[論文レビュー] Putting Together the Pieces: A Concept for Holistic Industrial Intrusion Detection

Simon D. Duque Antón, Hans D. Schotten|arXiv (Cornell University)|May 28, 2019

Network Security and Intrusion Detection被引用数 6

ひとこと要約

本稿は、産業システムにおける包括的インシデント検出フレームワークを提案する。ネットワークおよびプロセスデータを用いて、オフィスIT、工場現場OT、外部接続の多様なレイヤーにまたがる異常検出を統合することで実現する。攻撃の各段階とシステムレイヤーに合わせてカスタマイズされた複数の検出技術を組み合わせ、インダストリー4.0環境における高度な産業サイバーインシデントの早期検出が、統合的で多層的な手法によって顕著に向上することを示している。

ABSTRACT

Besides the advantages derived from the ever present communication properties, it increases the attack surface of a network as well. As industrial protocols and systems were not designed with security in mind, spectacular attacks on industrial systems occurred over the last years. Most industrial communication protocols do not provide means to ensure authentication or encryption. This means attackers with access to a network can read and write information. Originally not meant to be connected to public networks, the use cases of Industry 4.0 require interconnectivity, often through insecure public networks. This lead to an increasing interest in information security products for industrial applications. In this work, the concept for holistic intrusion detection methods in an industrial context is presented. It is based on different works considering several aspects of industrial environments and their capabilities to identify intrusions as an anomaly in network or process data. These capabilities are based on preceding experiments on real and synthetic data. In order to justify the concept, an overview of potential and actual attack vectors and attacks on industrial systems is provided. It is shown that different aspects of industrial facilities, e.g. office IT, shop floor OT, firewalled connections to customers and partners are analysed as well as the different layers of the automation pyramid require different methods to detect attacks. Additionally, the singular steps of an attack on industrial applications are characterised. Finally, a resulting concept for integration of these methods is proposed, providing the means to detect the different stages of an attack by different means.

研究の動機と目的

• ネイティブなセキュリティを備えないレガシープロトコルを有する増加する相互接続性に起因する産業システムに対するサイバーインシデントのリスク増加に対処する。
• 特にOTとITシステムがますます相互接続されている環境を対象に、産業ネットワークを標的とする攻撃ベクトルを特定および分析する。
• 産業自動化ピラミッドの複数レイヤーおよび多様な通信チャネルをカバーする包括的な検出戦略を開発する。
• 初期アクセスから横方向移動、データ漏洩に至る攻撃ライフサイクルをカバーするように、異種の検出手法を統合する。
• ネットワークトラフィックおよびプロセス動作の異常を分析することにより、統一されたフレームワークを提供し、インシデントの早期かつ正確な検出を可能にする。

提案手法

• 産業環境からの実データおよび合成データを分析し、ネットワークおよびプロセスデータにおけるパターンと異常を同定する。
• 攻撃段階（例：スキャニング、実行、横方向移動）を分類し、各システムレイヤーに特化した検出技術にマッピングする。
• オフィスIT、工場現場OT、外部パートナーとのファイアウォール接続といった、異なる環境に特化した検出メカニズムを設計する。
• ネットワークベースの異常検出、プロセス動作分析、プロトコル固有の監視といった複数の検出手法を統合し、一貫性のあるアーキテクチャを構築する。
• フィールドデバイスからエンタープライズシステムまでをカバーする自動化ピラミッドモデルを活用し、制御レイヤーにまたがる検出を構造化する。
• レイヤー間の信号相関を活用してマルチステージ攻撃を検出する、階層的な検出フレームワークを提案する。

実験結果

リサーチクエスチョン

• RQ1 産業自動化ピラミッドの多様なレイヤーをカバーすることで、産業システムにおけるインシデント検出をどのように包括的に行えるか。
• RQ2 インダストリー4.0環境で、レガシープロトコルを備えたシステムを標的とする現代の産業サイバーインシデントにおける主な攻撃ベクトルと段階は何か。
• RQ3 ネットワークベースおよびプロセスベースの異常検出を効果的に統合することで、検出精度をどのように向上できるか。
• RQ4 複雑な産業環境における一時的または単一レイヤー検出の限界は何か。
• RQ5 OT、IT、外部パートナー接続といった異なるシステムコンテキストに、検出メカニズムをどのように適合できるか。

主な発見

• 認証および暗号化を備えないレガシープロトコルのおかげで、産業システムは高い脆弱性を有しており、攻撃者がデータを読み取り・改ざん可能である。
• 攻撃者はインダストリー4.0における相互接続性を悪用し、オフィスIT、工場現場OT、外部接続の複数のレイヤーを標的にする。これには、多層的検出戦略が不可欠である。
• スキャニングや横方向移動といった攻撃段階は、それぞれに異なる検出技術を要する。1つの手法では、すべての段階をカバーできない。
• ネットワークおよびプロセスデータをレイヤー間で統合した包括的検出アプローチにより、高度な攻撃の早期検出が顕著に向上する。
• 提案されたフレームワークは、各レイヤーの機能的および通信的特性に合わせた検出論理の整合性を保つことで、異種システムにまたがる異常検出を可能にする。