[논문 리뷰] Dynamic Watermarking: Active Defense of Networked Cyber-Physical Systems

Bharadwaj Satchidanandan, P. R. Kumar|arXiv (Cornell University)|2016. 06. 27.

Smart Grid Security and Resilience참고 문헌 32인용 수 8

한 줄 요약

이 논문은 네트워크화된 사이버-물리 시스템(CPS)을 위한 능동 방어 기법으로 동적 워터마킹을 제안한다. 여기서 액추에이터는 제어 루프에 비밀의 진동 신호를 주입하여 악성 센서 변조를 탐지한다. 센서 측정치의 통계적 일관성과 기대되는 워터마킹 신호를 비교함으로써, 이 방법은 실시간 공격 탐지 기능을 제공하며 높은 신뢰성을 확보한다. 시뮬레이션 결과, 2차 ARX 식물에서 공격이 발생한 지 5000단계 이내에 탐지되었으며, 거짓 경고율이 낮았다.

ABSTRACT

The coming decades may see the large scale deployment of networked cyber-physical systems to address global needs in areas such as energy, water, healthcare, and transportation. However, as recent events have shown, such systems are vulnerable to cyber attacks. Being safety critical, their disruption or misbehavior can cause economic losses or injuries and loss of life. It is therefore important to secure such networked cyber-physical systems against attacks. In the absence of credible security guarantees, there will be resistance to the proliferation of cyber-physical systems, which are much needed to meet global needs in critical infrastructures and services. This paper addresses the problem of secure control of networked cyber-physical systems. This problem is different from the problem of securing the communication network, since cyber-physical systems at their very essence need sensors and actuators that interface with the physical plant, and malicious agents may tamper with sensors or actuators, as recent attacks have shown. We consider physical plants that are being controlled by multiple actuators and sensors communicating over a network, where some sensors could be "malicious," meaning that they may not report the measurements that they observe. We address a general technique by which the actuators can detect the actions of malicious sensors in the system, and disable closed-loop control based on their information. This technique, called "watermarking," employs the technique of actuators injecting private excitation into the system which will reveal malicious tampering with signals. We show how such an active defense can be used to secure networked systems of sensors and actuators.

연구 동기 및 목표

• 기존 네트워크 보안 수단이 무력화되는 내부자 및 센서 기반 사이버 공격으로부터 안전한 핵심 기능을 수행하는 사이버-물리 시스템(CPS)을 보호하는 데 도전하는 것.
• 네트워크 보안의 수동적 접근 방식의 한계를 극복하기 위해, 센서와 액추에이터가 물리적 플랜트와 직접 연결되는 물리 계층의 무결성을 강조하는 것.
• 암호화 키나 공격 패tern에 대한 사전 지식에 의존하지 않고도 악성 센서 행동을 탐지할 수 있는 일반화 가능한 능동 방어 기법을 개발하는 것.
• 액추에이터가 내장된 비밀의 진동 신호를 통해 센서 측정치의 진위성을 검증함으로써 CPS에서 안정적인 제어를 보장하는 것.
• 스투크스넷이나 마루키-셔이와 같은 공격에서 관찰된 바와 같이, 공격자가 센서 데이터를 조작하여 탐지되지 않도록 하는 도전적인 공격을 탐지하기 위한 실용적이고 확장 가능한 솔루션을 제공하는 것.

제안 방법

• 액추에이터가 제어 입력에 비밀의, 반복되지 않는 진동 신호를 주입함으로써 동적 워터마킹을 도입한다. 이 신호는 컨트롤러와 액추에이터만이 알고 있다.
• 시스템은 안정적인 ARX 과정으로 모델링되며, 액추에이터는 피드백과 비밀의 진동 신호를 모두 포함한 제어 입력을 적용한다.
• 최근 관측치의 음의 로그우도를 기반으로 순차적 가설 검정을 수행하며, 정상 작동 조건에서의 기대 분포와 비교한다.
• 최근 측정치의 슬라이딩 윈도우 범위에서 우도 함수를 계산하고, 이 값이 사전 정의된 임계값을 초과하면 경고 신호가 발생하여 센서가 손상되었을 가능성이 있음을 나타낸다.
• 워터마킹 신호는 공정 노이즈와 통계적으로 구별 가능하도록 설계되어 있어, 악성 공격자가 노이즈를 추정하고 상관관계를 설정하더라도 탐지가 가능하다.
• 이 방법은 물리 신호의 의미론적 일관성을 활용한다: 악성 보고로 인해 기대되는 신호 행동에서 벗어나면 워터마킹 신호의 통계적 패턴이 깨지게 된다.

실험 결과

연구 질문

• RQ1 암호 기반 인증에 의존하지 않고도 네트워크 CPS 내 악성 센서 변조를 탐지할 수 있는 능동 방어 기법이 가능한가?
• RQ2 비밀의 진동 신호를 제어 루프에 어떻게 주입할 수 있으며, 이는 제어 시스템의 안정성을 유지하면서 센서 조작 탐지를 가능하게 하는가?
• RQ3 동적 워터마킹은 정상 시스템 행동을 모방하는 스텔스 공격(예: 센서 데이터 재생 또는 공정 노이즈 추정)을 어느 정도 탐지할 수 있는가?
• RQ4 어떤 통계적 검정 기법이 거짓 경고율을 낮게 유지하면서도 악성 센서 손상으로 인한 기대 신호 행동의 이탈을 신뢰성 있게 탐지할 수 있는가?
• RQ5 최소위상 ARX 시스템을 초월하여 비선형 및 고차수 시스템으로의 일반화가 가능한가?

주요 결과

• 2차 ARX 식물에서 시간 단계 4500에 공격이 시작된 센서 공격을 동적 워터마킹 기법이 성공적으로 탐지하였으며, 공격 발생 후 음의 로그우도 함수가 점차 상승하는 경향을 보였다.
• 공격 패턴에 대한 사전 지식 없이도 신뢰성 있게 탐지가 가능했으며, 특히 악성 공격자가 공정 노이즈를 추정하고 상관관계를 설정하여 탐지를 피하려는 경우에도 효과를 보였다.
• 정상 작동 조건에서는 우도 함수가 허용 가능한 범위 내에 유지되어 거짓 경고율이 낮음을 나타냈다.
• 특히 상관관계가 있는 노이즈와 관측 가능성이 제한된 시스템에서 기존 탐지 알고리즘으로는 탐지되지 않는 공격을 효과적으로 탐지할 수 있었다.
• 시뮬레이션 결과, 식물이 최소위상이며 프리이퀄라이저가 안정성을 보장하므로 제어 입력에 워터마킹 신호를 통합함으로써 시스템이 불안정해지지 않는 것으로 확인되었다.
• 이 방법은 실시간 구현에 적합한 확장 가능한 비암호 기반 방어 기법을 제공하며, 전력망, 교통 시스템, 산업 제어 시스템과 같은 안전이 핵심인 CPS에 적용 가능하다.