[論文レビュー] Security Metrics of Networked Control Systems under Sensor Attacks (extended preprint)

Carlos Murguia, Iman Shames+2 more|arXiv (Cornell University)|Sep 6, 2018

Smart Grid Security and Resilience参考文献 34被引用数 10

ひとこと要約

本稿では、ネットワーク制御システムにおける検出不能なセンサー攻撃の影響を定量化する二つのセキュリティメトリクスを提案する。一つは、ステルス的攻撃者が到達可能な状態集合の楕円型外挙動（体積）によるもので、もう一つは、臨界状態への最小距離によるものである。線形行列不等式（LMIs）を用いた解析と半定形式計画（SDPs）を用いた合成により、攻撃が発生しない状態でも性能を維持したまま攻撃の影響を最小化するようにコントローラーとモニタを再設計可能であり、不確実性下での最適選択のためのゲーム理論的およびセンサー保護戦略を併用する。

ABSTRACT

As more attention is paid to security in the context of control systems and as attacks occur to real control systems throughout the world, it has become clear that some of the most nefarious attacks are those that evade detection. The term stealthy has come to encompass a variety of techniques that attackers can employ to avoid being detected. In this manuscript, for a class of perturbed linear time-invariant systems, we propose two security metrics to quantify the potential impact that stealthy attacks could have on the system dynamics by tampering with sensor measurements. We provide analysis mathematical tools (in terms of linear matrix inequalities) to quantify these metrics for given system dynamics, control structure, system monitor, and set of sensors being attacked. Then, we provide synthesis tools (in terms of semidefinite programs) to redesign controllers and monitors such that the impact of stealthy attacks is minimized and the required attack-free system performance is guaranteed.

研究の動機と目的

• 標準の故障検出器によって検出されないステルス的センサー攻撃がネットワーク制御システム（NCS）に与える影響の潜在的影響を定量化すること。
• 線形行列不等式（LMIs）を用いた数学的ツールを開発し、ステルス制約下での攻撃者の到達可能な状態集合の楕円型外挙動を計算すること。
• 二つのセキュリティメトリクスを導入する：攻撃者の到達可能な状態集合の近似の体積（攻撃影響の定量化）と、臨界状態集合へのその最小距離（システムの危機的状態への到達リスクの定量化）。
• 半定形式計画（SDPs）を用いた合成ツールを提供し、攻撃が発生しない状態でも性能を維持したまま攻撃影響を最小化するように動的出力フィードバックコントローラーとオブザーバベースの故障検出器を再設計すること。
• 攻撃者の標的となるセンサーが不明な状況下での最適なコントローラー／モニタ選択のための体系的設計戦略（センサー保護配置とゲーム理論的選択）を提供すること。

提案手法

• 線形行列不等式（LMIs）を用いて、故障検出器に検出されないよう意図的に操作するステルス的攻撃者が到達可能な状態集合の楕円型外挙動を計算する。
• 二つのセキュリティメトリクスを定義する：楕円型近似の体積（攻撃影響の定量化）と、この集合から事前に定義された臨界状態集合への最小距離（システムの危機的状態への到達リスクの定量化）。
• 半定形式計画（SDPs）を用いて、攻撃者の到達可能な状態集合を最小化するように動的出力フィードバックコントローラーとオブザーバベースの故障検出器を再設計し、攻撃が発生しない状態でも望ましい性能を維持する。
• 非協力的ゼロ和行列ゲームの定式化を用いて、攻撃者がどのセンサーを標的にするかの最悪ケース下で最適なコントローラー／モニタを特定する。ゲーム理論的戦略により、期待される攻撃影響を最小化する。
• セキュリティメトリクスに与える影響に基づき、どのセンサーを保護すべきかを優先順位付けするセンサー保護配置技術を導入する。
• SDP最適化された近似に基づく戦略を用いて、最悪ケースまたは期待される攻撃影響を最小化する最適なコントローラー／モニタの組合せを計算するゲーム理論的フレームワークを適用する。

実験結果

リサーチクエスチョン

• RQ1 故障検出器が作動しないようにセンサー測定値を改ざんすることで、攻撃者が到達可能なシステム状態の最大集合は何か？
• RQ2 LMIs や SDPs といった数学的ツールを用いて、攻撃者の到達可能な状態集合の体積をどのように定量化・最小化できるか？
• RQ3 攻撃者の到達可能な状態集合と臨界状態との最小距離は何か？ そして、この距離を最大化することでシステムのレジリエンスをどのように向上できるか？
• RQ4 攻撃が発生しない状態でも必要な性能を維持したまま、ステルス的攻撃の影響を最小化するようにコントローラーと故障検出器を再設計する方法は何か？
• RQ5 攻撃者の標的センサーが不確実または敵対的である状況下で、最適なコントローラー／モニタを系統立てて選択するための設計戦略は何か？

主な発見

• 元のコントローラーにおいて、3つのセンサーがすべて攻撃された場合、攻撃者の到達可能な状態集合の楕円型外挙動の体積は 4300.32 であったが、SDPを用いた最適なコントローラー再設計により 1394.31 に削減された。
• 元のコントローラーで全センサーが標的とされた場合、攻撃者の到達可能な状態集合と臨界状態との最小距離は -23.01 であったが、最適コントローラーを用いることで -1.69 に改善され、危険な状態への到達リスクが低下した。
• ゲーム理論的アプローチを用いることで、防御側のセキュリティレベル（最悪ケースの体積）は、コントローラー／モニタの組合せ κ_{1,2,3} を選択することで 1538.31 に最小化され、攻撃者のセンサー選択にかかわらず攻撃影響が有界であることが保証された。
• 特定の攻撃戦略確率分布下で、コントローラー／モニタ κ_{1} を選択することで、期待される攻撃影響は 1135.43 に最小化され、他のすべての組合せを上回る性能を示した。
• 最適なコントローラー／モニタペア κ_{1} を用いると、センサー1のみが攻撃された場合、攻撃者の到達可能な状態集合の体積は 116.94 にまで削減された。これは元のコントローラーの 150.72 よりも小さい。
• 合成フレームワークは、すべての攻撃シナリオにおいて妥当かつ最適なコントローラー／モニタ設計を成功裏に生成した。ただし、一部の組合せ（例：κ_{2,3} と Γ_{1,2,3}）ではSDP問題が非可解となった。