[論文レビュー] SoK: Attacks on Industrial Control Logic and Formal Verification-Based Defenses

Ruimin Sun, Alejandro Mera+2 more|arXiv (Cornell University)|Jun 9, 2020

Security and Verification in Computing参考文献 79被引用数 4

ひとこと要約

この論文は、産業制御論理および形式検証に基づく防御に対する攻撃を体系化し、制御論理改ざん攻撃が暗黙の性質やシステムの複雑さを活用して検出を回避するように進化したことを明らかにしている。形式検証における重要な課題として、リアルタイム制約、手作業による仕様生成、ベンダー固有の依存関係が特定され、安全性を超えたセキュリティ向上のため、オープンソースツール、段階的仕様、ランタイム検証を組み合わせたフルスタック防御アプローチを提言している。

ABSTRACT

Programmable Logic Controllers (PLCs) play a critical role in the industrial control systems. Vulnerabilities in PLC programs might lead to attacks causing devastating consequences to the critical infrastructure, as shown in Stuxnet and similar attacks. In recent years, we have seen an exponential increase in vulnerabilities reported for PLC control logic. Looking back on past research, we found extensive studies explored control logic modification attacks, as well as formal verification-based security solutions. We performed systematization on these studies, and found attacks that can compromise a full chain of control and evade detection. However, the majority of the formal verification research investigated ad-hoc techniques targeting PLC programs. We discovered challenges in every aspect of formal verification, rising from (1) the ever-expanding attack surface from evolved system design, (2) the real-time constraint during the program execution, and (3) the barrier in security evaluation given proprietary and vendor-specific dependencies on different techniques. Based on the knowledge systematization, we provide a set of recommendations for future research directions, and we highlight the need of defending security issues besides safety issues.

研究の動機と目的

• 産業制御システム（ICS）における制御論理改ざん攻撃の進化と影響を理解すること、特に検出を回避する攻撃について。
• PLCプログラムにおける形式検証に基づく防御の既存手法の限界と課題を分析すること。
• 仕様生成、リアルタイム検証、ツールの可用性の分野における現在の研究のギャップを特定すること。
• ICSにおける完全性、機密性、可用性をカバーする包括的でフルチェーンの防御戦略を提言すること。
• オープンソースツール、ベンダーに依存しないベンチマーク、インタラクティブな仕様精錬を推進し、PLCセキュリティ研究における評価と再現可能性を向上させること。

提案手法

• PLC制御論理攻撃および形式検証技術に関する86件のCVEおよび97件の研究を対象とした知識体系的分析（SoK）を実施した。
• 脅威モデル、セキュリティ目標、根本的弱み、検出回避、防御の焦点（例：動作モデル化、状態削減、仕様生成）に基づいて研究を分類した。
• センサ入力、エンジニアリングステーション、PLC間通信の攻撃表面を分析し、暗黙の性質を介した静かなる回避を同定した。
• 形式検証アプローチを評価し、手作業による安全特性の定義や限定的なテストケースカバレッジといった、非体系的な実践を浮き彫りにした。
• プラント動作の形式化、段階的仕様生成、専用セキュリティコンポonentを備えたランタイム検証を含む、フルチェーン保護のフレームワークを提言した。
• IEC-61131-3準拠のオープンソースツールの開発と、評価用の標準化されたPLCセキュリティベンチマークの開発を提言した。

実験結果

リサーチクエスチョン

• RQ1 制御論理改ざん攻撃は、制御チェーン全体を損なう能力と検出回避能力をどのように進化させてきたか？
• RQ2 リアルタイム制約や仕様生成に関して、PLCプログラムの形式検証における主な課題は何か？
• RQ3 なぜ大多数の形式検証研究が非体系的であり続け、体系的かつ再利用可能な検証手法の採用を妨げる障壁は何か？
• RQ4 エンジニアリングステーションが攻撃の標的となる中で、ランタイム検証を実用的かつ安全に実装するにはどうすればよいか？
• RQ5 オープンソースツールと標準化されたベンチマークは、再現可能でスケーラブルなPLCセキュリティ研究を進める上で果たす役割は何か？

主な発見

• 制御論理改ざん攻撃はますます洗練されており、暗黙に規定された性質を活用して、制御チェーン全体を損なうことができ、検出を回避する能力を有している。
• 形式検証研究は依然として大部分が非体系的であり、多くの研究が手作業による安全特性の定義と限定的なテストケースに依存しているが、より高度な技術が利用可能であるにもかかわらずそうである。
• 進展を阻害する大きな障壁は、オープンソースツールと標準化されたベンチマークの不足であり、評価、再現性、ツール統合の両面で課題を引き起こしている。
• ランタイム検証はリアルタイム制約とエンジニアリングステーションの脆弱性のため、未だに発展が不十分であり、バンプインザワイヤーなどの専用セキュリティコンポonentの導入が不可欠である。
• 既存の形式検証アプローチは主に完全性に焦点を当てており、特にマルチタスクおよびイベント駆動型PLCプログラムにおいて、機密性と可用性への配慮が不足している。
• 段階的かつ自動化された仕様生成は、進化を続けるICS環境におけるスケーラビリティと保守性の向上の可能性を秘めているが、その分野はまだ十分に調査されていない。