[논문 리뷰] Supervisor Synthesis to Thwart Cyber Attack with Bounded Sensor Reading Alterations

Rong Su|arXiv (Cornell University)|2016. 08. 14.

Petri Nets in System Modeling참고 문헌 12인용 수 6

한 줄 요약

이 논문은 이산적 사건 시스템 기반의 형식적 프레임워크를 사용하여, 유한한 한계 내에서 센서 독서 값을 변경하는 사이버 공격을 방어하기 위한 감독자 합성 방법을 제안한다. 공격 모델의 최대값(ABSRA)이 존재함을 증명하고, 공격을 탐지하거나 피해를 입히지 못하게 하는 ABSRA-내성 감독자를 합성하는 알고리즘을 제시함으로써, 부분 관측 조건 하에서도 시스템의 안전성을 보장한다.

ABSTRACT

One of the major challenges about cyber physical systems is how to prevent cyber attacks to ensure system integrity. There has been a large number of different types of attacks discussed in the modern control and computer science communities. In this paper we aim to investigate one special type of attacks in the discrete-event system framework, where an attacker can arbitrarily alter sensor readings after intercepting them from a target system in order to trick a given supervisor to issue control commands improperly, driving the system to an undesirable state. We first consider the cyber attack problem from an attacker point of view, and formulate an attack with bounded sensor reading alterations (ABSRA) problem. We then show that the supremal (or least restrictive) ABSRA exists and can be synthesized, as long as the plant model and the supervisor model are regular, i.e., representable by finite-state automata. Upon the synthesis of the supremal ABSRA, we present a synthesis algorithm, which ensures that a computed supervisor will be ABSRA-robust , i.e., either an ABSRA will be detectable or will not lead the system to an undesirable state.

연구 동기 및 목표

• 센서 독서 값을 조작하는 지능적이고 은밀한 데이터 위변조 공격으로부터 사이버-물리 시스템을 보호하는 데 도전 과제를 해결하기 위해.
• 공격자에 의한 유한 상태 전이기계로 표현되는 공격 유형인 유한한 센서 독서 값 변경 공격(ABSRA)을 형식화하여 은밀성과 피해 유발 성질을 유지한다.
• 모든 ABSRA 공격에 대해 내성적인 감독자를 생성하는 합성 알고리즘을 개발하여, 공격이 탐지되거나 바람직하지 않은 상태에 도달하지 못하도록 보장한다.
• ABSRA-내성 감독자를 존재시킬 수 있도록 보장하는 최소 보호 관측 알파벳을 결정하기 위해.

제안 방법

• 공격자의 행동을 관측 가능한 센서 독서 값에 대한 유한한 변화를 유지하는 유한 상태 전이기계로 모델링하여 은밀성과 제어 가능성의 특성을 유지한다.
• 최대 제약 조건을 만족하고 Supervisory Control Theory를 통해 계산 가능한 최소 제약 공격 모델인 최대 ABSRA를 정의한다.
• 구성 기반 접근법을 사용하여 식물, 공격자 모델 및 감독자를 곱하여 공격 하에서 나쁜 마커 상태에 도달 가능한지 검증한다.
• 내성성 조건을 활용하여 계산 가능성을 유지하면서도 내성적이고 정상적인 언어의 최대값을 계산하는 합성 절차를 적용한다.
• 최소 보호 관측 알파벳 선택 문제를 기술하고, 관측 가능한 이벤트의 부분집합에 대한 브루트 포스 열거를 통해 해결한다.
• 기존의 부분 관측 하에서 중심 집중 감독 제어 결과를 활용하여 공격 모델 및 감독자 합성의 결정 가능성과 계산 가능성을 보장한다.

실험 결과

연구 질문

• RQ1 이산적 사건 시스템에서 유한한 센서 독서 값 변경에 대해 최대 공격 모델을 구성할 수 있는가?
• RQ2 어떤 조건에서 모든 가능한 ABSRA 공격에 대해 내성적인 감독자를 합성할 수 있는가?
• RQ3 ABSRA-내성 감독자를 존재시킬 수 있도록 보장하는 최소 보호 관측 이벤트 집합을 결정하는 것이 가능한가?
• RQ4 실시간 공격 탐지에 의존하지 않고 감독자의 내성성을 어떻게 확보할 수 있는가?

주요 결과

• 식물과 감독자가 모두 유한하게 표현 가능할 경우(즉, 정규 언어일 경우), 최대 ABSRA가 존재하고 계산 가능하며, 이는 최소 제약 조건의 공격 모델을 보장한다.
• 모든 공격이 이상적인 시스템 행동으로 인해 탐지되거나 바람직하지 않은 상태로 이르지 못하도록 하는 ABSRA-내성 감독자를 합성할 수 있다.
• 단일 탱크 예제에서는 보호 관측 알파벳의 크기가 1(예: {h=H})이면 충분하여 ABSRA-내성 감독자의 존재를 보장할 수 있다.
• 최소 보호 관측 알파벳 문제는 결정 가능하며, 브루트 포스 열거를 통해 해결 가능하지만 관측 이벤트 집합의 크기에 대해 지수적 복잡도를 가진다.
• 제안된 방법은 실용적으로 가능하며, 관측 가능하고 제어 가능한 이벤트만 비활성화되어야 하는 정상성 조건이 실제 산업 제어 시스템에서 자연스럽게 충족되기 때문이다.