトル（例：プロトコル改ざん、特権昇格）をテーマにしたチャレンジを構成し、現実の産業脅威を反映させた。
• 物理的ICSハードウェアとエミュレートされたコンponentsをハイブリッドに組み合わせたインfraを用いることで、現実性、スケーラビリティ、安全性のバランスを図った。

実験結果

リサーチクエスチョン

• RQ1 ゲーム化されたCTFフレームワークは、攻撃的および防御的技術の両面でICSセキュリティ実務家を効果的に訓練および評価できるか？
• RQ2 実際のICSとシミュレートされたICSテストベッドは、大規模で安全かつ繰り返し可能なサイバーセキュリティコンテストを支援できるか、その程度はいかほどか？
• RQ3 学術的検出システムは、敵対的でリアルタイムなCTF環境下で現実世界のICS攻撃をどれほど効果的に特定できるか？
• RQ4 実際のインfraを含み、多様な専門分野のチームが参加するICSに特化したCTFを主催するにあたり、主な設計および運用上の課題は何か？
• RQ5 従来の訓練法と比較して、ゲーム化はICSセキュリティ教育における参加意欲および学習効果を顕著に向上させるか？

主な発見

• S3のオンラインフェーズには6チームが参加し、合計77個の正解フラグが提出された。これは、シミュレートされたICS環境下での高い関与度と効果的な学習を示している。
• ライブフェーズでは、チームが合計18件の成功した攻撃を実行した。これは、制御されたコンテスト環境下で現実世界のICS攻撃技術が実現可能であることを示している。
• 18件の攻撃のうち15件（83%）が、2つの学術的防御システムの少なくとも1つによって検出された。これは、検出メカニズムの有効性を裏付けている。
• カスタムスコアリングシステムにより、ステルス性や影響度といった洗練された攻撃行動が的確に捉えられ、チームのパフォーマンスの公平かつ自動化された評価が可能になった。
• 参加者からは、ICS固有のプロトコルや攻撃チェーンの理解を深めるという点で、高い動機付けと技術的学習が報告された。
• 本イベントを通じて、学術的および産業的参加者両者において、ICSセキュリティの認知度とツールの不足が顕在化した。これは、より的を射た訓練プログラムの必要性を強調している。