[논문 리뷰] Revisiting Anomaly Detection in ICS: Aimed at Segregation of Attacks and Faults

Chuadhry Mujeeb Ahmed, Jay Prakash외 1명|arXiv (Cornell University)|2020. 04. 25.

Smart Grid Security and Resilience참고 문헌 18인용 수 4

한 줄 요약

이 논문은 산업 제어 시스템(ICS)에서 사이버 공격과 시스템 장애를 식별하기 위한 프레임워크를 제안한다. 다층적 데이터 분석, 디지털 트윈, 공격 서명, 행동 모델링을 활용하여 탐지 지연 시간, 고장 시간 상수, 모드 전환, 상관관계 비대칭성 등의 차이점을 이용해 이상 현상을 정확히 분리함으로써, 임의의 경고를 줄이고 핵심 인프라의 대응 정밀도를 향상시킨다.

ABSTRACT

In an Industrial Control System (ICS), its complex network of sensors, actuators and controllers have raised security concerns for critical infrastructures and industrial production units. This opinion paper strives to initiate discussion on the design algorithms which can segregate attacks from faults. Most of the proposed anomaly detection mechanisms are not able to differentiate between an attack and an anomaly due to a fault. We argue on the need of solving this important problem form our experiences in CPS security research. First, we motivate using analysis of studies and interviews though economical and psychological aspects. Then main challenges are highlighted. Further, we propose multiple directions of approach with suitable reasoning and examples from ICS systems.

연구 동기 및 목표

• 공격과 고장을 구분하지 못해 부적절한 대응이 유도되는 ICS 이상 탐지의 핵심적 격차를 해소한다.
• 고장을 공격으로 잘못 분류하거나 그 반대의 경우에 발생하는 경제적 및 정서적 영향을 부각시킨다.
• 목표 지향적이고 효율적이며 안전한 사고 대응을 가능하게 하기 위해 강력한 분류 기반 기술의 필요성을 제기한다.
• 시스템 행동, 시간, 데이터 일관성에 기반한 공격과 고장을 분리하기 위한 다수의 기술적 방향을 제안한다.
• 실제 ICS 환경에 적용 가능한 실용적이고 구현 가능한 솔루션 개발을 위한 연구 협업을 촉진한다.

제안 방법

• 네트워크 계층 트래픽과 프로세스 계층 물리적 변수의 데이터를 통합하여 맥락 인식 기반 이상 탐지 수행.
• 가상 센서 또는 디지털 트윈을 기준 모델로 활용하여 조작 여부를 탐지함. 가상 시스템은 물리적으로 고장날 수 없기 때문이다.
• 기존 공격 패tern을 식별하기 위해 서명 기반 탐지를 적용하나, 제로데이 공격 탐지에 한계가 있음을 인정한다.
• 기기 간 모드 전환을 분석: 공격은 일반적으로 조율된 모드 전환을 유도하지만, 고장은 일반적으로 무작위이고 고립되어 있다.
• 모의 또는 이력 고장 데이터를 활용해 고장 행동을 모델링하여 공격 패턴과 구분 가능한 프로파일을 생성한다.
• 원인과 상관관계의 비대칭성을 활용 — 예를 들어, 고장 난 센서는 하류 장치에 영향을 주지만, 고장 난 액추에이터는 상류 센서에 영향을 주지 않는다 — 이를 통해 데이터 조작을 탐지할 수 있다.

실험 결과

연구 질문

• RQ1 ICS 이상 탐지 시스템은 어떻게 사이버 공격과 시스템 고장을 신뢰성 있게 구분할 수 있는가?
• RQ2 공격과 고장 간 행동, 시간, 구조적 차이점은 무엇이며, 이를 분리에 활용할 수 있는가?
• RQ3 공격 및 고장 시나리오에서 탐지 지연 시간과 손상 발생 시간은 어떻게 달라지며, 이를 분류 기능으로 활용할 수 있는가?
• RQ4 디지털 트윈 또는 가상 센서는 실시간으로 악성 조작을 탐지하기 위해 얼마나 효과적인 기준이 될 수 있는가?
• RQ5 고장 시간 상수와 모드 전환 패턴은 랜덤 고장과 조율된 사이버 공격을 어떻게 분리하는 데 사용할 수 있는가?

주요 결과

• 기존 대부분의 이상 탐지 기법은 공격과 고장을 구분하지 못해 불필요한 정지 등의 잘못된 시스템 반응을 유도한다.
• 19명의 ICS 전문가 및 운영자 인터뷰 결과, 현재 시스템은 강력한 분류 기능이 부족하며, 잘못된 분류로 인해 경제적 손실과 정서적 스트레스가 발생한다.
• 고장은 일반적으로 급격하고 무작위적인 변화를 보이며 짧은 시간 상수를 가지지만, 공격은 일반적으로 장기 지속성과 기기 간 조율된 행동을 보인다.
• 탐지 지연 시간의 차이를 바탕으로 보면, 특히 지속적 공격 시나리오에서는 고장 유사 주입보다 공격가지 더 늦게 탐지될 수 있다.
• 원인과 상관관계의 비대칭성 — 예를 들어, 고장 난 센서는 하류 장치에 영향을 주지만, 고장 난 액추에이터는 상류 센서에 영향을 주지 않는다 — 는 센서 데이터의 조작을 탐지하는 데 활용할 수 있다.
• 중복 센서는 고장 및 공격 격리에 기여할 수 있으나, 동시에 모두 손상되지 않은 경우에만 가능하며, 실용적인 탐지 계층을 제공한다.