[論文レビュー] A System-level Behavioral Detection Framework for Compromised CPS Devices: Smart-Grid Case

Leonardo Babun, Hidayet Aksu+1 more|arXiv (Cornell University)|Dec 2, 2019

Smart Grid Security and Resilience参考文献 47被引用数 11

ひとこと要約

本稿では、スマートグリッドにおける標的のサイバー物理システム（CPS）を対象に、システムおよび関数呼び出しのトレースを組み合わせた信号処理と統計的分析を用いた、軽量でシステムレベルの行動検出フレームワークを提案する。実際の変電所テストベッドで評価した結果、6つの攻撃シナリオにおいて95–99％の検出精度を達成し、計算オーバーヘッドは最小限に抑えられた。

ABSTRACT

Cyber-Physical Systems (CPS) play a significant role in our critical infrastructure networks from power-distribution to utility networks. The emerging smart-grid concept is a compelling critical CPS infrastructure that relies on two-way communications between smart devices to increase efficiency, enhance reliability, and reduce costs. However, compromised devices in the smart grid poses several security challenges. Consequences of propagating fake data or stealing sensitive smart grid information via compromised devices are costly. Hence, early behavioral detection of compromised devices is critical for protecting the smart grid's components and data. To address these concerns, in this paper, we introduce a novel and configurable system-level framework to identify compromised smart grid devices. The framework combines system and function call tracing techniques with signal processing and statistical analysis to detect compromised devices based on their behavioral characteristics. We measure the efficacy of our framework with a realistic smart grid substation testbed that includes both resource-limited and resource-rich devices. In total, using our framework, we analyze six different types of compromised device scenarios with different resources and attack payloads. To the best of our knowledge, the proposed framework is the first in detecting compromised CPS smart grid devices with system and function-level call tracing techniques. The experimental results reveal an excellent rate for the detection of compromised devices. Specifically, performance metrics include accuracy values between 95% and 99% for the different attack scenarios. Finally, the performance analysis demonstrates that the use of the proposed framework has minimal overhead on the smart grid devices' computing resources.

研究の動機と目的

• スマートグリッドにおける標的のサイバー物理システム（CPS）の早期検出の重要性に対応し、データ整合性の損ないや運用の混乱を防ぐ。
• ネットワークトラフィック監視や入力ベースのテストに依存する従来の検出手法の限界を克服し、高いシステムオーバーヘッドとリアルタイムでの適応性の欠如を解消する。
• 供給チェーンテストと多様なスマートグリッド環境（リソース制限あり・豊富なデバイスを含む）でのリアルタイム運用に適した、設定可能な軽量フレームワークを開発する。
• マルウェアの注入や設定変更などのさまざまな攻撃タイプを、行動の異常を用いて、異なるデバイスタイプで検出可能にする。
• オープンソースで拡張可能であり、低レベルのシステム動作を活用することで、強固な改ざん検出を実現する、既存のスマートグリッドセキュリティメカニズムの補完的ソリューションを提供する。

提案手法

• スマートグリッド機器の低レベルのシステム動作を監視するため、ptraceによるシステムコールトレースと、ライブラリインタポジションによる関数コールトレースを採用する。
• IEC61850準拠の現実的な変電所テストベッドで、通常動作時および改ざん時におけるシステムおよび関数コールシーケンスを収集する。
• 原始的なコールシーケンスを時系列信号に変換するための信号処理技術を適用し、行動パターンの分析を可能にする。
• 基本的および高度な統計的手法を用いて、正常動作をモデル化し、改ざんを示す乖離を検出する。
• モジュラーなパrameterizationにより、異なるデバイスタイプ（例：RTU、PLC、PMU）および攻撃シナリオに適応可能なフレームワークを構成する。
• 外部プローブや継続的なネットワーク監視を必要とせず、リアルタイムのCPS運用に統合可能であり、システムオーバーヘッドを最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 実際の運用条件下において、システムコールおよび関数コールトレースは、改ざんされたスマートグリッド機器の行動の異常を効果的に検出できるか？
• RQ2 計算リソースに差がある（例：RTUとPMU）さまざまなデバイスタイプおよび攻撃ペイロードに対して、このフレームワークはどのように性能を発揮するか？
• RQ3 スマートグリッド機器に対して最小限のランタイムオーバーヘッドを伴いながら、高い検出精度を維持できるか？
• RQ4 このフレームワークは、供給チェーンの検証と現地でのリアルタイム監視の両方をサポートできるように設定可能か？
• RQ5 システムコールトレースと統計的分析の組み合わせは、ゼロデイ攻撃やステルス攻撃を検出するうえで、従来のネットワークベースやシグネチャベースの検出法をどのように上回るか？

主な発見

• 6つの異なる攻撃シナリオ（さまざまなタイプの改ざん済みデバイスと攻撃ペイロードを含む）において、フレームワークは95％から99％の検出精度を達成した。
• リソース制限あり（例：RTU、PLC）およびリソース豊富（例：PMU）の両方のデバイスで、優れた性能を示し、多様なスマートグリッドコンponentsへの適応性を確認した。
• パフォーマンス分析により、ターゲットデバイスにおける計算オーバーヘッドが最小限であることが確認され、運用環境でのリアルタイム展開に適していることが示された。
• ptraceおよびライブラリインタポジションの使用により、カーネルの変更や侵入的なインストルメンテーションを必要とせず、細かく制御されたシステムおよび関数コールの監視が可能になった。
• コールシーケンスの統計的分析により、マルウェアや不正な設定変更によって引き起こされる微細な行動の乖離を、低リソースデバイスでさえも効果的に同定できた。
• フレームワークの設定可能特性により、導入前の供給チェーンテストおよび継続的な運用監視の両方への展開が可能となり、実世界のスマートグリッドセキュリティにおける実用的価値が向上した。