[논문 리뷰] Modern Problems Require Modern Solutions: Hybrid Concepts for Industrial Intrusion Detection

Simon D. Duque Antón, Mathias Strufe외 1명|arXiv (Cornell University)|2019. 05. 15.

Network Security and Intrusion Detection참고 문헌 29인용 수 4

한 줄 요약

이 논문은 산업 4.0 환경에서 소규모 기업(SMEs)을 대상으로 하이브리드 침입 탐지 프레임워크를 제안하며, 네트워크 트래픽 및 프로세스 데이터의 시계열 분석을 매트릭스 프로파일(Matrix Profiles)을 사용하여 이상 현상을 탐지한다. 이 접근법은 전문가 수준의 보안 지식이 필요로 하지 않으면서도 초기 단계에서 사이버-물리적 공격를 탐지할 수 있도록 하여, 실제 시뮬레이션과 산업 데이터 분석을 통해 통신 패턴과 프로세스 행동의 이질성을 효과적으로 식별함을 입증한다.

ABSTRACT

The concept of Industry 4.0 brings a disruption into the processing industry. It is characterised by a high degree of intercommunication, embedded computation, resulting in a decentralised and distributed handling of data. Additionally, cloud-storage and Software-as-a-Service (SaaS) approaches enhance a centralised storage and handling of data. This often takes place in third-party networks. Furthermore, Industry 4.0 is driven by novel business cases. Lot sizes of one, customer individual production, observation of process state and progress in real-time and remote maintenance, just to name a few. All of these new business cases make use of the novel technologies. However, cyber security has not been an issue in industry. Industrial networks have been considered physically separated from public networks. Additionally, the high level of uniqueness of any industrial network was said to prevent attackers from exploiting flaws. Those assumptions are inherently broken by the concept of Industry 4.0. As a result, an abundance of attack vectors is created. In the past, attackers have used those attack vectors in spectacular fashions. Especially Small and Mediumsized Enterprises (SMEs) in Germany struggle to adapt to these challenges. Reasons are the cost required for technical solutions and security professionals. In order to enable SMEs to cope with the growing threat in the cyberspace, the research project IUNO Insec aims at providing and improving security solutions that can be used without specialised security knowledge. The project IUNO Insec is briefly introduced in this work. Furthermore, contributions in the field of intrusion detection, especially machine learning-based solutions, for industrial environments provided by the authors are presented and set into context.

연구 동기 및 목표

• 기존 보안 가정이 더 이상 유효하지 않은 산업 4.0 도입으로 인한 독일 SMEs의 증가하는 사이버보안 과제를 해결한다.
• 레거시 산업 시스템의 한계를 극복하기 위해 비전문가가 사용할 수 있고 소기업에 적합한 확장성 있는 보안 솔루션을 개발한다.
• IUNO 프로젝트를 발전시켜 기계 학습과 이상 탐지 기반의 산업 IT 및 OT 네트워크 침입 탐지 도구를 향상시킨다.
• 맥락 기반 탐지 메커니즘을 통합하여 분할된 산업 네트워크에서의 횡단 이동 탐지 능력을 향상시킨다.
• 저비용, 쉽게 배치할 수 있는 보안 모듈을 통해 SMEs가 산업 4.0에 안전하게 참여할 수 있도록 한다.

제안 방법

• 최소 거리가 고정 길이의 부분 시계열 간에 계산되는 시계열 분석 기법인 매트릭스 프로파일(Matrix Profiles)을 적용하여 네트워크 트래픽의 이상 현상을 탐지한다.
• 패킷 수준 데이터(예: 소스/대상 IP, 포트, 패킷 수)를 사용하여 분석을 위한 시계열을 생성하고, 공격를 나타내는 이질성을 식별한다.
• 실제 하드웨어(예: 물탱크 시스템)를 사용하여 산업 프로세스 행동을 모델링하여 정상 및 비정상 작동(예: 가속화된 리플로우)을 시뮬레이션한다.
• 네트워크 트래픽 및 프로세스 데이터의 이상 현상을 연계하여 IT 및 OT 계층을 아우르는 조작된 공격를 탐지한다.
• 네트워크 세그먼트 간 공격 원천, 대상 및 영향을 연계하는 맥락 기반 집계 모델을 구현한다.
• 허위 정보 기술(예: 핑거프린팅, 가짜 시스템) 및 위장 기술(예: 핑거프린팅, 가짜 시스템)을 활용하여 탐지 능력을 향상시키고 공격자의 진행 속도를 늦춘다.

실험 결과

연구 질문

• RQ1 이상 탐지 기법은 얼마나 낮은 거짓 경고율을 유지하면서도 산업 네트워크에서 사이버-물리적 공격를 탐지하기 위해 적응될 수 있는가?
• RQ2 네트워크 및 프로세스 데이터의 시계열 분석은 산업 시스템에서 횡단 이동의 조기 탐지에 얼마나 기여하는가?
• RQ3 맥락 집계는 하이브리드 IT/OT 환경에서 침입 탐지의 정확성과 신뢰성 향상에 어떤 역할을 하는가?
• RQ4 기계 학습 기반 탐지 기법은 보안 효과성을 유지하면서도 비전문가가 사용할 수 있도록 어떻게 설계될 수 있는가?
• RQ5 네트워크 수준 및 프로세스 수준의 분석을 융합한 하이브리드 탐지 접근법은 산업 환경에서 고립된 탐지 방법보다 우월한가?

주요 결과

• 매트릭스 프로파일은 산업 네트워크 트래픽의 이상 현상을 성공적으로 탐지하였으며, 공격 단계 동안 최소 거리가 크게 증가하여 정상 행동에서의 이질성을 나타냈다.
• 시뮬레이션된 프로세스 데이터에서는 리플로우 속도를 두 배로 증가시켰을 때 매트릭스 프로파일의 최소 거리가 뚜렷하고 지속적으로 상승하여 프로세스 수준 이상 현상의 탐지 가능성을 확인했다.
• 네트워크 수준 및 프로세스 수준의 시계열 분석을 융합한 접근법은 통신 패턴과 물리적 시스템 행동에 영향을 주는 조작된 공격를 탐지할 수 있었다.
• 이 접근법은 실제 산업용 하드웨어 환경에서도 실현 가능성을 입증하였으며, 다양한 공격 시나리오에서 일관된 이상 탐지 성능을 보였다.
• 하이브리드 탐지 모델은 공격 유도 이상에 맞춰 조정된 임계값 기반 탐지 메커니즘을 통해 거짓 음성(false negatives)을 감소시켰다.
• 맥락 기반 집계 통합은 공격 원인 추적 및 네트워크 영역 간 횡단 이동 탐지 능력을 향상시켰다.