[論文レビュー] Sequential detection of Replay attacks

Arunava Naha, André Teixeira+2 more|arXiv (Cornell University)|Dec 19, 2020

Smart Grid Security and Resilience被引用数 4

ひとこと要約

本稿では、サイバー物理システムにおけるリプレイ攻撃を、ウォーターマーキングと累積和（CUSUM）検定を用いて逐次検出する手法を提案する。前攻撃および後攻撃の連合分布間のカルバック・ライブララー発散（KLD）を導出することで、最小限の遅延で漸近的に最適な検出が可能となり、制御コストの増加を固定した条件下でKLDを最大化するようにウォーターマーキング分散を最適化する。

ABSTRACT

One of the most studied forms of attacks on the cyber-physical systems is the replay attack. The statistical similarities of the replay signal and the true observations make the replay attack difficult to detect. In this paper, we have addressed the problem of replay attack detection by adding watermarking to the control inputs and then performed resilient detection using cumulative sum (CUSUM) test on the joint statistics of the innovation signal and the watermarking signal. We derive the expression of the Kullback-Liebler divergence (KLD) between the two joint distributions before and after the replay attack, which is asymptotically inversely proportional to the detection delay. We perform structural analysis of the derived KLD expression and suggest a technique to improve the KLD for the systems with relative degree greater than one. A scheme to find the optimal watermarking signal variance for a fixed increase in the control cost to maximize the KLD under the CUSUM test is presented. We provide various numerical simulation results to support our theory. The proposed method is also compared with a state-of-the-art method.

研究の動機と目的

• 攻撃信号が通常のシステム動作を模倣するため、検出が困難なステルス的リプレイ攻撃を検出する課題に対処すること。
• 制御入力にウォーターマーキングを活用し、イノベーション信号とウォーターマーキング信号の連合統計的検定を組み合わせることで、検出の耐性を向上させること。
• 前攻撃および後攻撃の連合分布間のカルバック・ライブララー発散（KLD）を最適化することで、検出遅延を最小限に抑えること。
• 制御コストの増加を制約として、攻撃検出可能性を最大化する最適なウォーターマーキング分散を設計すること。
• 相対次数 > 1 であるシステムにおけるKLDの構造的解析を提供し、検出性能を向上させること。

提案手法

• イノベーション信号とウォーターマーキング信号の連合確率分布に基づくCUSUM検定を導入し、リプレイ攻撃を逐次的に検出する。
• リプレイ攻撃前後の連合分布間のカルバック・ライブララー発散（KLD）を導出し、これは漸近的検出遅延と逆比例する。
• 統計的検出可能性を保つために、制御入力に独立同分布（i.i.d.）のウォーターマーキング信号を追加する。
• 相対次数が1より大きいシステムにおけるKLD式の構造的解析を実施し、システム固有の信号設計によって検出性能を向上させる条件を同定する。
• 制御コストの増加を固定した条件下でKLDを最大化する最適なウォーターマーキング分散を計算する最適化フレームワークを提案する。
• 状態推定器としてカルマンフィルタを用い、イノベーション信号を生成し、これとウォーターマーキング信号を組み合わせて連合統計的検定を実施する。

Figure 1: Schematic diagram of the system during normal operation.

実験結果

リサーチクエスチョン

• RQ1 イノベーション信号およびウォーターマーキング信号の前後攻撃連合分布間のカルバック・ライブララー発散（KLD）を、最適な検出が得られるようにどのように導出できるか？
• RQ2 相対次数が1より大きいシステムにおいて、KLD式の構造的性質が検出性能の向上を可能にする条件は何か？
• RQ3 制御コストの増加を制限しつつ、ウォーターマーキング信号の分散をどのように最適化すれば検出性能を最大化できるか？
• RQ4 提案されたCUSUMベースの検出フレームワークにおいて、KLDと漸近的検出遅延の関係は何か？
• RQ5 同じ制御コスト制約下で、提案手法は最新のリプレイ攻撃検出技術と比較してどのように性能を発揮するか？

主な発見

• イノベーション信号およびウォーターマーキング信号の連合分布間のカルバック・ライブララー発散（KLD）は、漸近的に検出遅延と逆比例するため、最適な検出性能を達成できる。
• 相対次数が1より大きいシステムにおいて、KLD式の構造的解析により、システム固有の信号設計によって検出性能を向上させる条件が特定された。
• 制御コストの増加を固定した条件下で、KLDを最大化する最適なウォーターマーキング分散が導出され、検出可能性とシステムエネルギー消費の最良のトレードオフが達成された。
• 数値シミュレーションの結果、同じ制御コスト制約下で、既存の最先端手法と比較して、提案手法は著しく低い検出遅延を達成した。
• 誤検出の平均連続期間（ARL）が1000を維持しており、誤検出に対する強い耐性を示している。
• イノベーション・ウォーターマーキング連合統計に基づくCUSUM検定は、バッチ処理手法を上回り、最小限の遅延でリアルタイムの逐次検出を実現している。

Figure 2: Schematic diagram of the system under replay attack.