[논문 리뷰] Security Metrics of Networked Control Systems under Sensor Attacks (extended preprint)

Carlos Murguia, Iman Shames외 2명|arXiv (Cornell University)|2018. 09. 06.

Smart Grid Security and Resilience참고 문헌 34인용 수 10

한 줄 요약

이 논문은 네트워크 제어 시스템(NCS)에서 감지되지 않는 센서 공격의 영향을 정량화하기 위해 타원체 외부 근사값(체적 기반)과 임계 상태까지의 최소 거리라는 두 가지 보안 지표를 제안한다. 선형 행렬 부등식(LMI)을 분석 도구로, 정수형 프로그래밍(SDP)을 설계 도구로 사용하여, 공격이 발생하지 않은 상태에서도 성능을 유지하면서 공격 영향을 최소화할 수 있도록 제어기와 모니터를 재설계할 수 있도록 한다. 공격자의 목표 센서가 불확실한 상황에서 최적의 선택을 위한 게임 이론적 전략과 센서 보호 전략도 제시한다.

ABSTRACT

As more attention is paid to security in the context of control systems and as attacks occur to real control systems throughout the world, it has become clear that some of the most nefarious attacks are those that evade detection. The term stealthy has come to encompass a variety of techniques that attackers can employ to avoid being detected. In this manuscript, for a class of perturbed linear time-invariant systems, we propose two security metrics to quantify the potential impact that stealthy attacks could have on the system dynamics by tampering with sensor measurements. We provide analysis mathematical tools (in terms of linear matrix inequalities) to quantify these metrics for given system dynamics, control structure, system monitor, and set of sensors being attacked. Then, we provide synthesis tools (in terms of semidefinite programs) to redesign controllers and monitors such that the impact of stealthy attacks is minimized and the required attack-free system performance is guaranteed.

연구 동기 및 목표

• 표준 장故 감지기로 감지되지 않는 스텔스 공격이 네트워크 제어 시스템(NCS)에 미치는 잠재적 영향을 정량화하는 것.
• 스텔스 조건 하에서 공격자가 도달할 수 있는 상태 집합의 타원체 외부 근사값을 계산하기 위해 선형 행렬 부등식(LMI)을 사용한 수학적 도구를 개발하는 것.
• 두 가지 보안 지표를 도입: 공격자의 도달 가능한 상태 집합 근사값의 체적과 임계 시스템 상태 집합까지의 최소 거리.
• 정수형 프로그래밍(SDP)을 통한 설계 도구를 제공하여, 공격이 발생하지 않은 성능을 유지하면서도 공격 영향을 최소화할 수 있도록 동적 출력 피드백 제어기와 관측기 기반 장故 감지기를 재설계하는 것.
• 공격자의 목표 센서가 알려지지 않은 상황에서 최적의 제어기/모니터 선택을 위한 체계적 설계 전략—센서 보호 배치 및 게임 이론적 선택—을 제공하는 것.

제안 방법

• 스텔스 공격자가 장故 감지기로 감지되지 않도록 하기 위해 센서 측정치를 조작하는 방식으로 도달 가능한 상태 집합의 타원체 외부 근사값을 계산하기 위해 선형 행렬 부등식(LMI)을 사용한다.
• 두 가지 보안 지표를 정의: 타원체 근사값의 체적(공격 영향을 정량화)과 이 집합에서 사전 정의된 임계 상태 집합까지의 최소 거리(시스템의 위협 수준 정량화).
• 정수형 프로그래밍(SDP)을 활용하여 동적 출력 피드백 제어기와 관측기 기반 장故 감지기를 재설계함으로써, 공격자가 도달할 수 있는 상태 집합을 최소화하면서도 공격이 발생하지 않은 상태에서의 원하는 성능을 유지한다.
• 비협력적 제로섬 행렬 게임 설정을 적용하여, 공격자가 센서를 최악의 경우로 선택할 때도 최적의 제어기/모니터 조합을 선택함으로써 기대 공격 영향을 최소화한다. 이는 게임 이론적 전략을 통해 실현된다.
• 보안 지표에 미치는 영향을 고려하여 보호할 센서를 우선순위 정렬하는 센서 보호 배치 기법을 도입한다.
• SDP 최적화 근사값에서 유도된 전략을 기반으로, 최악의 공격 영향 또는 기대 공격 영향을 최소화하는 최적의 제어기/모니터 조합을 계산하기 위한 게임 이론적 프레임워크를 적용한다.

실험 결과

연구 질문

• RQ1 스텔스 공격자가 센서 측정치를 조작함으로써 장故 감지기를 회피하면서 도달할 수 있는 시스템 상태의 최대 집합은 무엇인가?
• RQ2 LMI와 SDP와 같은 수학적 도구를 사용하여 공격자의 도달 가능한 상태 집합의 체적을 어떻게 정량화하고 최소화할 수 있는가?
• RQ3 공격자의 도달 가능한 상태 집합과 임계 시스템 상태 사이의 최소 거리는 무엇이며, 이를 통해 시스템의 회복력을 향상시키기 위해 어떻게 증가시킬 수 있는가?
• RQ4 스텔스 공격의 영향을 최소화하면서도 공격이 발생하지 않은 상태에서 요구되는 성능을 보장하기 위해 제어기와 장故 감지기를 어떻게 재설계할 수 있는가?
• RQ5 공격자의 목표 센서가 불확실하거나 적대적인 상황에서 최적의 제어기/모니터 조합을 선택하기 위한 체계적 설계 전략은 무엇이 있는가?

주요 결과

• 모든 세 개의 센서가 공격을 받는 조건에서 원래 제어기의 공격자 도달 가능한 상태 집합에 대한 타원체 외부 근사값의 체적은 4300.32였으며, 이는 SDP를 통한 최적의 제어기 재설계로 1394.31로 감소되었다.
• 모든 센서가 공격을 받는 조건에서 원래 제어기의 공격자 도달 가능한 상태 집합과 임계 상태 사이의 최소 거리는 -23.01이었으나, 최적의 제어기를 사용함으로써 -1.69로 개선되어 위험 상태에 도달할 위험도가 감소함을 나타낸다.
• 게임 이론적 접근을 통해 방어자의 보안 수준(최악의 경우 체적)은 컨트롤러/모니터 조합 κ_{1,2,3}을 선택함으로써 1538.31로 최소화되었으며, 이는 공격자가 어떤 센서를 선택하든 공격 영향이 유한하게 유지됨을 보장한다.
• 특정 공격 전략 확률 분포 하에서 컨트롤러/모니터 조합 κ_{1}을 선택함으로써 기대 공격 영향은 1135.43로 최소화되었으며, 이는 모든 다른 조합보다 뛰어난 성능을 보였다.
• 최적의 컨트롤러/모니터 조합 κ_{1}을 사용할 경우, 단지 센서 1만 공격을 받는 상황에서 공격자 도달 가능한 상태 집합의 체적은 116.94로 감소되었으며, 원래 제어기의 경우 150.72였던 것과 비교해 보다 우수한 성능을 보였다.
• 모든 공격 시나리오에 대해 합리적이고 최적의 제어기/모니터 설계를 성공적으로 도출한 설계 프레임워크는, 일부 조합(예: κ_{2,3}와 Γ_{1,2,3})에서만 SDP 문제의 비가비율이 발생함을 제외하고는 모든 경우에 대해 성공하였다.