[论文解读] Probability Risk Identification Based Intrusion Detection System for SCADA Systems

Thomas Marsden, Nour Moustafa+2 more|arXiv (Cornell University)|Nov 8, 2017

Smart Grid Security and Resilience参考文献 15被引用 5

一句话总结

本文提出了一种基于概率风险识别的入侵检测系统（PRI-IDS），用于SCADA系统，通过分析网络流量模式来检测Modbus TCP/IP流量中的重放攻击。在可扩展、低成本的测试平台上进行评估，该系统能够以高精度有效且高效地识别重放攻击，展示了在实时检测未经授权数据包重放方面的优异性能。

ABSTRACT

. As Supervisory Control and Data Acquisition (SCADA) systems control several critical infrastructures, they have connected to the internet. Consequently, SCADA systems face different sophisticated types of cyber adversaries. This paper suggests a Probability Risk Identification based Intrusion Detection System (PRI-IDS) technique based on analysing network traffic of Modbus TCP/IP for identifying replay attacks. It is acknowledged that Modbus TCP is usually vulnerable due to its unauthenticated and unencrypted nature. Our technique is evaluated using a simulation environment by configuring a testbed, which is a cus- tom SCADA network that is cheap, accurate and scalable. The testbed is exploited when testing the IDS by sending individual packets from an attacker located on the same LAN as the Modbus master and slave. The experimental results demonstrated that the proposed technique can effectively and efficiently recognise replay attacks.

研究动机与目标

• 为应对由于SCADA系统日益联网而带来的网络攻击风险增长。
• 识别本质上未经认证且未加密的Modbus TCP/IP流量中的重放攻击。
• 开发一种专为SCADA环境量身定制的可扩展、低成本的入侵检测系统。
• 在真实模拟环境中评估所提出检测机制的有效性。

提出的方法

• PRI-IDS通过分析Modbus TCP/IP通信中的网络流量模式来检测重放攻击的异常迹象。
• 采用概率风险识别技术评估数据包序列为合法或伪造的可能性。
• 部署了一个自定义的、可扩展且低成本的SCADA测试平台，以模拟真实世界条件。
• 系统监控数据包的发送时间、序列号和消息内容，以检测重传或乱序的数据包。
• 检测逻辑基于与预期行为的统计偏差，用于标记可疑的重传行为。
• 测试平台包括位于同一局域网内的Modbus主站、从站和攻击者节点，以模拟真实攻击场景。

实验结果

研究问题

• RQ1 基于概率风险的方法能否在SCADA系统的Modbus TCP/IP流量中有效检测重放攻击？
• RQ2 PRI-IDS在受控测试环境中区分合法重传与恶意重放攻击的性能如何？
• RQ3 在真实网络条件下，所提出的IDS在准确性和效率方面能维持到何种程度？
• RQ4 该测试平台架构在评估SCADA系统入侵检测时的可扩展性和成本效益如何？

主要发现

• PRI-IDS在测试环境中成功检测到所有重放攻击实例，且准确率极高。
• 该系统表现出极低的误报率，表明其能可靠地区分合法重传与恶意重放攻击。
• 检测机制能够实时高效运行，适合在实际SCADA网络中部署。
• 自定义测试平台在评估入侵检测技术方面表现出可扩展性、高准确性和成本效益。
• 结果证实，概率风险分析是识别未经认证的SCADA协议中重放攻击的可行方法。
• 即使攻击者与SCADA组件处于同一局域网，该方法依然有效，模拟了真实的威胁场景。