[論文レビュー] Passive Fingerprinting of SCADA in Critical Infrastructure Network without Deep Packet Inspection

Seil Jeon, Jeong-Han Yun+2 more|arXiv (Cornell University)|Aug 27, 2016

Smart Grid Security and Resilience参考文献 7被引用数 5

ひとこと要約

本稿では、Deep Packet Inspection (DPI) を用いず、通信の周期性、耐久性、デバイス接続パターンといった内在的なネットワーク特性を活用することで、インフラストラクチャの制御システム（SCADA）現地デバイスおよびマスターサーバーを同定する、新規のパassiveフォグリプティング技術を提示する。実世界のネットワークトレースを用いた評価において、副次的HMIを除き、SCADAコンponentsの同定でほぼ完璧なFスコア（~1.0）を達成しており、SCADA環境における資産発見およびセキュリティ強化の観点から高い実用性を示している。

ABSTRACT

We present the first technique of passive fingerprinting for Supervisory Control And Data Acquisition (SCADA) networks without Deep Packet Inspection (DPI) and experience on real environment. Unlike existing work, our method does not rely on the functions of a specific product or DPI of the SCADA protocol. Our inference method, which is based on the intrinsic characteristics of SCADA, first identifies the network port used for the SCADA protocol, then consecutively infers the field devices and master server. We evaluated the effectiveness of our method using two network traces collected from a real environment for a month and a half, three days from different CI respectively. This confirmed the ability of our method to capture most of the SCADA with high F-score nearly 1, except for HMIs connected to master server, and demonstrated the practical applicability of the method.

研究の動機と目的

• 管理者が展開済みデバイスの最新かつ正確な情報を欠いている場合に、SCADAネットワークにおける正確な資産発見の重要性に対応する。
• DPIやベンダー固有のプロトコル解析に依存する既存のフォグリプティング手法の限界を克服し、特有プロトコルを有する多様でレガシーシステムが混在するSCADA環境においても実用不可能な状況を解消する。
• ネットワークトラフィックトレースをネットワークタッピングまたはミラーリングにより収集するのみで、現場デバイス、マスターサーバー、HMIを非侵襲的かつパassiveに同定する。
• 運用の中断を伴わず、汎用的かつベンダーに依存しない方法でSCADAネットワークのトポロジーをマップできることを支援し、災害回復およびセキュリティ監視を支援する。
• 1.5か月にわたり約3.3TBのデータを収集した2つの実世界のSCADAネットワークトレースを用いた評価を通じて、実用的応用の有効性を実証する。

提案手法

• 周期性、通信耐久性、デバイス複雑性ギャップ、サービス人気度、セグメントサイズの5つの特徴に基づくランク関数を用いて、SCADA固有のネットワークポートを特定する。
• プロトコルレベルの解析やDPIを必要とせず、複数の特徴を統合したスコアリングモデルを適用することで、ベンダーに依存しない運用を実現する。
• 接続次数や通信量パターンといったトポロジー的特徴に基づき、SCADAデバイス（現場デバイスおよびマスターサーバー）を同定する。
• 三層構造のSCADAアーキテクチャを想定し、マスターサーバーから最も通信量が多いデバイスを選択することでHMIを同定するための合成指標 $Qty_{ft_i} = n_{ft_i} \times SegSize_{ft_i}$ を用いる。
• Javaベースの実装を高性能システムで実行し、トレース処理時間をサブ線形にスケーリング（2.9TBトレースの10％未満処理で2時間未塔）。
• ネットワークタップまたはスイッチミラーリングを活用してトラフィックをパassively収集し、計算能力が限られた旧式SCADAデバイスに影響を与えない。

実験結果

リサーチクエスチョン

• RQ1 DPIやベンダー固有のプロトコル知識に依存せずに、実世界のインフラストラクチャネットワークにおけるSCADAデバイスを正確に同定できるか？
• RQ2 多様で複数ベンダーが関与する環境において、SCADAトラフィックと非SCADAトラフィックを明確に区別できる内在的ネットワーク特性は何か？
• RQ3 ネットワークトレースのメタデータおよび通信パターンのみを用いて、パassiveフォグリプティング技術が現場デバイスおよびマスターサーバーをどの程度効果的に検出できるか？
• RQ4 三層構造のSCADAアーキテクチャに関する事前知識がある場合、HMIの同定はどの程度効果的か？
• RQ5 大規模な実世界のSCADAネットワークトレースにこの手法を適用する際の計算上の実行可能性は、性能劣化を伴わず確保できるか？

主な発見

• 提案手法は、実際のネットワークトレースからSCADA現場デバイスおよびマスターサーバーを同定する際、Fスコアがほぼ1.0に達し、ほぼ完全な正確性と再現性を示した。
• 三層構造のSCADAアーキテクチャにおいて、$Qty_{ft_i}$ 値が最大（$7.55 \times 10^{13}$）であるデバイスを選択することでHMIを正常に同定した。他のデバイス（バックアップサーバー：$5.12 \times 10^{12}$、現場デバイス：$1.76 \times 10^{12}$）を上回る性能を示した。
• 2.9TBトレースの全処理時間は約11時間であったが、10％のデータ処理では2時間未塔にまで短縮され、スケーラビリティが裏付けられた。
• 複数のHMIが存在する環境では、副次的HMIの検出に失敗したため、マルチHMI環境における制限が明らかになった。
• 収集期間が約2.5日間のデータのうち6％のみを用いてもSCADAコンponentsを同定できたため、少数の代表的サンプルで正確な結果が得られることを示した。
• 一部のSCADAトラフィックに周期性が低くても、この手法は依然として有効であるが、これはネットワークレベルのノイズやDPIフリーのプロトコル分類の限界による可能性がある。