[논문 리뷰] Probability Risk Identification Based Intrusion Detection System for SCADA Systems

Thomas Marsden, Nour Moustafa외 2명|arXiv (Cornell University)|2017. 11. 08.

Smart Grid Security and Resilience참고 문헌 15인용 수 5

한 줄 요약

이 논문은 SCADA 시스템을 대상으로 하는 확률적 위험 식별 기반 침입 탐지 시스템(PRI-IDS)을 제안하며, 네트워크 트래픽 패턴을 분석하여 Modbus TCP/IP 트래픽 내 재생 공격을 탐지한다. 확장 가능하고 저비용인 테스트베드에서 평가된 결과, 시스템은 높은 정확도로 효과적이고 효율적으로 재생 공격을 탐지하여 실제 운영 환경에서의 비정상 패킷 재전송을 실시간으로 탐지하는 데 뛰어난 성능을 보였다.

ABSTRACT

. As Supervisory Control and Data Acquisition (SCADA) systems control several critical infrastructures, they have connected to the internet. Consequently, SCADA systems face different sophisticated types of cyber adversaries. This paper suggests a Probability Risk Identification based Intrusion Detection System (PRI-IDS) technique based on analysing network traffic of Modbus TCP/IP for identifying replay attacks. It is acknowledged that Modbus TCP is usually vulnerable due to its unauthenticated and unencrypted nature. Our technique is evaluated using a simulation environment by configuring a testbed, which is a cus- tom SCADA network that is cheap, accurate and scalable. The testbed is exploited when testing the IDS by sending individual packets from an attacker located on the same LAN as the Modbus master and slave. The experimental results demonstrated that the proposed technique can effectively and efficiently recognise replay attacks.

연구 동기 및 목표

• SCADA 시스템의 인터넷 연결 증가로 인한 사이버 공격 위험 증가 문제를 해결하기 위해.
• 기본적으로 인증되지 않고 암호화되지 않은 Modbus TCP/IP 트래픽 내 재생 공격을 식별하기 위해.
• SCADA 환경에 특화된 확장 가능하고 저비용의 침입 탐지 시스템을 개발하기 위해.
• 제안된 탐지 메커니즘이 실제 시뮬레이션 환경에서 효과적으로 작동하는지 평가하기 위해.

제안 방법

• PRI-IDS는 Modbus TCP/IP 통신 내 네트워크 트래픽 패턴을 분석하여 재생 공격의 징후가 되는 이면적 이상을 탐지한다.
• 패킷 시퀀스가 정당한지 또는 위조된 것인지의 가능성을 평가하기 위해 확률적 위험 식별 기법을 사용한다.
• 실제 환경 조건을 시뮬레이션하기 위해 맞춤형으로 설계된 확장 가능하고 저비용의 SCADA 테스트베드를 구축한다.
• 패킷 전송 시간, 시퀀스 번호, 메시지 내용을 모니터링하여 재전송되거나 순서가 어긋난 패킷을 탐지한다.
• 기대 행동에서 통계적 이탈이 발생하는 경우를 기반으로 의심스러운 재전송을 경고하는 탐지 논리를 구현한다.
• 테스트베드에는 동일한 LAN 내에 Modbus 마스터, 슬레이브, 공격자 노드가 포함되어 실제 공격 시나리오를 시뮬레이션한다.

실험 결과

연구 질문

• RQ1 확률적 위험 기반 접근법이 SCADA 시스템 내 Modbus TCP/IP 트래픽에서 재생 공격을 효과적으로 탐지할 수 있는가?
• RQ2 제안된 PRI-IDS는 통제된 테스트 환경에서 정상적인 재전송과 악성 재생 공격을 얼마나 잘 구분하는가?
• RQ3 실제 네트워크 조건 하에서 제안된 IDS가 정확도와 효율성을 유지할 수 있는 정도는 어느 정도인가?
• RQ4 테스트베드 아키텍처는 SCADA 시스템의 침입 탐지 평가에 있어 얼마나 확장 가능하고 비용 효율적인가?

주요 결과

• 테스트 환경에서 모든 재생 공격 사례를 높은 정확도로 성공적으로 탐지하였다.
• 시스템은 낮은 거짓 경고율을 보이며, 정상적인 재전송과 악성 재전송을 신뢰성 있게 구분함을 입증하였다.
• 실시간으로 효율적으로 작동하여 운영 중인 SCADA 네트워크에의 구현에 적합함을 입증하였다.
• 맞춤형 테스트베드는 침입 탐지 기법 평가에 있어 확장 가능하고 정확하며 비용 효율적인 것으로 입증되었다.
• 결과적으로 확률적 위험 분석이 인증되지 않은 SCADA 프로토콜 내 재생 공격 식별에 실현 가능한 방법임을 확인하였다.
• 공격자가 SCADA 구성 요소와 동일한 LAN 내에서 작동하는 경우에도 이 방법이 효과적이며, 현실적인 위협 시나리오를 잘 시뮬레이션함을 입증하였다.