[論文レビュー] Protecting Military Avionics Platforms from Attacks on MIL-STD-1553 Communication Bus

Orly Stan, Yuval Elovici+4 more|arXiv (Cornell University)|Jul 17, 2017

Network Security and Intrusion Detection参考文献 24被引用数 34

ひとこと要約

本論文は、MIL-STD-1553航空電子通信バス向けに、機械学習に基づく侵入検出システム（IDS）を提案する。三段階の異常検出アプローチを採用：RT認証（電気的信号プロファイルによる）、時系列的タイミング／順序分析、およびペイロードレベルの異常検出。本手法は、実世界のデータを用いて2〜5秒の短時間で訓練され、スプーフィング攻撃およびDoS攻撃を高い精度で検出できた。

ABSTRACT

MIL-STD-1553 is a military standard that defines the physical and logical layers, and a command/response time division multiplexing of a communication bus used in military and aerospace avionic platforms for more than 40 years. As a legacy platform, MIL-STD-1553 was designed for high level of fault tolerance while less attention was taken with regard to security. Recent studies already addressed the impact of successful cyber attacks on aerospace vehicles that are implementing MIL-STD-1553. In this study we present a security analysis of MIL-STD-1553. In addition, we present a method for anomaly detection in MIL-STD-1553 communication bus and its performance in the presence of several attack scenarios implemented in a testbed, as well as results on real system data. Moreover, we propose a general approach towards an intrusion detection system (IDS) for a MIL-STD-1553 communication bus.

研究の動機と目的

• 長年にわたり重要な軍事プラットフォームで使用されてきたが、ネイティブなセキュリティメカニズムを備えないレガシーなMIL-STD-1553通信バスに対する増大するサイバー脅威に対処すること。
• メッセージスプーフィング、サービス拒否、データ改ざんといったサイバー攻撃を可能にするMIL-STD-1553の脆弱性を特定すること。
• 既存のMIL-STD-1553インfra構造を変更しない非侵襲的で実用的なIDSソリューションを設計・評価すること。
• 実システムのデータ上でリアルタイムの異常検出を実現する機械学習の有効性を示すこと、かつ、低誤検出率を達成すること。
• エミュレーテッドな攻撃シナリオおよび運用プラットフォームから収集した実際のフライトデータを用いて、検出システムの妥当性を検証すること。

提案手法

• IDSは三段階の検出パイプラインを採用：RT認証（電気的信号フィンガープリントによる）、時系列に基づく異常検出（メッセージのタイミングと順序を用い）、およびペイロードレベルのデータ異常検出。
• RT認証は、送信コンponentの固有の電気的信号特徴（例：立ち上がり／立ち下がり時間、振幅）を用いてIDを検証し、不一致をスプーフィング試行とマークする。
• 時系列異常検出は、教師あり学習を用いて期待されるコマンド／リスポンスの順序とタイミングをモデル化し、乖離が生じた場合にアラートを発する。
• データ異常検出は、ペイロードからの一般特徴（例：編集距離、バイト分布）およびアプリケーション固有の特徴（例：GPSのずれ、速度・ヘディングの不一致）を抽出する。
• システムは正当なトラフィックトレースを用いて学習され、正常な行動の変化に適応するため、リアルタイムでモデルを更新する。
• 検出パイプラインは、スプーフィングおよびDoS攻撃をシミュレートするカスタムテストベッドを用いて評価され、実世界のMIL-STD-1553データログを用いて検証された。

実験結果

リサーチクエスチョン

• RQ1 機械学習ベースのIDSは、送信コンponentの電気的信号特性を分析することで、MIL-STD-1553バス上のスプーフィング攻撃を検出可能か？
• RQ2 時系列に基づく異常検出は、DoSまたは制御乗っ取りを示すタイミングおよび順序の乖離を効果的に特定できるか？
• RQ3 データレベルの異常検出は、タイミングおよびIDチェックを回避する悪意あるペイロード改ざんを特定できるか？
• RQ4 実運用システムの最小限の訓練データを用いて、短時間で低誤検出率を達成できるか？
• RQ5 提案されたIDSは、合成テストベッド環境および実世界のフライトデータの両方で、既知の攻撃パターンを検出できるか？

主な発見

• テストベッド環境において、本IDSはスプーフィングおよびDoS攻撃の両方で高い検出精度を達成し、すべてのシナリオで誤検出なしであった。
• システムは、正当なトラフィックをわずか2〜5秒のトレーニングで学習し、実システムデータにおいても極めて低い誤検出率を達成した。
• 電気的信号プロファイルは、正確なタイミングとコマンド構造を模倣しても、信頼性の高いRT認証を可能にし、スプーフィングメッセージを効果的に特定した。
• 時系列に基づく異常検出は、順序違いまたは不適切なタイミングのメッセージを効果的に特定し、制御乗っ取りやジャミング攻撃の兆候を示した。
• 特に、位置と速度の一貫性といったアプリケーション固有の特徴を用いたデータ異常検出モジュールは、悪意あるデータインジェクションを効果的に特定した。
• マルチレイヤー検出アプローチは、強固で適応性に富み、運用航空電子プラットフォームの実データログにおいても優れた性能を示した。