[論文レビュー] Security in Process: Visually Supported Triage Analysis in Industrial Process Data

Anna‐Pia Lohfink, Simon D. Duque Antón+3 more|arXiv (Cornell University)|Dec 10, 2019

Network Security and Intrusion Detection参考文献 26被引用数 25

ひとこと要約

本論文では、産業用センサーのスパイラルプロットと異常検出結果を統合した画期的な可視化システムを提示している。このシステムは、オペレーショナルテクノロジー（OT）ネットワークにおけるトリアージ分析を支援することを目的としており、センサーの測定値を色で、異常スコアを線の太さでエンコードすることで、エキスパートでないユーザーを含めた全員が、現実の水処理プロセスにおけるサイバー攻撃の兆候を迅速に特定・調査できる。従来の時系列可視化と比較して、使いやすさと効果性が顕著に向上している。

ABSTRACT

Operation technology networks, i.e. hard- and software used for monitoring and controlling physical/industrial processes, have been considered immune to cyber attacks for a long time. A recent increase of attacks in these networks proves this assumption wrong. Several technical constraints lead to approaches to detect attacks on industrial processes using available sensor data. This setting differs fundamentally from anomaly detection in IT-network traffic and requires new visualization approaches adapted to the common periodical behavior in OT-network data. We present a tailored visualization system that utilizes inherent features of measurements from industrial processes to full capacity to provide insight into the data and support triage analysis by laymen and experts. The novel combination of spiral plots with results from anomaly detection was implemented in an interactive system. The capabilities of our system are demonstrated using sensor and actuator data from a real-world water treatment process with introduced attacks. Exemplary analysis strategies are presented. Finally, we evaluate effectiveness and usability of our system and perform an expert evaluation.

研究の動機と目的

• 従来、セキュアであると見なされてきたが、近年ではサイバー攻撃の脅威が増大している産業用OTネットワークの脆弱性に対処すること。
• 専任のサイバーセキュリティ担当者が不在なOT環境におけるトリアージ分析を支援すること。
• 産業用センサーのデータに内在する周期的パターンを活用し、攻撃の兆候を示す異常を検出すること。
• 非エキスパートでも直感的に使えるが、セキュリティエキスパートにとっても実用的なイン사이트を提供できる可視化システムの設計。
• エキスパートおよび一般ユーザーのユーザースタディを通じて、システムの有効性と使いやすさを評価すること。

提案手法

• システムは、時系列のセンサーおよびアクチュエータデータをスパイラルプロットで可視化し、測定値を色でエンコードする。
• 異常検出結果は線の太さで可視化され、太さが大きいほど異常スコアが高いことを示す。
• 可視化にはタイムスライダが統合されており、全データタイムラインをナビゲート可能で、検出された異常は明確な色とアイコンで強調表示される。
• ユーザーはカラーマップの境界を調整でき、データを全体のデータセットに対して相対的に表示するか、現在のタイムウィンドウに対して表示するかを選択可能で、長期的および局所的分析を両立可能にする。
• インタラクティブな探索が可能で、特定のセンサーを強調表示でき、プロセスのダイナミクスに合わせてスパイラルプロットの周期を動的に調整できる。
• 実装はブラウザベースであるため、運用現場への展開が可能で、今後のコラボレーション、コメント、知識共有のサポートも可能である。

実験結果

リサーチクエスチョン

• RQ1 スパイラルプロットと異常検出を統合した可視化システムは、OTネットワークにおけるトリアージ分析を効果的に支援できるか？
• RQ2 本システムを用いることで、非エキスパートは従来の時系列可視化と比較して、基本的なトリアージタスクをどの程度うまく遂行できるか？
• RQ3 異常の強調表示と周期的挙動の可視化が、検出精度の向上と誤検出の低減にどの程度寄与するか？
• RQ4 本システムは、異なるタイムウィンドウやセンサー群間での異常を比較分析するのをどの程度効果的に支援するか？
• RQ5 ユーザーの操作、たとえばタイムフレームやカラーマップ境界の調整が、インサイトの発見をどのように向上させるか？

主な発見

• 本システムは、トリアージ分析の有効性と使いやすさを顕著に向上させ、エキスパートおよび非エキスパートが現実のOTデータにおける異常を的確に特定・説明できた。
• 一般ユーザーは、最小限のセキュリティトレーニングで、異常の検出と解釈といった基本的なトリアージタスクを遂行できた。これは、本システムのアクセス性の高さを示している。
• スパイラルプロットと異常検出の組み合わせにより、正常な挙動、異常、周期的パターンの明確な視覚的差別化が可能となり、意思決定がより迅速かつ正確になった。
• 現在のタイムウィンドウに合わせてカラーマップ境界を調整することが、局所的な異常の特定と誤検出の低減に不可欠であった。特に長期トレンドを示すデータでは顕著であった。
• 動的な周期調整や異常の強調表示といったインタラクティブ機能により、ユーザーの理解度と分析への自信が向上した。
• エキスパートによる評価では、本システムの堅牢性と実用性が確認され、専任のサイバーセキュリティチームがいない産業現場への導入可能性が特に強調された。