[논문 리뷰] Detection of Hidden Attacks on Cyber-Physical Systems from Serial Magnitude and Sign Randomness Inconsistencies

Paul J Bonczek, Nicola Bezzo|arXiv (Cornell University)|2021. 04. 30.

Smart Grid Security and Resilience참고 문헌 20인용 수 7

한 줄 요약

이 논문은 시계열적 비일관성, 즉 카이제곱 검정 측정치 차이의 크기와 부호에서 발생하는 비일관성을 분석함으로써 사이버-물리 시스템에서 도청 공격을 탐지하는 런타임 모니터인 Serial Detector를 제안한다. 연속적인 검정 통계량에서 기대되는 무작위성의 이탈을 모니터링함으로써, 기존의 이상 탐지기들이 일관된 크기와 부호 행동을 유지함으로써 회피하는 공격을 더 잘 탐지할 수 있다.

ABSTRACT

Stealthy false data injection attacks on cyber-physical systems (CPSs) introduce erroneous measurement information to on-board sensors with the purpose to degrade system performance. An intelligent attacker is able to leverage knowledge of the system model and noise characteristics to alter sensor measurements while remaining undetected. To achieve this objective, the stealthy attack sequence is designed such that the detector performs similarly in the attacked and attack-free cases. Consequently, an attacker that wants to remain hidden will leave behind traces of inconsistent behavior, contradicting the system model. To deal with this problem, we propose a runtime monitor to find these inconsistencies in sensor measurements by monitoring for serial inconsistencies of the detection test measure. Specifically, we employ the chi-square fault detection procedure to monitor the magnitude and signed sequence of its chi-square test measure. We validate our approach with simulations on an unmanned ground vehicle (UGV) under stealthy attacks and compare the detection performance with various state-of-the-art anomaly detectors.

연구 동기 및 목표

• 기존 이상 탐지기들이 모델의 비일관성을 악용함으로써 회피하는 도청 공격을 탐지하는 데 도전하는 것.
• 시험 측정치 차이의 크기와 부호에서의 시계열 비일관성을 통해 숨겨진 공격을 탐지하는 런타임 모니터를 개발하는 것.
• 제안된 Serial Detector를 회피할 수 있는 악성 공격의 최악의 시나리오를 규명하여 탐지 한계와 내성 한계를 설정하는 것.
• 편향 공격과 패tern형 공격으로 인해 기존 탐지기들이 오작동하는 실제 UGV 사례 연구에서 탐지기의 효과성을 검증하는 것.

제안 방법

• 이 방법은 잔차 벡터 rk에서 스칼라 시험 측정치 zk = rTkΣ−1rk를 계산하기 위해 카이제곱 장애 탐지 절차를 사용한다.
• Serial Detector는 시험 측정치 차이 dk = zk − zk−1의 시계열적 행동을 모니터링하며, 크기와 부호의 순서를 모두 분석한다.
• 크기 탐지의 경우, 슬라이딩 윈도우에서 경고율 ψM을 계산하고 기대되는 카이제곱 분포에서 유도된 3σ 탐지 기준과 비교한다.
• 부호 탐지의 경우, dk의 부호 시퀀스를 누적 부호(CUSIGN) 방법을 사용하여 비무작위 부호 변화를 탐지한다.
• 통계적 임계값을 기반으로 탐지 기준을 설정한다: 크기의 경우 Ω±, 부호의 경우 Ψ±로, 기대 경고율과 표준편차를 기반으로 한다.
• 공격 회피 분석은 경고율을 탐지 기준 내에 유지하기 위해 공격 벡터 δk에 가해지는 제약 조건을 유도하며, 이는 Serial Detector 하에서 도청이 가능하도록 보장한다.

실험 결과

연구 질문

• RQ1 카이제곱 검정 측정치 차이의 크기와 부호에서의 시계열 비일관성이 기존 탐지기들이 회피하는 도청 공격을 효과적으로 탐지할 수 있는가?
• RQ2 Serial Detector가 탐지하지 못하는 최악의 공격 전략은 무엇인가?
• RQ3 동일한 공격 조건 하에서 Bad-Data, CUSUM, CUSIGN과 같은 최신 기술 대비 Serial Detector의 성능은 어떻게 비교되는가?
• RQ4 공격자는 시험 측정치 시퀀스를 얼마나 제어하여 일관된 크기와 부호 행동을 유지하면서도 탐지되지 않도록 만들 수 있는가?
• RQ5 실제 시스템 노이즈와 모델 불확실성 하에서 Serial Detector의 탐지 능력을 정의하는 통계적 기준은 무엇인가?

주요 결과

• Serial Detector는 기존 탐지기들인 Bad-Data, CUSUM, CUSIGN이 같은 조건에서 경고를 발생시키지 못하는 편향 공격과 패턴형 공격을 성공적으로 탐지한다.
• 편향 공격 하에서, Serial Detector의 크기 성분은 시험 측정치 시퀀스의 비일관성을 탐지하지만, 부호 성분은 영향을 받지 않아 탐지되지 않는다.
• 패턴형 공격 하에서, Serial Detector의 부호 성분은 기대되는 부호 전환 행동의 교란을 식별하지만, 크기는 기준 내에 유지된다.
• Detector는 크기의 기대 경고율 E[ψM] = 0.20과 부호의 기대 경고율 E[ψS] = 2/3를 달성하며, 탐지 기준은 ±3 표준편차로 설정된다.
• 공격 회피 분석은 공격자가 동시에 크기와 부호 제약 조건을 만족시키기 위해 δk를 정밀하게 제어해야 하며, 이는 성공적인 회피가 점점 더 어려워짐을 드러낸다.
• 실제 UGV 사례 연구에서의 시뮬레이션은 Serial Detector가 전통적인 시험 측정치 기반 탐지 기법의 한계를 악용하는 숨겨진 공격을 탐지함으로써 추가적인 보안 계층을 제공함을 확인한다.