[論文レビュー] Supervisor Synthesis to Thwart Cyber Attack with Bounded Sensor Reading Alterations

Rong Su|arXiv (Cornell University)|Aug 14, 2016

Petri Nets in System Modeling参考文献 12被引用数 6

ひとこと要約

本稿では、境界付きの限界内でセンサ読み取り値を変更するサイバー攻撃に対して防御するためのスーパvisor合成手法を提案する。離散イベントシステムに基づく形式的枠組みを用い、最大攻撃モデル（ABSRA）の存在を証明し、攻撃を検出するか、害を及ぼすのを防ぐことのできるABSRA耐性スーパvisorの合成アルゴリズムを提示する。部分観測下でもシステムの安全性を保証する。

ABSTRACT

One of the major challenges about cyber physical systems is how to prevent cyber attacks to ensure system integrity. There has been a large number of different types of attacks discussed in the modern control and computer science communities. In this paper we aim to investigate one special type of attacks in the discrete-event system framework, where an attacker can arbitrarily alter sensor readings after intercepting them from a target system in order to trick a given supervisor to issue control commands improperly, driving the system to an undesirable state. We first consider the cyber attack problem from an attacker point of view, and formulate an attack with bounded sensor reading alterations (ABSRA) problem. We then show that the supremal (or least restrictive) ABSRA exists and can be synthesized, as long as the plant model and the supervisor model are regular, i.e., representable by finite-state automata. Upon the synthesis of the supremal ABSRA, we present a synthesis algorithm, which ensures that a computed supervisor will be ABSRA-robust , i.e., either an ABSRA will be detectable or will not lead the system to an undesirable state.

研究の動機と目的

• センサ読み取り値を変更する知能的で隠れ攻撃的なデータ偽装攻撃からサイバー物理システムを保護する課題に対処すること。
• 攻撃が境界付きセンサ読み取り値の変更を受ける状況を、隠れ性と被害発生特性を有する有限状態トランスダクタとして形式化すること。
• 任意のABSRAに対して耐性を持つスーパvisorを合成するアルゴリズムを開発し、攻撃が検出可能であるか、望ましくない状態に到達しないようにすること。
• ABSRA耐性スーパvisorの存在を可能にする最小の保護された観測記号集合を特定すること。

提案手法

• 攻撃者の行動を、観測可能なセンサ読み取り値への境界付き変更を表す有限状態トランスダクタとしてモデル化し、隠れ性と制御可能性を保持する。
• 最大ABSRAを、境界付き変更制約を満たし、監視制御理論を用いて計算可能な、最も制限の少ない攻撃モデルとして定義する。
• 構成ベースのアプローチを採用：プラント、攻撃モデル、スーパvisorの積を計算し、攻撃下で望ましくないマーカー状態に到達可能かどうかを検証する。
• 耐性を確保するための合成手順を適用し、制御可能かつ正規言語の最大集合を計算する。正規性を活用することで計算の実行可能性を維持する。
• 最小保護観測記号集合選択問題を定式化し、観測イベントの部分集合に対するブルートフォース列挙により解く。
• 既存の部分観測下における集中型監視制御の結果を活用し、攻撃モデルとスーパvisor合成の決定可能性および計算可能性を保証する。

実験結果

リサーチクエスチョン

• RQ1 離散イベントシステムにおける境界付きセンサ読み取り値の変更に対して、最大攻撃モデルを構築可能か？
• RQ2 どのような条件下で、すべての可能なABSRA攻撃に対して耐性を持つスーパvisorを合成可能か？
• RQ3 ABSRA耐性スーパvisorの存在を可能にする最小の保護された観測イベント集合を特定可能か？
• RQ4 リアルタイム攻撃検出に依存せずに、スーパvisorの耐性を保証する方法は何か？

主な発見

• プラントとスーパvisorが有限に表現可能（すなわち正規言語）である限り、最大ABSRAは存在し、計算可能である。これにより、最も制限の少ない攻撃モデルが保証される。
• 攻撃が検出可能（異常なシステム動作により）であるか、望ましくない状態に到達しないように、ABSRA耐性スーパvisorを合成可能である。
• 単一タンク例では、保護された観測記号集合のサイズが1（例：{h=H}）で十分であり、ABSRA耐性スーパvisorの存在が可能である。
• 最小保護観測記号集合問題は決定可能であり、ブルートフォース列挙により解けるが、観測イベント集合のサイズに対して指数的計算量を要する。
• 提案手法は実用的である。なぜなら、観測可能かつ制御可能イベントのみを無効化するという正規性条件が、実際の産業制御システムにおいて自然に満たされるからである。