[论文解读] Application of Correlation Indices on Intrusion Detection Systems: Protecting the Power Grid Against Coordinated Attacks

Christian Moya, Junho Hong+1 more|arXiv (Cornell University)|Jun 9, 2018

Smart Grid Security and Resilience参考文献 23被引用 5

一句话总结

本文提出了一种用于电力系统入侵检测的语义分析框架，采用相关性索引生成器（CIG）和相关性知识库（CKB），以低误报率和低漏报率检测监控-控制攻击（MCA）。通过索引相关攻击并利用上下文电网数据，该框架实现了高检测准确率和低运行时开销，在协同攻击场景下显著降低了漏报率。

ABSTRACT

The future power grid will be characterized by the pervasive use of heterogeneous and non-proprietary information and communication technology, which exposes the power grid to a broad scope of cyber-attacks. In particular, Monitoring-Control Attacks (MCA) --i.e., attacks in which adversaries manipulate control decisions by fabricating measurement signals in the feedback loop-- are highly threatening. This is because, MCAs are (i) more likely to happen with greater attack surface and lower cost, (ii) difficult to detect by hiding in measurement signals, and (iii) capable of inflicting severe consequences by coordinating attack resources. To defend against MCAs, we have developed a semantic analysis framework for Intrusion Detection Systems (IDS) in power grids. The framework consists of two parts running in parallel: a Correlation Index Generator (CIG), which indexes correlated MCAs, and a Correlation Knowledge-Base~(CKB), which is updated aperiodically with attacks' Correlation Indices (CI). The framework has the advantage of detecting MCAs and estimating attack consequences with promising runtime and detection accuracy. To evaluate the performance of the framework, we computed its false alarm rates under different attack scenarios.

研究动机与目标

• 为解决传统入侵检测系统（IDS）难以检测隐蔽的、测量信号隐藏型的协同监控-控制攻击（MCAs）的挑战。
• 降低电力系统入侵检测系统（IDS）中的误报率，因为误报可能干扰关键物理操作。
• 通过避免计算密集型仿真或长时间历史数据处理，最小化实时信息物理系统中的检测延迟。
• 设计一种可扩展、轻量级的IDS框架，在多种攻击场景下保持高检测准确率。
• 通过语义分析关联多个电网组件的攻击行为，实现MCA威胁的早期检测。

提出的方法

• 该框架使用相关性索引生成器（CIG）分析并索引控制和测量信号中的相关恶意行为。
• 相关性知识库（CKB）以非周期性方式更新，基于CIG生成的相关性索引（CIs），实现快速运行时扫描。
• CIG通过分析最小基数的攻击集合，识别出强相关联的MCA模式，确保协同威胁的检测。
• 系统采用混合检测策略：CKB对已知攻击模式进行快速扫描，而CIG则作为未知或新型攻击的后备检测机制。
• 该框架将上下文电网信息（如潮流偏差和网络拓扑）整合到检测逻辑中，以提高检测准确率。
• 基于仿真的评估框架在不同攻击率和目标集合下计算误报率（FPR）和漏报率（FNR），使用伯努利分布的攻击和报警事件来建模现实世界的不确定性。

实验结果

研究问题

• RQ1 如何在电力系统中有效检测隐藏在正常测量信号中的协同监控-控制攻击（MCAs）？
• RQ2 攻击面大小和目标选择对信息物理电力系统中IDS的误报率和漏报率有何影响？
• RQ3 能否设计一种轻量级、低延迟的IDS，避免长时间仿真或持续的历史数据审计，同时保持高检测准确率？
• RQ4 在实时电力系统环境中，使用相关性索引相比传统IDS方法如何提升检测性能？
• RQ5 在调整CKB中关键电网目标的数量和位置时，检测准确率、误报率和计算开销之间存在何种权衡？

主要发现

• 所提出的CKB/CIG框架在仅监控一条关键线路时，误报率（FPR）低至0.0190，表明威胁检测具有高精度。
• 随着关键线路数量的减少，威胁的漏报率（FNRt）显著降低，从0.1806降至0.0190，表明上下文信息能有效提升检测性能。
• 随着关键线路集合（L）的基数减小，平均FPRt从0.1806降至0.0190，表明在目标更少时系统鲁棒性更强。
• 该框架通过避免实时仿真或持续数据挖掘，降低了检测延迟，从而在时间关键的电力系统操作中实现更快响应。
• CIG在未知攻击情况下作为可靠的后备检测机制，而经过适当调优的CKB则能实现低误报率的快速扫描。
• 该框架对攻击目标选择表现出高度敏感性——当关键目标基于风险评估被精心挑选时，可实现最佳性能。