[논문 리뷰] On Decidability of Existence of Nonblocking Supervisors Resilient to Smart Sensor Attacks

Rong Su|arXiv (Cornell University)|2020. 09. 06.

Petri Nets in System Modeling참고 문헌 30인용 수 4

한 줄 요약

이 논문은 이산사건시스템에서 스마트 센서 공격에 강건한 비차단 감시자 존재의 결정 가능성을 확립한다. 위험 쌍(risky pairs)과 진정한 인코딩 체계를 도입함으로써, 식물, 감시자, 손상 언어가 모두 정규일 경우, 강건한 감시자를 알고리즘적으로 합성할 수 있음을 증명하며, 이는 스마트 사이버 공격에 관한 DES 문헌에서 처음으로 이뤄지는 결과이다.

ABSTRACT

Cybersecurity of discrete event systems (DES) has been gaining more and more attention recently, due to its high relevance to the so-called 4th industrial revolution that heavily relies on data communication among networked systems. One key challenge is how to ensure system resilience to sensor and/or actuator attacks, which may tamper data integrity and service availability. In this paper we focus on some key decidability issues related to smart sensor attacks. We first present a sufficient and necessary condition that ensures the existence of a smart sensor attack, which reveals a novel demand-supply relationship between an attacker and a controlled plant, represented as a set of risky pairs. Each risky pair consists of a damage string desired by the attacker and an observable sequence feasible in the supervisor such that the latter induces a sequence of control patterns, which allows the damage string to happen. It turns out that each risky pair can induce a smart weak sensor attack. Next, we show that, when the plant, supervisor and damage language are regular, it is computationally feasible to remove all such risky pairs from the plant behaviour, via a genuine encoding scheme, upon which we are able to establish our key result that the existence of a nonblocking supervisor resilient to smart sensor attacks is decidable. To the best of our knowledge, this is the first result of its kind in the DES literature on cyber attacks. The proposed decision process renders a specific synthesis procedure that guarantees to compute a resilient supervisor whenever it exists, which so far has not been achieved in the literature.

연구 동기 및 목표

• 이산사건시스템에서 모든 스마트 센서 공격에 강건한 비차단 감시자가 존재할 수 있는지 여부라는 열린 문제를 다루기 위해.
• 해당 강건한 감시자가 알고리즘적으로 합성될 수 있는 조건을 체계화하기 위해.
• 강건한 감시자 존재 여부를 판단할 수 있는 결정 절차를 수립하여, 사이버물리 보안 분야에서 중요한 갭을 메우기 위해.
• 공격자의 목표와 관측 가능한 시스템 행동을 연결하는 '위험 쌍'을 통해 스마트 센서 공격를 새로운 방식으로 특성화하기 위해.
• 해당 감시자가 존재할 경우 항상 계산 가능한 강건한 감시자를 보장하는 구축 가능한 합성 방법을 제공하기 위해.

제안 방법

• 공격자가 원하는 손상 문자열과 감시자가 실행 가능한 관측 가능 시퀀스로 구성된 '위험 쌍(risky pairs)'의 개념을 도입한다. 이는 제어 패tern의 일련의 시퀀스를 통해 손상을 유도할 수 있는 조건을 만족한다.
• 각 위험 쌍이 스마트 약한 센서 공격을 유도함을 보이며, 공격자가 손상 행위를 감추며 실행할 수 있음을 체계화한다.
• 모든 위험 쌍을 시설 행동에서 제거하기 위해 진정한 인코딩 체계를 제안한다. 이는 이러한 공격 가능성을 완전히 제거한다.
• 제어 가능하게 도달 가능한 부분 자동기계의 곱 자동기계 $Π(Σ)$를 기반으로 한 감시자 합성 절차를 구성한다. 이는 조건부 제어 가능성과 관측 가능성 보장을 한다.
• 감시자의 행동을 표현하기 위해 형식적 자동기계 기반 모델 $Π(Σ)$를 사용한다. 상태는 관측, 제어, 공격 대응 정보를 인코딩한다.
• 강건한 감시자 존재 여부와 제어 가능하게 도달 가능한 부분 자동기계 존재 여부 간의 동치성을 확립함으로써 결정 가능성을 확보한다.

실험 결과

연구 질문

• RQ1 이산사건시스템에서 모든 가능한 스마트 센서 공격에 강건한 비차단 감시자가 존재할 조건은 무엇인가?
• RQ2 시스템 구성 요소가 정규일 경우, 그러한 강건한 감시자 존재 여부를 알고리즘적으로 결정할 수 있는가?
• RQ3 관측 가능한 행동과 제어 패턴을 기반으로 스마트 센서 공격를 어떻게 체계화할 수 있는가?
• RQ4 비차단 동작과 모든 스마트 공격에 저항할 수 있는 강건한 감시자를 합성할 수 있는가?
• RQ5 은밀하고 지능적인 센서 공격에 강건하기 위해 감시자와 식물이 만족해야 할 구조적 성질은 무엇인가?

주요 결과

• 식물, 감시자, 손상 언어가 모두 정규일 경우, 스마트 센서 공격에 강건한 비차단 감시자 존재 여부는 결정 가능하다.
• 모든 위험 쌍을 시스템 행동에서 제거하는 진정한 인코딩 체계를 통해 강건한 감시자를 알고리즘적으로 합성할 수 있다.
• 논문은 $Π(Σ)$의 제어 가능하게 도달 가능한 부분 자동기계와 비차단 강건 감시자 후보 간에 일대일 대응 관계를 수립한다.
• 제안된 방법은 강건한 감시자가 존재할 경우 항상 이를 계산할 수 있으며, DES 기반 사이버물리 보안 분야에서 오랫동안 열려 있던 문제를 해결한다.
• 위험 쌍을 통한 스마트 공격의 특성화는 공격자 목표와 시스템 관측 가능성 간의 근본적인 '수요-공급' 관계를 드러낸다.
• 이 결과는 스마트 센서 공격에 강건한 감시자 제어의 결정 가능성을 처음으로 입증한 것으로, 구축 가능한 합성 절차를 포함한다.