[논문 리뷰] A System-level Behavioral Detection Framework for Compromised CPS Devices: Smart-Grid Case

Leonardo Babun, Hidayet Aksu외 1명|arXiv (Cornell University)|2019. 12. 02.

Smart Grid Security and Resilience참고 문헌 47인용 수 11

한 줄 요약

이 논문은 스마트 그라이드 내 손상된 사이버-물리 시스템(CPS)을 위한 경량이며 시스템 수준의 행동 감지 프레임워크를 제안한다. 시스템 및 함수 호출 추적을 바탕으로 신호 처리와 통계 분석을 결합한 방식이다. 실제 변전소 테스트베드에서 평가한 결과, 여섯 가지 공격 시나리오에서 95–99%의 감지 정확도를 기록했으며, 계산 오버헤드는 최소한이었다.

ABSTRACT

Cyber-Physical Systems (CPS) play a significant role in our critical infrastructure networks from power-distribution to utility networks. The emerging smart-grid concept is a compelling critical CPS infrastructure that relies on two-way communications between smart devices to increase efficiency, enhance reliability, and reduce costs. However, compromised devices in the smart grid poses several security challenges. Consequences of propagating fake data or stealing sensitive smart grid information via compromised devices are costly. Hence, early behavioral detection of compromised devices is critical for protecting the smart grid's components and data. To address these concerns, in this paper, we introduce a novel and configurable system-level framework to identify compromised smart grid devices. The framework combines system and function call tracing techniques with signal processing and statistical analysis to detect compromised devices based on their behavioral characteristics. We measure the efficacy of our framework with a realistic smart grid substation testbed that includes both resource-limited and resource-rich devices. In total, using our framework, we analyze six different types of compromised device scenarios with different resources and attack payloads. To the best of our knowledge, the proposed framework is the first in detecting compromised CPS smart grid devices with system and function-level call tracing techniques. The experimental results reveal an excellent rate for the detection of compromised devices. Specifically, performance metrics include accuracy values between 95% and 99% for the different attack scenarios. Finally, the performance analysis demonstrates that the use of the proposed framework has minimal overhead on the smart grid devices' computing resources.

연구 동기 및 목표

• 스마트 그라이드 내 손상된 사이버-물리 시스템(CPS)의 조기 감지를 위한 필수적인 필요성을 해결하여 데이터 무결성 침해와 운영 장애를 방지한다.
• 네트워크 트래픽 모니터링이나 입력 기반 테스팅에 의존하는 기존 감지 방법의 한계를 극복하여 높은 시스템 오버헤드와 실시간 적응성 부족 문제를 해결한다.
• 공급망 테스트와 다양한 스마트 그라이드 환경(자원 제한형 및 자원 풍부형 기기 포함)에서 실시간 운영에 적합한 설정 가능하고 경량화된 프레임워크를 개발한다.
• 멀웨어 주입 및 설정 조작과 같은 다양한 유형의 공격을 행동 이상 현상으로 탐지할 수 있도록, 다양한 기기 유형에서 기능한다.
• 기존 스마트 그라이드 보안 메커니즘을 보완하기 위해 오픈소스이며 확장 가능한 솔루션을 제공하며, 저수준 시스템 행동을 활용해 강력한 손상 감지 기능을 제공한다.

제안 방법

• ptrace를 통한 시스템 호출 추적과 라이브러리 인터포지션을 통한 함수 호출 추적을 활용해 스마트 그라이드 기기의 저수준 시스템 행동을 모니터링한다.
• 실제 IEC61850 준수 변전소 테스트베드에서 정상 및 손상된 운영 상태에서의 시스템 및 함수 호출 시퀀스를 수집한다.
• 원시 호출 시퀀스를 시계열 신호로 변환하기 위해 신호 처리 기법을 적용하여 행동 패턴 분석을 수행한다.
• 기본 및 고급 통계 분석 방법을 사용해 정상 행동를 모델링하고, 손상 여부를 나타내는 이심을 탐지한다.
• 모듈식 파rameterization을 통해 다양한 기기 유형(RTUs, PLCs, PMUs 등)과 공격 시나리오에 맞게 프레임워크를 구성할 수 있도록 한다.
• 외부 프로빙이나 지속적인 네트워크 모니터링 없이도 실시간 CPS 운영에 통합하여 시스템 오버헤드를 최소화한다.

실험 결과

연구 질문

• RQ1 실제 운영 조건에서 다양한 스마트 그라이드 기기의 행동 이상 현상을 시스템 및 함수 호출 추적으로 효과적으로 감지할 수 있는가?
• RQ2 계산 자원이 다양한 기기 유형(예: RTUs 대 PMUs)과 공격 패킷 유형에 대해 프레임워크의 성능은 어떻게 되는가?
• RQ3 스마트 그라이드 기기에서 최소한의 런타임 오버헤드를 유지하면서도 높은 감지 정확도를 유지를 할 수 있는가?
• RQ4 프레임워크는 공급망 검증과 현장 실시간 모니터링 모두를 지원하도록 설정 가능할 수 있는가?
• RQ5 시스템 호출 추적과 통계 분석의 조합이 제로데이나 스텔스 공격을 탐지하는 데 기존 네트워크 기반 또는 시그니처 기반 감지 방식보다 우월한가?

주요 결과

• 여섯 가지의 서로 다른 공격 시나리오에서 프레임워크는 95%에서 99% 사이의 감지 정확도를 기록했다. 이는 다양한 유형의 손상된 기기와 공격 패킷을 대상으로 한 것이다.
• 자원 제한형 기기(예: RTUs, PLCs)와 자원 풍부형 기기(예: PMUs) 모두에서 뛰어난 성능을 보여, 이 프레임워크가 이질적인 스마트 그라이드 구성 요소에 적응 가능함을 확인했다.
• 성능 분석 결과, 대상 기기에서 최소한의 계산 오버헤드가 발생했으며, 이는 운영 환경에서 실시간 배포에 적합함을 의미한다.
• ptrace와 라이브러리 인터포지션의 사용은 커널 수정이나 침입적 인스트루멘테이션 없이도 정교한 시스템 및 함수 호출 모니터링을 가능하게 했다.
• 호출 시퀀스의 통계 분석은 멀웨어나 비승인 설정 변경으로 인한 미세한 행동 이상까지도 탐지했으며, 저자원 기기에서도 성공적으로 작동했다.
• 프레임워크의 설정 가능성 덕분에 사전 배포 공급망 테스트와 지속적인 운영 모니터링 모두에 활용 가능하여 실제 스마트 그라이드 보안 분야에서의 실용적 유용성을 높였다.