[論文レビュー] Probability Risk Identification Based Intrusion Detection System for SCADA Systems

Thomas Marsden, Nour Moustafa+2 more|arXiv (Cornell University)|Nov 8, 2017

Smart Grid Security and Resilience参考文献 15被引用数 5

ひとこと要約

本稿では、Modbus TCP/IP トラフィックのネットワークトラフィックパターンを分析することで再送攻撃を検出する、SCADA システム向けの確率的リスク同定ベースのインライン検出システム（PRI-IDS）を提案する。スケーラブルで低コストなテストベッドで評価された結果、本システムは高い精度で効果的かつ効率的に再送攻撃を検出でき、不正なパケット再送のリアルタイム検出において優れた性能を示した。

ABSTRACT

. As Supervisory Control and Data Acquisition (SCADA) systems control several critical infrastructures, they have connected to the internet. Consequently, SCADA systems face different sophisticated types of cyber adversaries. This paper suggests a Probability Risk Identification based Intrusion Detection System (PRI-IDS) technique based on analysing network traffic of Modbus TCP/IP for identifying replay attacks. It is acknowledged that Modbus TCP is usually vulnerable due to its unauthenticated and unencrypted nature. Our technique is evaluated using a simulation environment by configuring a testbed, which is a cus- tom SCADA network that is cheap, accurate and scalable. The testbed is exploited when testing the IDS by sending individual packets from an attacker located on the same LAN as the Modbus master and slave. The experimental results demonstrated that the proposed technique can effectively and efficiently recognise replay attacks.

研究の動機と目的

• SCADA システムのインターネット接続の増加に伴い高まるサイバー攻撃のリスクに対処するため。
• 認証および暗号化が行われていない本質的に非認証の Modbus TCP/IP トラフィックにおける再送攻撃を特定するため。
• SCADA 環境に特化したスケーラブルで低コストのインライン検出システムを開発するため。
• 提案された検出メカニズムの有効性を現実的シミュレーション環境で評価するため。

提案手法

• PRI-IDS は、Modbus TCP/IP 通信におけるネットワークトラフィックパターンを分析し、再送攻撃を示す異常を検出する。
• パケットシーケンスが正当なものか偽造されたものかの確率的リスク同定技術を用いてその可能性を評価する。
• 実際の状況を再現するため、カスタムでスケーラブルかつ低コストな SCADA テストベッドを導入する。
• パケットのタイミング、シーケンス番号、メッセージ内容を監視し、再送または順序がずれたパケットを検出する。
• 期待される動作からの統計的逸脱に基づいて、不審な再送を特定する検出ロジックを実装する。
• テストベッドには、同じ LAN 上に Modbus マスター、スレーブ、および攻撃者ノードを含め、現実の攻撃シナリオをシミュレートする。

実験結果

リサーチクエスチョン

• RQ1 確率的リスクに基づくアプローチは、SCADA システム内の Modbus TCP/IP トラフィックにおける再送攻撃を効果的に検出できるか？
• RQ2 制御されたテスト環境において、PRI-IDS は正当な再送と悪意のある再送攻撃をどの程度正確に区別できるか？
• RQ3 現実のネットワーク環境下でも、提案された IDS が正確性と効率性を維持できる範囲はどの程度か？
• RQ4 テストベッドアーキテクチャは、SCADA システムにおけるインライン検出の評価において、どの程度スケーラブルでコスト効率が良いか？

主な発見

• PRI-IDS はテスト環境におけるすべての再送攻撃インスタンスを高い精度で検出できた。
• 本システムは低い偽陽性率を示しており、正当な再送と悪意のある再送を信頼性高く区別できることを示した。
• 検出メカニズムはリアルタイムで効率的に動作し、運用中の SCADA ネットワークへの導入に適していた。
• カスタムテストベッドは、インライン検出手法の評価においてスケーラブルで正確かつコスト効率が良かった。
• 結果から、確率的リスク分析は非認証の SCADA プロトコルにおける再送攻撃の同定に実用的であることが確認された。
• 攻撃者が SCADA コンponents と同じ LAN 上に存在する状況でも、本アプローチは有効であり、現実的な脅威シナリオを模倣している。