[논문 리뷰] Attack Detection and Identification in Cyber-Physical Systems -- Part I: Models and Fundamental Limitations

Fabio Pasqualetti, Florian Dörfler외 1명|arXiv (Cornell University)|2012. 02. 28.

Smart Grid Security and Resilience참고 문헌 38인용 수 41

한 줄 요약

이 논문은 선형 기저 시스템으로 모델링된 사이버-물리 시스템에서 탐지되지 않고 식별되지 않는 공격을 분석하기 위한 통합 프레임워크를 제안한다. 공격은 외부 입력으로 간주되며, 정적, 동적, 능동 모니터의 기본 한계를 규명하고, 도구적 조건과 그래프 이론적 조건을 도출하여 도용 공격 존재 여부를 분석한다. 이는 수도망과 전력망에서 검증되었다.

ABSTRACT

Cyber-physical systems integrate computation, communication, and physical capabilities to interact with the physical world and humans. Besides failures of components, cyber-physical systems are prone to malignant attacks, and specific analysis tools as well as monitoring mechanisms need to be developed to enforce system security and reliability. This paper proposes a unified framework to analyze the resilience of cyber-physical systems against attacks cast by an omniscient adversary. We model cyber-physical systems as linear descriptor systems, and attacks as exogenous unknown inputs. Despite its simplicity, our model captures various real-world cyber-physical systems, and it includes and generalizes many prototypical attacks, including stealth, (dynamic) false-data injection and replay attacks. First, we characterize fundamental limitations of static, dynamic, and active monitors for attack detection and identification. Second, we provide constructive algebraic conditions to cast undetectable and unidentifiable attacks. Third, by using the system interconnection structure, we describe graph-theoretic conditions for the existence of undetectable and unidentifiable attacks. Finally, we validate our findings through some illustrative examples with different cyber-physical systems, such as a municipal water supply network and two electrical power grids.

연구 동기 및 목표

• 기존의 구성 요소 장애를 초월하여 고도로 정교하고 도용적인 공격에 취약한 사이버-물리 시스템의 보안 메커니즘에 대한 필수적 필요성을 해결하기 위해.
• 공격을 알려지지 않은 외부 입력으로 간주하여 사이버-물리 시스템을 선형 기저 시스템으로 모델링하고, 도용 공격, 가짜 데이터 주입 공격, 재생 공격를 모두 포괄한다.
• 정적, 동적, 능동 모니터가 이러한 공격을 탐지하고 식별하는 데 있어 기본적인 한계를 규명하기 위해.
• 시스템의 구조에 기반하여 탐지되지 않고 식별되지 않는 공격 존재 여부를 위한 구조적 대수 조건과 그래프 이론적 조건을 유도하기 위해.
• 도시 수도 공급망과 두 개의 전력망에서의 사례 연구를 통해 이론적 결과를 검증하기 위해.

제안 방법

• 시스템의 역학을 미분-대수 방정식 프레임워크로 표현하는 인덱스-1 선형 기저 시스템으로 사이버-물리 시스템을 모델링한다.
• 공격을 영향을 미치는 시스템 상태(x), 출력(y), 측정값에 영향을 주는 알려지지 않은 외부 입력(u)으로 표현하며, 공격 서명 행렬 B와 D를 사용한다.
• 제로 동역학과 구조적 시스템 이론을 활용하여 공격 탐지 가능성과 식별 가능성 분석을 수행하고, 공격이 관측 가능한 시스템 모드를 자극하는지 여부에 중점을 둔다.
• 시스템 행렬의 질량과 영공간 성질에 기반한 탐지되지 않는 공격 및 식별되지 않는 공격에 대한 대수 조건을 유도한다.
• 시스템의 상호연결 구조를 활용한 그래프 이론적 조건을 도입하여, 전체 시스템 지식이 없이도 도용 공격 존재 여부를 판단할 수 있도록 한다.
• 수도망과 전력망에서의 시뮬레이션을 통해 이론적 결과를 검증하고, 공격자가 탐지되지 않도록 공격 신호를 설계할 수 있음을 보여준다.

실험 결과

연구 질문

• RQ1 정적, 동적, 능동 모니터는 사이버-물리 시스템의 공격 탐지 및 식별에 있어 어떤 기본 한계를 지니는가?
• RQ2 선형 기저 시스템에서 공격자가 탐지되지 않거나 식별되지 않는 공격을 설계할 수 있는 대수 조건은 무엇인가?
• RQ3 네트워크 상호연결 구조는 사이버-물리 시스템에서 도용 공격 존재 여부에 어떤 영향을 미치는가?
• RQ4 그래프 이론적 조건은 특정 수치적 실현값에 종속되지 않고 탐지되지 않는 공격 존재 여부를 예측할 수 있는가?
• RQ5 실세계의 사이버-물리 시스템, 예를 들어 수도망과 전력망은 도용 공격에 취약한가? 그 취약성을 어떻게 분석할 수 있는가?

주요 결과

• 정적 모니터보다 동적 모니터가 시스템 역학을 활용함으로써 더 뛰어난 공격 탐지 성능을 보이며, 측정 수가 적어도 효과적이다.
• 능동 모니터는 수동 동적 모니터의 기본 한계를 극복하지 못한다. 둘 다 동일한 구조적 제약에 직면해 있다.
• 탐지되지 않는 공격이 존재하는 것은 공격 서명(B, D)이 시스템의 제로 동역학만 자극할 때에만 가능하며, 이는 시스템 행렬의 대수 조건을 통해 확인할 수 있다.
• 탐지되지 않는 공격 존재 여부에 대한 그래프 이론적 조건은 시스템의 상호연결 구조에 기반하며, 거의 모든 호환 가능한 수치 실현값에 대해 성립한다.
• 물 공급망 사례 연구에서 공격자는 저수지 R₂에서 물을 훔칠 수 있으며, 센서 S₁을 손상시키고 펌프 P₂를 조작함으로써 압력 읽기 값을 유지함으로써 탐지되지 않게 할 수 있다.
• 초기 상태나 전체 네트워크 구조를 알지 못해도 공격 전략은 효과적이며, 유일하게 알려진 정보는 연결 계수 A₃₁ 뿐이며, 다른 변수를 모니터링하는 추가 센서가 있어도 탐지되지 않는다.