[논문 리뷰] Checking is Believing: Event-Aware Program Anomaly Detection in Cyber-Physical Systems

Long Cheng, Ke Tian외 3명|arXiv (Cornell University)|2018. 04. 30.

Security and Verification in Computing참고 문헌 66인용 수 6

한 줄 요약

이 논문은 사이버-물리 시스템(CPS)을 대상으로 런타임 이상 탐지 프레임워크인 Orpheus를 제안한다. 이는 데이터 기반 공격을 탐지하기 위해 사이버-물리 실행 의미론을 강제 적용한다. 제어 프로그램을 이벤트 인식 유한 상태 오토마타(eFSA)로 모델링하여 물리적 이벤트와 프로그램 상태 전이 간의 일관성을 검사함으로써, 낮은 오버헤드(상태 검사당 0.0001초)로 은밀한 데이터 공격을 성공적으로 탐지한다.

ABSTRACT

Securing cyber-physical systems (CPS) against malicious attacks is of paramount importance because these attacks may cause irreparable damages to physical systems. Recent studies have revealed that control programs running on CPS devices suffer from both control-oriented attacks (e.g., code-injection or code-reuse attacks) and data-oriented attacks (e.g., non-control data attacks). Unfortunately, existing detection mechanisms are insufficient to detect runtime data-oriented exploits, due to the lack of runtime execution semantics checking. In this work, we propose Orpheus, a new security methodology for defending against data-oriented attacks by enforcing cyber-physical execution semantics. We first present a general method for reasoning cyber-physical execution semantics of a control program (i.e., causal dependencies between the physical context and program control flows), including the event identification and dependence analysis. As an instantiation of Orpheus, we then present a new program behavior model, i.e., the event-aware finite-state automaton (eFSA). eFSA takes advantage of the event-driven nature of CPS control programs and incorporates event checking in anomaly detection. It detects data-oriented exploits if a specific physical event is missing along with the corresponding event dependent state transition. We evaluate our prototype's performance by conducting case studies under data-oriented attacks. Results show that eFSA can successfully detect different runtime attacks. Our prototype on Raspberry Pi incurs a low overhead, taking 0.0001s for each state transition integrity checking, and 0.063s~0.211s for the cyber-physical contextual consistency checking.

연구 동기 및 목표

• 기존의 제어 흐름 무결성 메커니즘이 회피하는 은밀한 데이터 기반 공격의 증가하는 위협에 대응한다.
• 런타임 의미론 검사를 수행하지 않아 데이터 기반 공격을 탐지하지 못하는 기존 이상 탐지 방법의 한계를 극복한다.
• 제어 결정과 물리적 이벤트 간의 일관성 불일치를 탐지하기 위해 사이버 및 물리적 맥락을 통합한 프로그램 동작 모델을 개발한다.
• 최소한의 성능 오버헤드로 자원 제약이 있는 CPS 플랫폼(예: Raspberry Pi)에서도 실용적으로 구현 가능하도록 한다.

제안 방법

• 물리적 이벤트와 프로그램 제어 흐름 간의 인과적 의존성 분석을 통해 사이버-물리 실행 의미론을 강제 적용하는 보안 방법론인 Orpheus를 제안한다.
• 이벤트 기반 실행 의미론을 통합하고 상태 전이 시 누락되거나 일관성 없는 물리적 이벤트가 있는지 검사하는 프로그램 동작 모델인 이벤트 인식 유한 상태 오토마타(eFSA)를 설계한다.
• 물리적 맥락이 CPS 프로그램의 제어 결정에 어떻게 영향을 미치는지 모델링하기 위해 이벤트 식별 및 의존성 분석을 수행한다.
• 임베디드 플랫폼에 상태 전이의 런타임 무결성 검사(0.0001초 오버헤드) 및 사이버-물리적 맥락 일관성 검사(0.063~0.211초 오버헤드)를 통합한다.
• CPS 제어 프로그램의 이벤트 기반 성격을 활용하여, 해당 상태 전이와 함께 예상되는 물리적 이벤트가 발생하지 않을 경우 이면적 이상을 탐지한다.
• 실제 사례 연구를 통해 제어 분기 및 제어 강도 조작과 같은 다양한 데이터 기반 공격 상황에서 접근 방식을 검증한다.

실험 결과

연구 질문

• RQ1 제어 흐름 무결성이 유지되는 상황에서 CPS의 런타임 데이터 기반 공격을 효과적으로 탐지할 수 있는가?
• RQ2 사이버-물리 실행 의미론을 어떻게 형식적으로 추론하여 물리적 이벤트와 프로그램 동작 간의 불일치를 탐지할 수 있는가?
• RQ3 이벤트 인식 프로그램 모델은 기존 CFI 기반 방어를 우회하는 은밀한 데이터 공격을 탐지할 수 있는가?
• RQ4 자원 제약이 있는 CPS 플랫폼에 이벤트 인식 의미론을 적용할 경우 성능 오버헤드는 얼마나 되는가?
• RQ5 기존의 물리 기반 또는 사이버 전용 모델과 비교해 본다면, 제안된 방법은 데이터 기반 공격 탐지에서 어떤가?

주요 결과

• eFSA 모델은 제어 흐름 무결성을 위반하지 않으면서도 제어 결정이나 제어 강도를 조작하는 데이터 기반 공격을 성공적으로 탐지한다.
• Raspberry Pi에 구현된 프로토타입은 상태 전이 무결성 검사당 오직 0.0001초의 오버헤드만을 유발하여 낮은 런타임 오버헤드를 입증한다.
• 맥락 일관성 검사는 0.063초에서 0.211초 사이의 범위를 차지하여 실시간 CPS 응용 분야에서의 실현 가능성을 보여준다.
• eFSA는 실제 물리 상태(예: 로터 속도)와 예상되는 프로그램 동작 간의 불일치를 식별하여 스투크넷 유사 공격을 탐지한다.
• 이 방법은 하드웨어 기반 데이터 조작 공격에 효과적이며, 물리적 이벤트와 프로그램 실행 간의 런타임 일관성을 검증하기 때문이다.
• eFSA는 물리적 맥락을 통합함으로써 기존의 사이버 전용 모델보다 뛰어나며, 제어 흐름 기반 기법이 감지하지 못하는 이상을 탐지할 수 있다.