[논문 리뷰] Synthesis of Successful Actuator Attackers on Supervisors

Liyong Lin, Sander Thuijsman외 4명|arXiv (Cornell University)|2018. 07. 18.

Security and Verification in Computing참고 문헌 12인용 수 13

한 줄 요약

이 논문은 이산사슬 시스템에서 부분적으로 폐루프 시스템을 관찰하고 감청하여 공격 가능한 이벤트를 조작할 수 있는 액추에이터 공격자에 대한 형식 모델을 제안한다. 공격 가능성의 개념을 도입하고, 정상성 조건 하에서 최대 성공 공격자 존재성을 증명하며, 일반성 조건 하에서 몰 애너모타 기반으로 이러한 공격자를 합성하는 알고리즘을 제공한다.

ABSTRACT

In this work, we propose and develop a new discrete-event based actuator attack model on the closed-loop system formed by the plant and the supervisor. We assume the actuator attacker partially observes the execution of the closed-loop system and eavesdrops the control commands issued by the supervisor. The attacker can modify each control command on a specified subset of attackable events. The attack principle of the actuator attacker is to remain covert until it can establish a successful attack and lead the attacked closed-loop system into generating certain damaging strings. We present a characterization for the existence of a successful attacker, via a new notion of attackability, and prove the existence of the supremal successful actuator attacker, when both the supervisor and the attacker are normal (that is, unobservable events to the supervisor cannot be disabled by the supervisor and unobservable events to the attacker cannot be attacked by the attacker). Finally, we present an algorithm to synthesize the supremal successful attackers that are represented by Moore automata.

연구 동기 및 목표

• 공격자가 부분적으로 폐루프 시스템을 관찰하고 감독자의 제어 명령을 감청할 수 있는 새로운 액추에이터 공격 모델을 형식화한다.
• 성공적 액추에이터 공격자가 존재할 수 있는 조건을 규명하고, '공격 가능성'이라는 개념을 도입한다.
• 정상성 가정(즉, 공격 가능한 이벤트가 공격자에게 관측 가능함) 하에서 최대 성공 공격자의 존재성을 증명한다.
• 최대 성공 액추에이터 공격자를 몰 애너모타로 표현한 채로 합성하는 알고리즘을 개발한다.
• 향후 연구를 위해 이러한 액추에이터 공격에 대비한 내성적인 감독자를 합성하는 기반을 마련한다.

제안 방법

• 제어 제약 조건을 갖는 이산사슬 시스템 형식론을 사용하여 플랜트, 감독자(모니터링 기능을 통합한), 공격자, 폐루프 시스템을 모델링한다.
• 공격자의 관측 모델을 정의한다: 시스템 실행의 부분 관찰 및 감독자가 내보내는 제어 명령 감청.
• 공격 가능성을 도입하여, 시스템을 손상 유발 문자열 쪽으로 유도할 수 있는 능력에 기반해 성공적 공격자의 존재 조건을 규명한다.
• 정상성 가정(Σc,A ⊆ Σo,A) 하에서 최대 성공 공격자가 존재하고 합성 가능하다는 것을 증명한다.
• 공격 가능성 특성화를 바탕으로 최대 성공 공격자를 나타내는 몰 애너모타를 구성하는 합성 알고리즘을 개발한다.
• 자연적 프로젝션과 언어 기반 추론을 활용하여, 공격자가 탐지되지 않고 시스템을 손상 유발 행동으로 유도할 수 있음을 검증한다.

실험 결과

연구 질문

• RQ1 어떤 조건에서 액추에이터 공격자가 폐루프 시스템을 부분 관찰하고 감청함으로써 손상 유발 문자열을 생성하도록 성공적으로 조작할 수 있는가?
• RQ2 부분 관찰과 감청이 존재하는 상황에서 최대 성공 액추에이터 공격자의 존재성이 어떻게 형식적으로 규명될 수 있는가?
• RQ3 공격 가능성은 성공적 공격이 가능한지 여부를 판단하는 데 어떤 역할을 하는가?
• RQ4 공격자가 모든 공격 가능한 이벤트를 관측할 경우 최대 성공 공격자를 알고리즘적으로 어떻게 합성할 수 있는가?
• RQ5 정상성 가정(Σc,A ⊆ Σo,A)은 성공 공격자의 존재성과 합성에 어떤 영향을 미치는가?

주요 결과

• 성공적 액추에이터 공격자가 존재하는 것은 유일하게 시스템이 공격 가능할 때이다. 이는 새로운 공격 가능성 개념에 의해 형식적으로 규명된다.
• 정상성 가정(Σc,A ⊆ Σo,A) 하에서 최대 성공 액추에이터 공격자가 존재하며 유일하게 정의된다.
• 제안된 알고리즘을 통해 최대 성공 액추에이터 공격자를 몰 애너모타로 합성할 수 있으며, 이는 시스템의 언어와 제어 제약 조건에 기반한다.
• 공격자는 제어 명령을 감청하여 관측을 정밀화하고, 공격 가능한 이벤트를 전략적으로 활성화하거나 비활성화함으로써 공격 목표를 달성할 수 있다.
• 폐루프 시스템이 손상 유발 언어 Ldmg에 속하는 문자열을 생성할 수 있다면, 부분 관찰 조건 하에서도 공격은 성공으로 간주된다.
• 이 프레임워크는 수동 공격자(단지 이벤트를 활성화하는 자)를 모델링할 수 있으며, 향후 연구를 위한 활동적 공격자(활성화된 이벤트를 비활성화하여 성공 확률을 높이는 자) 모델링의 길을 열어 놓는다.