[논문 리뷰] Application of Correlation Indices on Intrusion Detection Systems: Protecting the Power Grid Against Coordinated Attacks

Christian Moya, Junho Hong외 1명|arXiv (Cornell University)|2018. 06. 09.

Smart Grid Security and Resilience참고 문헌 23인용 수 5

한 줄 요약

이 논문은 전력망에서 감시-제어 공격(MCAs)을 낮은 거짓 경보 및 거짓 탐지율로 탐지하기 위해 상관 지수 생성기(CIG)와 상관 지식기반(CKB)을 사용하는 의미 분석 프레임워크를 제안한다. 상관 공격을 인덱싱하고 맥락 기반 전력망 데이터를 활용함으로써, 높은 탐지 정확도와 낮은 런타임을 달성하여, 조작된 공격 상황에서의 거짓 탐지율을 크게 감소시킨다.

ABSTRACT

The future power grid will be characterized by the pervasive use of heterogeneous and non-proprietary information and communication technology, which exposes the power grid to a broad scope of cyber-attacks. In particular, Monitoring-Control Attacks (MCA) --i.e., attacks in which adversaries manipulate control decisions by fabricating measurement signals in the feedback loop-- are highly threatening. This is because, MCAs are (i) more likely to happen with greater attack surface and lower cost, (ii) difficult to detect by hiding in measurement signals, and (iii) capable of inflicting severe consequences by coordinating attack resources. To defend against MCAs, we have developed a semantic analysis framework for Intrusion Detection Systems (IDS) in power grids. The framework consists of two parts running in parallel: a Correlation Index Generator (CIG), which indexes correlated MCAs, and a Correlation Knowledge-Base~(CKB), which is updated aperiodically with attacks' Correlation Indices (CI). The framework has the advantage of detecting MCAs and estimating attack consequences with promising runtime and detection accuracy. To evaluate the performance of the framework, we computed its false alarm rates under different attack scenarios.

연구 동기 및 목표

• . 기존의 IDS가 탐지하지 못하는 도청적이고 측정치를 숨기는 성격을 지닌 조작된 감시-제어 공격(MCAs)을 효과적으로 탐지하는 데 도전하는 것.
• . 기존의 경고가 중요한 물리적 운영을 방해할 수 있기 때문에, 전력망의 침입 탐지 시스템(IDS)에서 거짓 경보를 줄이는 것.
• . 계산 비용이 높은 시뮬레이션이나 장기간의 역사적 데이터 처리를 피함으로써 실시간 사이버-물리 시스템에서 탐지 지연을 최소화하는 것.
• . 다양한 공격 상황에서도 높은 탐지 정확도를 유지하면서도 확장 가능하고 저비용인 IDS 프레임워크를 개발하는 것.
• . 의미 분석을 통해 다수의 전력망 구성 요소에 걸쳐 공격 행동을 상관관계화함으로써 MCA 위협을 조기에 탐지할 수 있도록 하는 것.

제안 방법

• . 프레임워크는 제어 및 측정 신호에서 악성 행동의 상관관계를 분석하고 인덱싱하기 위해 상관 지수 생성기(CIG)를 사용한다.
• . CIG에서 유도된 상관 지수(CI)를 바탕으로 CKB는 비정기적으로 업데이트되며, 이는 빠른 런타임 스캔을 가능하게 한다.
• . CIG는 최소 기수를 갖는 공격 집합을 분석하여 강하게 상관관계가 있는 MCA 패턴을 식별함으로써, 조작된 위협의 탐지를 보장한다.
• . 시스템은 하이브리드 탐지 전략을 사용한다: CKB는 알려진 공격 패tern에 대해 빠른 스캔을 수행하고, CIG는 알려지지 않은 또는 새로운 공격에 대한 백업 역할을 한다.
• . 탐지 논리에 전력 흐름의 이탈 및 네트워크 토폴로지와 같은 맥락 기반 전력망 정보를 통합함으로써 정확도를 향상시킨다.
• . 시뮬레이션 기반 평가 프레임워크는 베르누이 분포를 사용해 실제 세계의 불확실성을 모델링하는 공격 및 경고 사건을 기반으로, 다양한 공격 빈도와 대상 집합에서 FPR과 FNR을 계산한다.

실험 결과

연구 질문

• RQ1 . 기존의 IDS가 도청적 성격으로 정상 측정 신호 내에 숨어 있는 조작된 감시-제어 공격(MCAs)을 전력망에서 효과적으로 탐지할 수 있는 방법은 무엇인가?
• RQ2 . 공격 표면 크기와 대상 선택이 사이버-물리 전력망에서 IDS의 거짓 경보율과 거짓 탐지율에 미치는 영향은 무엇인가?
• RQ3 . 장기간의 시뮬레이션이나 지속적인 역사적 데이터 감시를 피하면서도 높은 탐지 정확도를 유지할 수 있는 저비용, 저지연 IDS를 설계할 수 있는가?
• RQ4 . 상관 지수의 사용이 기존의 IDS 방법에 비해 실시간 전력망 환경에서 탐지 성능을 어떻게 향상시키는가?
• RQ5 . CKB에 설정된 중요한 전력망 대상의 수와 위치를 조정할 때 탐지 정확도, 거짓 경보율, 계산 오버헤드 사이의 상충 관계는 무엇인가?

주요 결과

• . 제안된 CKB/CIG 프레임워크는 오직 한 개의 중요한 회로만 모니터링할 경우 거짓 경보율(FPR)이 최소 0.0190에 도달하여 위협 탐지의 높은 정밀도를 입증한다.
• . 맥락 정보가 제공될 경우 위협에 대한 거짓 탐지율(FNRt)이 크게 감소하여, 중요 선로 수가 감소함에 따라 0.1806에서 0.0190으로 떨어진다.
• . 중요한 선로 집합의 기수(L)가 감소함에 따라 평균 FPRt는 0.1806에서 0.0190으로 감소하여, 더 적은 대상에서 더 높은 강건성을 보인다.
• . 실시간 시뮬레이션 또는 지속적인 데이터 마이닝을 피함으로써 탐지 지연을 줄여, 시간이 중요한 전력망 운영에서 더 빠른 반응이 가능해진다.
• . CIG는 알려지지 않은 공격에 대해 신뢰할 수 있는 백업 역할을 하며, 적절히 캘리브레이션된 CKB는 낮은 거짓 경보율로 빠른 스캔을 가능하게 한다.
• . 프레임워크는 공격 목표 선택에 매우 민감하며, 위험 평가에 기반해 중요한 대상을 신중히 선택할 경우 최적의 성능을 달성한다.