[论文解读] A Public Network Trace of a Control and Automation System

Gorby Kabasele Ndonda, Ramin Sadre|arXiv (Cornell University)|Aug 6, 2019

Network Security and Intrusion Detection参考文献 9被引用 4

一句话总结

本论文首次公开发布了一所大学校园内真实楼宇管理系统（BMS）暖通空调（HVAC）基础设施的网络追踪数据，捕获了现场设备、控制服务器和人机界面（HMI）的良性数据包头部信息。该数据集使研究人员能够在真实条件下评估基于流量的入侵检测系统，提供了关于稳定、长期连接以及昼夜流量模式的洞察，同时出于隐私考虑未暴露数据载荷。

ABSTRACT

The increasing number of attacks against automation systems such as SCADA and their network infrastructure have demonstrated that there is a need to secure those systems. Unfortunately, directly applying existing ICT security mechanisms to automation systems is hard due to constraints of the latter, such as availability requirements or limitations of the hardware. Thus, the solution privileged by researchers is the use of network-based intrusion detection systems (N-IDS). One of the issue that many researchers encounter is how to validate and evaluate their N-IDS. Having access to a real and large automation systems for experimentation is almost impossible as companies are not inclined to give access to their systems due to obvious concerns. The few public traffic datasets that could be used for off-line experiments are either synthetic or collected at small testbeds. In this paper, we will describe and characterize a public traffic dataset collected at the HVAC management system of a university campus. Although the dataset contains only packet headers, we believe that it can help researchers, in particular designers of flow-based IDS, to validate their solutions under more realistic conditions. The traces can be found on https://github.com/gkabasele/HVAC_Traces.

研究动机与目标

• 解决工业控制系统网络安全研究中缺乏公开可用的真实网络追踪数据的问题。
• 提供一个真实数据集，用于在无需访问专有或实时系统的情况下验证和评估基于流量的网络入侵检测系统（N-IDS）。
• 通过提供生产环境中BMS的真实流量特征，支持准确的合成流量模型和测试平台配置的开发。
• 使研究人员能够研究自动化系统中的良性流量模式，包括昼夜节律和流量稳定性。
• 通过提供公开、可访问的数据集并附带详细的采集方法和系统上下文文档，支持实验的可复现性。

提出的方法

• 通过在两个网关处部署网络监控，捕获了大学校园内真实HVAC管理系统中的网络数据包头部。
• 在连续时间段内收集数据，重点关注控制服务器、HMI与现场设备（PLC/RTU）之间的通信。
• 从数据包头部提取了流量级别特征，如数据包数量、字节大小、流量持续时间及连接模式。
• 在不同时间尺度（每小时、昼夜）和不同网关之间分析流量行为，以识别稳定性与异常情况。
• 通过排除载荷数据保护隐私，同时保留时间戳、大小和流量元数据，以支持流量建模与异常检测。
• 通过GitHub公开发布数据集，以支持入侵检测系统研究中的可复现性与社区复用。

实验结果

研究问题

• RQ1 真实工业BMS HVAC系统的关键流量特征是什么，特别是在流量稳定性和昼夜模式方面？
• RQ2 与传统IT网络相比，真实工业控制系统网络在多大程度上表现出可预测的、长期存在的连接？
• RQ3 如何通过公开的真实BMS追踪提升合成流量生成和N-IDS评估的现实性与有效性？
• RQ4 在稳定的BMS环境中，会出现哪些异常或不规则的流量模式，它们可能如何影响入侵检测系统？
• RQ5 当与合成攻击流量结合时，能否将真实BMS系统的公开追踪用作基于流量的IDS研究的可靠基准？

主要发现

• 该数据集在24小时内捕获了约150万个唯一流量，其中大多数流量持续时间与追踪总时长相匹配，表明具有高度的流量稳定性。
• 流量表现出明显的昼夜节律，白天活动高峰与教室预约和系统更新等人为活动相对应。
• 每小时新增流量数量基本保持稳定（低于500个），仅在DCE/RPC端口变更和软件更新期间出现短暂峰值。
• 网关X产生的流量显著多于网关Y，网关Y处观察到超过200万个空ACK数据包，表明存在非对称通信模式。
• 该数据集仅包含良性流量，无恶意载荷或攻击事件，适用于异常检测模型的训练与测试。
• 尽管整体稳定，系统仍表现出瞬态异常，如流量创建和数据包量的突然激增，可能对N-IDS的误报率构成挑战。