[論文レビュー] Synthesis of Successful Actuator Attackers on Supervisors

Liyong Lin, Sander Thuijsman+4 more|arXiv (Cornell University)|Jul 18, 2018

Security and Verification in Computing参考文献 12被引用数 13

ひとこと要約

本稿は、閉ループシステムを部分的に観測し、監視者コマンドを盗聴することで攻撃可能なイベントを操作できる離散イベントシステムにおけるアクチュエータ攻撃者について形式的モデルを提案する。攻撃可能性の概念を導入し、正常性仮定の下で最大成功攻撃者（supremal successful attacker）の存在を証明し、そのような攻撃者をモア・オートマトンとして合成するためのアルゴリズムを提示する。

ABSTRACT

In this work, we propose and develop a new discrete-event based actuator attack model on the closed-loop system formed by the plant and the supervisor. We assume the actuator attacker partially observes the execution of the closed-loop system and eavesdrops the control commands issued by the supervisor. The attacker can modify each control command on a specified subset of attackable events. The attack principle of the actuator attacker is to remain covert until it can establish a successful attack and lead the attacked closed-loop system into generating certain damaging strings. We present a characterization for the existence of a successful attacker, via a new notion of attackability, and prove the existence of the supremal successful actuator attacker, when both the supervisor and the attacker are normal (that is, unobservable events to the supervisor cannot be disabled by the supervisor and unobservable events to the attacker cannot be attacked by the attacker). Finally, we present an algorithm to synthesize the supremal successful attackers that are represented by Moore automata.

研究の動機と目的

• 攻撃者が閉ループシステムを部分的に観測し、監視者の制御命令を盗聴することで攻撃可能なイベントを操作できる新しいアクチュエータ攻撃モデルを形式化すること。
• 成功攻撃者が存在可能な条件を特定し、攻撃可能性（'attackability'）という概念を導入すること。
• 正常性仮定（すなわち、攻撃可能なイベントが攻撃者に観測可能である）の下で、最大成功攻撃者の存在を証明すること。
• 最大成功攻撃者をモア・オートマトンとして表現するアルゴリズムを開発すること。
• 今後の研究において、このようなアクチュエータ攻撃に対して耐性を持つ監視者を合成する基盤を構築すること。

提案手法

• 制御制約を伴う離散イベントシステムの形式的枠組みを用いて、プラント、監視者（監視機能を拡張済み）、攻撃者、および閉ループシステムをモデル化する。
• 攻撃者の観測モデルを定義する：システムの実行状態を部分的に観測し、監視者が発行する制御命令を盗聴する。
• 攻撃可能な状態に到達可能なシステムの振るまいを制御できる能力に基づき、成功攻撃者が存在可能な条件を特徴付けるための「攻撃可能性（attackability）」の概念を導入する。
• 正常性仮定（Σc,A ⊆ Σo,A）の下で、最大成功攻撃者が存在し、合成可能であることを確立する。
• 攻撃可能性の特徴付けに基づいて、最大成功攻撃者を表すモア・オートマトンを構築するアルゴリズムを開発する。
• 自然射影および言語に基づく推論を用いて、攻撃者が検出されずに損傷をもたらす振るまいへ誘導できることを検証する。

実験結果

リサーチクエスチョン

• RQ1 どのような条件下で、アクチュエータ攻撃者が閉ループシステムを操作し、損傷をもたらす文字列を生成できるか？
• RQ2 部分観測と盗聴が存在する状況下で、最大成功アクチュエータ攻撃者の存在が形式的にどのように特徴付けられるか？
• RQ3 攻撃可能性が、成功攻撃が可能かどうかを決定づける役割を果たすのはどのような点か？
• RQ4 攻撃者がすべての攻撃可能なイベントを観測できる状況で、最大成功攻撃者がどのようにアルゴリズム的に合成可能か？
• RQ5 正常性仮定（Σc,A ⊆ Σo,A）を仮定した場合、成功攻撃者の存在と合成にどのような影響を与えるか？

主な発見

• 成功アクチュエータ攻撃者が存在するための必要十分条件は、システムが攻撃可能であること（新しい攻撃可能性の概念によって形式的に特徴付けられる）である。
• 正常性仮定（Σc,A ⊆ Σo,A）の下では、最大成功攻撃者が存在し、一意に定義される。
• 提案されたアルゴリズムを用いて、最大成功攻撃者はモア・オートマトンとして合成可能であり、これはシステムの言語と制御制約に基づいて構築される。
• 攻撃者は制御命令を盗聴することで観測を精緻化し、攻撃可能なイベントを戦略的に有効化または無効化することで攻撃目標を達成できる。
• 閉ループシステムが損傷言語 Ldmg に属する文字列を生成できる場合、部分観測下でも攻撃は成功とみなされる。
• 本フレームワークは、単にイベントを有効化するのみの受動的攻撃者をモデル化できるだけでなく、将来的な研究における能動的攻撃者（有効化されたイベントを無効化することで成功確率を向上させる）の研究の道を開く。