[논문 리뷰] S3A: Secure System Simplex Architecture for Enhanced Security of Cyber-Physical Systems

Sibin Mohan, Stanley Bak외 4명|arXiv (Cornell University)|2012. 02. 26.

Real-Time Systems Scheduling참고 문헌 22인용 수 23

한 줄 요약

S3A는 사이버-물리 시스템에 대해 운영체제가 손상된 경우에도 0.6 μs 이내로 침입을 탐지할 수 있도록 결정론적 실행 시간을 유용한 사이드채널로 활용하는 시스템 수준 보안 아키텍처를 제안한다. 신뢰할 수 있는 공처리장치, 시스템 싱글렉스, 런타임 시간 분석을 조합함으로써 소스 코드 수정 없이 물리적 시설의 안전성을 보장하며, 마이크로초 이내의 침입 탐지 기능과 고도로 발전한 위협, 예를 들어 스투크넷에 대비한 내성적 저항력을 제공한다.

ABSTRACT

Until recently, cyber-physical systems, especially those with safety-critical properties that manage critical infrastructure (e.g. power generation plants, water treatment facilities, etc.) were considered to be invulnerable against software security breaches. The recently discovered 'W32.Stuxnet' worm has drastically changed this perception by demonstrating that such systems are susceptible to external attacks. Here we present an architecture that enhances the security of safety-critical cyber-physical systems despite the presence of such malware. Our architecture uses the property that control systems have deterministic execution behavior, to detect an intrusion within 0.6 μs while still guaranteeing the safety of the plant. We also show that even if an attack is successful, the overall state of the physical system will still remain safe. Even if the operating system's administrative privileges have been compromised, our architecture will still be able to protect the physical system from coming to harm.

연구 동기 및 목표

• 스툴즈넷과 같은 고도로 발전한 악성 소프트웨어가 전통적인 보안 가정을 우회함으로써 증가하는 안전 중심 사이버-물리 시스템(CPS)의 취약성을 해결하기 위해.
• 운영체제나 제어 소프트웨어가 손상된 경우에도 물리적 시설의 안전성을 유지할 수 있는 시스템 아키텍처를 개발하기 위해.
• 프로그램 의미나 설정 변경 없이도, 고유하고 관찰 가능한 시스템 성질—특히 결정론적 실행 시간—을 활용해 침입을 탐지하기 위해.
• 전통적인 액세스 제어나 역공학 기법을 우회하는 공격에 대비하기 위해 시스템 전체의 시간 예측 가능성을 기반으로 강건성을 확보하기 위해.
• 모든 다른 보안 계층이 우회된 경우에도 실패 안전 보호 기능을 제공하기 위해 신뢰할 수 있는 하드웨어와 시스템 싱글렉스 메커니즘을 통합하기 위해.

제안 방법

• S3A 아키텍처는 주 제어 프로세서의 실행 행동을 모니터링하고 검증하기 위해 신뢰할 수 있는 하드웨어 공처리장치(예: FPGA 기반 또는 IBM 4758 방식)를 사용한다.
• 결정론적 실행 시간을 주요 사이드채널로 활용하여, 악성 코드 삽입이나 수정으로 인한 이상을 탐지하기 위해 런타임 변동성을 측정한다.
• 시스템 싱글렉스 모델을 활용하여, 주 시스템이 손상된 경우에도 정확하고 검증된 제어 행동만 물리적 시설에 영향을 줄 수 있도록 보장한다.
• 침입 탐지는 실제 실행 시간을 사전에 검증된 시간 프로파일과 비교함으로써 수행되며, 0.6 μs 이하의 편차는 잠재적 공격으로 간주해 경고한다.
• 이 방법은 소스 코드나 바이너리의 수정이 전혀 필요 없으며, 오직 관찰 가능한 런타임 행동과 하드웨어에 의해 강제되는 신뢰 경계에 의존한다.
• 미래의 확장은 명령어 수나 메모리 접근 패턴과 같은 추가 사이드채널 모니터링을 포함하며, 지연을 줄이기 위해 예측 가능한 실행 모델(PREM)과의 통합 가능성이 있다.

실험 결과

연구 질문

• RQ1 관찰 가능하고 비침습적인 사이드채널 모니터링만을 사용해 안전 중심 CPS에서 마이크로초 이내의 침입 탐지를 달성할 수 있는가?
• RQ2 운영체제와 제어 소프트웨어가 완전히 손상된 경우에도 물리적 시스템 안전성이 어떻게 보장될 수 있는가?
• RQ3 공격 패tern에 대한 사전 지식이 없이도 시간 기반 사이드채널 분석이 제로데이나 다형성 악성 소프트웨어를 어느 정도 탐지할 수 있는가?
• RQ4 응용 프로그램 코드 변경 없이도 스투크넷과 같은 고도로 발전한 위협에 대비한 내성적 저항력을 갖춘 시스템 수준 아키텍처를 설계할 수 있는가?
• RQ5 시스템 예측 가능성과 하드웨어에 의해 강제되는 신뢰가 탐지 정밀도와 고장 내성에 어떤 역할을 하는가?

주요 결과

• S3A는 6 μs 이내로 침입을 탐지하며, 0.6 μs의 시간 편차에 민감하게 반응하여 악성 수정에 대한 매우 빠른 대응이 가능하다.
• 운영체제가 손상되고 모든 전통적 보안 메커니즘이 우회된 경우에도 물리적 시설 손상을 방지하는 데 성공했다.
• 소스 코드나 바이너리에 대한 수정이 전혀 필요 없어, 기존 제어 시스템에 투명하고 쉽게 구현할 수 있다.
• 결정론적 실행 시간을 사이드채널로 활용함으로써, 프로그램 의미나 공격 서명에 대한 지식 없이도 악성 코드 탐지를 가능하게 한다.
• 신뢰할 수 있는 공처리장치와 시스템 싱글렉스의 통합은 오직 정확하고 검증된 행동만이 물리적 시스템에 영향을 줄 수 있도록 보장하여 강력한 고장 내성 확보에 기여한다.
• 미래의 사이드채널 확장, 예를 들어 명령어 수 모니터링은 특히 PREM과 같은 예측 가능한 실행 모델과 결합될 경우 탐지 정밀도를 더욱 향상시킬 수 있다.