[論文レビュー] S3A: Secure System Simplex Architecture for Enhanced Security of Cyber-Physical Systems

Sibin Mohan, Stanley Bak+4 more|arXiv (Cornell University)|Feb 26, 2012

Real-Time Systems Scheduling参考文献 22被引用数 23

ひとこと要約

S3Aは、サイバー物理システムにおけるシステムレベルのセキュリティアーキテクチャを提案する。このアーキテクチャは、実行タイミングの決定的特性を善い側帯として用い、OSが侵害された場合でも0.6 μs以内に侵入を検出可能である。信頼できるコプロセッサ、システム単純化、実行時タイミング解析を組み合わせることで、ソースコードの変更なしに物理的プラントの安全性を保証し、マイクロ秒未塔の侵入検出と、Stuxnetのような高度な脅威に対するレジリエンスを実現する。

ABSTRACT

Until recently, cyber-physical systems, especially those with safety-critical properties that manage critical infrastructure (e.g. power generation plants, water treatment facilities, etc.) were considered to be invulnerable against software security breaches. The recently discovered 'W32.Stuxnet' worm has drastically changed this perception by demonstrating that such systems are susceptible to external attacks. Here we present an architecture that enhances the security of safety-critical cyber-physical systems despite the presence of such malware. Our architecture uses the property that control systems have deterministic execution behavior, to detect an intrusion within 0.6 μs while still guaranteeing the safety of the plant. We also show that even if an attack is successful, the overall state of the physical system will still remain safe. Even if the operating system's administrative privileges have been compromised, our architecture will still be able to protect the physical system from coming to harm.

研究の動機と目的

• Stuxnetのような高度なマルウェアが従来のセキュリティ仮定を回避するという、安全で重要なサイバー物理システム（CPS）の脆弱性が増大するのを是正する。
• OS や制御ソフトウェアが完全に侵害された場合でも、物理的プラントの安全性を維持するシステムアーキテクチャを開発する。
• プログラムの意味論や設定変更を必要とせず、システムの固有で観察可能な性質（特に決定的実行時間）を用いて侵入を検出する。
• アクセス制御や逆アセンブル攻撃を回避する攻撃に対しても、システム全体のタイミング予測可能性に依存することで、耐性を高める。
• 信頼できるハードウェアとシステム単純化メカニズムを統合し、他のすべてのセキュリティ層が回避された場合でもフェイルセーフ保護を提供する。

提案手法

• S3Aアーキテクチャは、信頼できるハードウェアコプロセッサ（例：FPGAベースまたはIBM 4758スタイル）を用い、メイン制御プロセッサの実行動作を監視・検証する。
• 決定的実行時間を主な側帯として用い、実行時間のばらつきを測定することで、悪意あるコードの挿入や改ざんによって生じる異常を検出する。
• システム単純化モデルを活用し、メインシステムが侵害された場合でも、正しく検証済みの制御動作のみが物理プラントに影響を与えることを保証する。
• 侵入検出は、実際の実行時間と事前に検証済みのタイミングプロファイルを比較することで実施され、0.6 μs未塔の偏差は潜在的な攻撃としてマークされる。
• このアプローチは、ソースコードやバイナリの変更を一切不要とし、観察可能な実行時動作とハードウェアで強制される信頼境界にのみ依存する。
• 今後の拡張では、命令数やメモリアクセスパターンなどの追加側帯を監視する可能性があり、予測可能な実行モデル（例：PREM）との統合によってジャイタの低減が期待される。

実験結果

リサーチクエスチョン

• RQ1 観察可能で非侵襲的な側帯監視のみを用いて、安全で重要なCPSでマイクロ秒未塔の侵入検出が達成可能か？
• RQ2 OS や制御ソフトウェアが完全に侵害された場合でも、物理的システムの安全性をどのように保証できるか？
• RQ3 攻撃パターンの事前知識がなくても、タイミングベースの側帯分析がゼロデイまたは多様化マルウェアをどの程度検出可能か？
• RQ4 アプリケーションコードの変更なしに、Stuxnetのような高度な脅威に対してレジリエントなシステムレベルアーキテクチャを設計可能か？
• RQ5 システムの予測可能性とハードウェアで強制される信頼性が、検出精度と故障耐性をどのように向上させるか？

主な発見

• S3Aは6 μs未塔で侵入を検出でき、0.6 μsの時間偏差に対しても感度を示し、悪意ある改ざんへの極めて迅速な対応が可能である。
• OSが侵害され、すべての従来のセキュリティメカニズムが回避された場合でも、物理的プラントへの損傷を効果的に防止できた。
• ソースコードやバイナリの変更が一切不要であり、既存の制御システムへの透明かつ容易な導入が可能である。
• 決定的実行時間を側帯として用いることで、プログラムの意味論や攻撃シグネチャの知識なしに悪意あるコードを検出可能である。
• 信頼できるコプロセッサとシステム単純化の統合により、物理システムに影響を与えるのは正しく検証済みの動作のみとなり、強力な故障耐性が実現された。
• 今後の側帯拡張（例：命令数監視）は、予測可能な実行モデル（例：PREM）と組み合わせることで、検出精度をさらに向上させうる。