[논문 리뷰] Highly Scalable and Flexible Model for Effective Aggregation of Context-based Data in Generic IIoT Scenarios

Simon D. Duque Antón, Daniel Fraunholz외 3명|arXiv (Cornell University)|2019. 05. 28.

Network Security and Intrusion Detection인용 수 8

한 줄 요약

이 논문은 산업용 인터넷(IIoT) 환경에서 이질적인 맥락 기반 데이터를 확장 가능하고 유연하게 집계하기 위한 삼단계, 사고 중심 모델을 제안한다. 모든 시스템 정보를 이산적인 이벤트로 간주함으로써, 낮은 수준의 네트워크 패킷과 로그를 고수준의 추상화인 네트워크 흐름과 시스템 전반의 행동과 연관지어, 다양한 IIoT 사용 사례에서 이상 현상과 보안 위협을 효과적으로 탐지할 수 있도록 한다.

ABSTRACT

Interconnectivity of production machines is a key feature of the Industrial Internet of Things (IIoT). This feature allows for many advantages in producing. Configuration and maintenance gets easier, as access to the given production unit is not necessarily coupled to physical presence. Customized production of goods is easily possible, reducing production times and increasing throughput. There are, however, also dangers to the increasing talkativeness of industrial production machines. The more open a system is, the more points of entry for an attacker exist. Furthermore, the amount of data a production site also increases rapidly due to the integrated intelligence and interconnectivity. To keep track of this data in order to detect attacks and errors in the production site, it is necessary to smartly aggregate and evaluate the data. In this paper, we present a new approach for collecting, aggregating and analysing data from different sources and on three different levels of abstraction. Our model is event-centric, considering every occurrence of information inside the system as an event. In the lowest level of abstraction, singular packets are collected, correlated with log-entries and analysed. On the highest level of abstraction, networks are pictured as a connectivity graph, enriched with information about host-based activities. Furthermore, we describe our work in progress of evaluating our aggregation model on two different system settings. In the first scenario, we verify the usability of our model in a remote maintenance application. In the second scenario, we evaluate our model in the context of network sniffing and correlation with log-files. First results show that our model is a promising solution to cope with increasing amounts of data and to correlate information from different types of sources.

연구 동기 및 목표

• 연결된 IIoT 시스템에서 급격히 증가하는 이질적인 데이터를 관리하는 데 도전 과제를 해결하기 위해.
• PLC, 네트워크 트래픽, 유지보수 시스템과 같은 다양한 원천에서 온 데이터의 맥락 인식 기반 연관을 가능하게 하기 위해.
• 원격 유지보수, 침입 탐지, 이상 탐지와 같은 핵심 IIoT 사용 사례를 지원하기 위해.
• 확장 가능하고 유연한 프레임워크를 제공하여 다수의 추상화 수준을 지원함으로써 확장 가능한 데이터 처리를 가능하게 하기 위해.
• 다양한 소스 간의 이벤트 연관을 통해 일관성 결여나 악성 행동을 탐지함으로써 시스템의 내재성 향상시키기 위해.

제안 방법

• IIoT에서 복잡한 이벤트 처리(CEP)를 가능하게 하기 위해 모든 시스템 정보를 시간 순서가 지정된 이벤트로 모델링한다.
• 삼단계 추상화를 구현한다: 수준 1(원시 데이터)은 개별 패킷, 로그, 설정 변경을 수집한다; 수준 2는 네트워크 흐름과 이력 설정으로 추상화한다; 수준 3은 다수의 기계나 시스템 간 데이터를 연관지운다.
• 평가 설정에서 데이터 수집, 저장, 시각화를 위해 오픈소스 도구(Elasticsearch, Logstash, Packetbeat, Kibana)를 사용한다.
• 이벤트 연관 기법을 적용하여 일관성 없는 사항을 탐지한다—예를 들어, 해당 로그 항목이 없이 유지보수 티켓이 발급된 경우나 예상치 못한 설정 변경 사항.
• 네트워크 트래픽, 호스트 로그, 티켓 시스템(OTRS), 설정 설정 등 다양한 원천의 데이터를 통합한다.
• 미래에 기계 학습을 통한 자동 이상 탐지 기능 통합을 고려하여 확장 가능한 모델을 설계한다.

실험 결과

연구 질문

• RQ1 네트워크, 로그, 설정, 티켓과 같은 다양한 IIoT 원천에서 온 이질적인 데이터를 어떻게 확장 가능한 방식으로 효과적으로 집계하고 연관지을 수 있는가?
• RQ2 다단계 이벤트 중심 모델이 산업 시스템에서 이상 현상과 악성 행동 탐지에 얼마나 기여할 수 있는가?
• RQ3 제안된 모델은 원격 유지보수 및 시스템 로그와의 네트워크 트래픽 연관과 같은 실용적인 IIoT 사용 사례를 지원할 수 있는가?
• RQ4 세 단계의 군집화 수준에서의 추상화가 이벤트 수준의 정밀도를 훼손하지 않으면서도 상황 인식 능력을 어떻게 향상시키는가?
• RQ5 실제 IIoT 환경에 이러한 모델을 구현할 때 발생하는 실용적 과제는 무엇이며, 이를 어떻게 완화할 수 있는가?

주요 결과

• 모델은 낮은 수준의 네트워크 패킷과 호스트 로그를 고수준의 시스템 행동과 효과적으로 연관지어, 유지보수 티켓이 발급되었지만 해당 로그 항목이 없는 일관성 없는 사항을 탐지하는 데 성공했다.
• 원격 유지보수 사용 사례에서, 모델은 유지보수 전후 설정과 트래픽 패턴을 비교함으로써 잠재적인 잘못된 설정을 식별했다.
• PLC 로그와 트래픽 연관 시나리오에서, 모델은 로그에 기록되지 않은 의심스러운 설정 변경 사항을 탐지하여 위장 또는 무단 액세스 가능성을 드러냈다.
• 수준 2 및 수준 3로의 추상화 덕분에 고장률이 높거나 비정상적인 설정 빈도를 보이는 기계나 시스템을 식별할 수 있었다.
• 표준 오픈소스 도구를 사용한 실제 테스트 환경에서의 시범 결과로, 산업 모니터링에 실용적으로 적용 가능함을 입증했다.
• 초기 결과는 모델이 맥락 인식 기반의 다원소 간 연관을 가능하게 하여 보안 및 유지보수 목적으로 IIoT 환경에서의 대용량 데이터 관리에 유망한 솔루션임을 확인했다.