[论文解读] Highly Scalable and Flexible Model for Effective Aggregation of Context-based Data in Generic IIoT Scenarios

Simon D. Duque Antón, Daniel Fraunholz+3 more|arXiv (Cornell University)|May 28, 2019

Network Security and Intrusion Detection被引用 8

一句话总结

本文提出了一种三级、以事件为中心的模型，用于在工业物联网（IIoT）环境中可扩展且灵活地聚合异构的上下文相关数据。通过将所有系统信息视为离散事件，该模型将低层级的网络数据包和日志与更高级别的抽象（如网络流和系统级行为）相关联，从而在多个IIoT用例中有效检测异常和安全威胁。

ABSTRACT

Interconnectivity of production machines is a key feature of the Industrial Internet of Things (IIoT). This feature allows for many advantages in producing. Configuration and maintenance gets easier, as access to the given production unit is not necessarily coupled to physical presence. Customized production of goods is easily possible, reducing production times and increasing throughput. There are, however, also dangers to the increasing talkativeness of industrial production machines. The more open a system is, the more points of entry for an attacker exist. Furthermore, the amount of data a production site also increases rapidly due to the integrated intelligence and interconnectivity. To keep track of this data in order to detect attacks and errors in the production site, it is necessary to smartly aggregate and evaluate the data. In this paper, we present a new approach for collecting, aggregating and analysing data from different sources and on three different levels of abstraction. Our model is event-centric, considering every occurrence of information inside the system as an event. In the lowest level of abstraction, singular packets are collected, correlated with log-entries and analysed. On the highest level of abstraction, networks are pictured as a connectivity graph, enriched with information about host-based activities. Furthermore, we describe our work in progress of evaluating our aggregation model on two different system settings. In the first scenario, we verify the usability of our model in a remote maintenance application. In the second scenario, we evaluate our model in the context of network sniffing and correlation with log-files. First results show that our model is a promising solution to cope with increasing amounts of data and to correlate information from different types of sources.

研究动机与目标

• 解决在互联IIoT系统中快速增长的异构数据管理挑战。
• 实现来自不同来源（如PLC、网络流量和维护系统）的数据的上下文感知相关性分析。
• 支持关键的IIoT用例，包括远程维护、入侵检测和异常检测。
• 提供一个灵活且可扩展的框架，支持多种抽象层级以实现可扩展的数据处理。
• 通过跨源事件关联检测不一致性和恶意行为，提升系统弹性。

提出的方法

• 将所有系统信息建模为离散的、按时间排序的事件，以在IIoT环境中支持复杂事件处理（CEP）。
• 实施三级抽象：第1级（原始数据）收集单个数据包、日志和配置变更；第2级抽象为网络流和历史设置；第3级关联多个机器或系统间的数据。
• 在评估设置中使用开源工具（Elasticsearch、Logstash、Packetbeat、Kibana）进行数据收集、存储和可视化。
• 应用事件关联技术以检测不一致性——例如，未对应日志条目的维护工单或意外的配置变更。
• 整合来自多个来源的数据：网络流量、主机日志、工单系统（OTRS）和配置设置。
• 设计该模型以支持可扩展性，未来可集成机器学习以实现自动异常检测。

实验结果

研究问题

• RQ1 如何在可扩展的前提下，有效聚合和关联来自异构IIoT源（网络、日志、配置、工单）的异构数据？
• RQ2 多级事件驱动模型在多大程度上能够提升对工业系统中异常行为和恶意行为的检测能力？
• RQ3 所提出的模型能否支持实际的IIoT用例，如远程维护和网络流量与系统日志的相关性分析？
• RQ4 在三个粒度层级上的抽象如何在不牺牲事件级保真度的前提下增强态势感知能力？
• RQ5 在真实IIoT环境中部署此类模型的实际挑战是什么？这些挑战又该如何缓解？

主要发现

• 该模型成功将低层级的网络数据包和主机日志与高层级系统行为相关联，实现了对不一致性（如未对应日志条目的维护工单）的检测。
• 在远程维护用例中，该模型通过对比维护前后的设置和流量模式，识别出潜在的配置错误。
• 在PLC日志与流量关联的场景中，该模型检测到未记录的可疑配置变更，表明可能存在欺骗或未授权访问。
• 对第2级和第3级的抽象使系统能够识别出行为模式异常的设备或系统，如高错误率或异常频繁的配置变更。
• 该模型在使用标准开源工具的真实测试环境中展示了可行性，表明其在工业监控中的实际适用性。
• 初步结果证实，该模型是管理IIoT中大数据的有前景解决方案，能够通过上下文感知的跨源关联实现安全和维护目的。