[論文レビュー] Modern Problems Require Modern Solutions: Hybrid Concepts for Industrial Intrusion Detection

Simon D. Duque Antón, Mathias Strufe+1 more|arXiv (Cornell University)|May 15, 2019

Network Security and Intrusion Detection参考文献 29被引用数 4

ひとこと要約

本論文は、産業4.0における産業環境を想定したハイブリッドインシデント検出フレームワークを提案する。時間系列解析とマトリックスプロファイルを用いたネットワークトラフィックおよびプロセスデータの分析により、異常を検出する。この手法により、セキュリティ専門知識が不要な中小企業においても、サイバー物理的攻撃を早期に検出可能であり、実世界のシミュレーションおよび産業データ分析を通じて、通信パターンおよびプロセス行動の逸脱を効果的に同定している。

ABSTRACT

The concept of Industry 4.0 brings a disruption into the processing industry. It is characterised by a high degree of intercommunication, embedded computation, resulting in a decentralised and distributed handling of data. Additionally, cloud-storage and Software-as-a-Service (SaaS) approaches enhance a centralised storage and handling of data. This often takes place in third-party networks. Furthermore, Industry 4.0 is driven by novel business cases. Lot sizes of one, customer individual production, observation of process state and progress in real-time and remote maintenance, just to name a few. All of these new business cases make use of the novel technologies. However, cyber security has not been an issue in industry. Industrial networks have been considered physically separated from public networks. Additionally, the high level of uniqueness of any industrial network was said to prevent attackers from exploiting flaws. Those assumptions are inherently broken by the concept of Industry 4.0. As a result, an abundance of attack vectors is created. In the past, attackers have used those attack vectors in spectacular fashions. Especially Small and Mediumsized Enterprises (SMEs) in Germany struggle to adapt to these challenges. Reasons are the cost required for technical solutions and security professionals. In order to enable SMEs to cope with the growing threat in the cyberspace, the research project IUNO Insec aims at providing and improving security solutions that can be used without specialised security knowledge. The project IUNO Insec is briefly introduced in this work. Furthermore, contributions in the field of intrusion detection, especially machine learning-based solutions, for industrial environments provided by the authors are presented and set into context.

研究の動機と目的

• 産業4.0の導入に伴い深刻化するドイツの中小企業におけるサイバー・セキュリティ課題に対処する。ここでは、従来のセキュリティ仮定が成り立たない状況が生じている。
• レガシーシステムの限界を克服するため、非エキスパートでも利用可能な、中小企業向けにスケーラブルなセキュリティソリューションの開発を目的とする。
• IUNOプロジェクトを発展させ、機械学習および異常検出を活用した産業ITおよびOTネットワークにおけるインシデント検出ツールを強化すること。
• 文脈に配慮した検出メカニズムを統合し、分断された産業ネットワークにおける横向き移動の検出を向上させること。
• 低コストで容易に導入可能なセキュリティモジュールを提供することで、中小企業が産業4.0に安全に参加できるようにすること。

提案手法

• 最小距離の計算により、固定長の部分列間の類似度を評価する時間系列解析手法「マトリックスプロファイル」を用い、ネットワークトラフィックの異常検出を実施する。
• パケットレベルのデータ（例：送信元/送信先IP、ポート、パケット数）を用いて時間系列を生成し、攻撃を示す兆候となる逸脱を同定する。
• 実際のハードウェア（例：水タンクシステム）を用いて産業プロセスの動作をモデル化し、加速されたリフローなど、正常および異常動作をシミュレートする。
• ネットワークトラフィックとプロセスデータの両方における異常を相関させ、ITおよびOTレイヤーにまたがる連携攻撃を検出する。
• 攻撃の発信元・到着先・影響をネットワークセグメント全体にわたって文脈に基づいて集約するモデルを実装する。
• ハニーポットやオブスクリューションなどのだまし技術を活用し、検出性能を向上させるとともに、攻撃者の進行を遅らせる。

実験結果

リサーチクエスチョン

• RQ1 異常検出技術は、誤検出を最小限に抑えるために、産業ネットワークにおけるサイバー物理的攻撃をどのように適合可能にすることができるか？
• RQ2 ネットワークおよびプロセスデータの時間系列解析は、産業システムにおける横向き移動の早期検出をどの程度向上させることができるか？
• RQ3 文脈集約は、ハイブリッドIT/OT環境におけるインシデント検出の正確性および信頼性を向上させるために果たす役割は何か？
• RQ4 機械学習ベースの検出は、セキュリティ効果性を損なわずに、中小企業の非エキスパートが利用可能になるように、どのように設計できるか？
• RQ5 ネットワークレベルとプロセスレベルの両方の分析を組み合わせたハイブリッド検出アプローチは、産業環境において、独立した検出手法を上回る性能を示せるか？

主な発見

• マトリックスプロファイルは産業ネットワークトラフィックにおける異常を効果的に検出でき、攻撃フェーズでは最小距離が顕著に増加し、正常動作からの逸脱を示している。
• シミュレートされたプロセスデータにおいて、リフロー速度を2倍にした場合、マトリックスプロファイルの最小距離が明確かつ持続的に上昇し、プロセスレベルの異常検出可能性が確認された。
• ネットワークレベルとプロセスレベルの両方の時間系列解析の組み合わせにより、通信パターンと物理的システム動作の両方に影響を与える連携攻撃の検出が可能になった。
• 本手法は実世界の産業用ハードウェアでも実現可能であり、複数の攻撃シナリオにおいて一貫した異常検出を示した。
• しきい値ベースの検出メカニズムを攻撃に起因する逸脱に合わせてチューニングすることで、偽陰性を低減した。
• 文脈に配慮した集約の統合により、攻撃の原因特定が向上し、ネットワークゾーンをまたがる横向き移動の検出が強化された。