[论文解读] A System-level Behavioral Detection Framework for Compromised CPS Devices: Smart-Grid Case

Leonardo Babun, Hidayet Aksu+1 more|arXiv (Cornell University)|Dec 2, 2019

Smart Grid Security and Resilience参考文献 47被引用 11

一句话总结

本文提出了一种轻量级、面向系统的异常检测框架，用于检测智能电网中受损的网络物理系统（CPS），结合系统调用和函数调用追踪，辅以信号处理与统计分析。在真实的变电站测试平台上评估，该框架在六种攻击场景下实现了95–99%的检测准确率，且计算开销极低。

ABSTRACT

Cyber-Physical Systems (CPS) play a significant role in our critical infrastructure networks from power-distribution to utility networks. The emerging smart-grid concept is a compelling critical CPS infrastructure that relies on two-way communications between smart devices to increase efficiency, enhance reliability, and reduce costs. However, compromised devices in the smart grid poses several security challenges. Consequences of propagating fake data or stealing sensitive smart grid information via compromised devices are costly. Hence, early behavioral detection of compromised devices is critical for protecting the smart grid's components and data. To address these concerns, in this paper, we introduce a novel and configurable system-level framework to identify compromised smart grid devices. The framework combines system and function call tracing techniques with signal processing and statistical analysis to detect compromised devices based on their behavioral characteristics. We measure the efficacy of our framework with a realistic smart grid substation testbed that includes both resource-limited and resource-rich devices. In total, using our framework, we analyze six different types of compromised device scenarios with different resources and attack payloads. To the best of our knowledge, the proposed framework is the first in detecting compromised CPS smart grid devices with system and function-level call tracing techniques. The experimental results reveal an excellent rate for the detection of compromised devices. Specifically, performance metrics include accuracy values between 95% and 99% for the different attack scenarios. Finally, the performance analysis demonstrates that the use of the proposed framework has minimal overhead on the smart grid devices' computing resources.

研究动机与目标

• 解决智能电网中网络物理系统（CPS）早期检测的迫切需求，以防止数据完整性破坏和运行中断。
• 克服现有检测方法依赖网络流量监控或基于输入的测试所导致的高系统开销和缺乏实时适应性的问题。
• 开发一种可配置的轻量级框架，适用于多种智能电网环境中的供应链测试与实时运行，包括资源受限和资源丰富的设备。
• 通过行为异常检测，实现对多种攻击类型（如恶意软件注入和配置篡改）的检测，适用于不同类型的设备。
• 作为现有智能电网安全机制的补充，提供一种开源、可扩展的解决方案，利用底层系统行为实现稳健的损毁检测。

提出的方法

• 通过 ptrace 进行系统调用追踪，通过库插桩（library interposition）进行函数调用追踪，以监控智能电网设备的底层系统行为。
• 在符合 IEC61850 标准的真实变电站测试平台中，收集正常与受损运行状态下设备的系统调用和函数调用序列。
• 应用信号处理技术，将原始调用序列转换为时间序列信号，以支持行为模式分析。
• 采用统计分析方法（包括基础与高级方法），建立正常行为模型，并检测指示损毁的偏差。
• 通过模块化参数化，使框架能够适应不同设备类型（如 RTU、PLC、PMU）和攻击场景。
• 将框架集成至实时 CPS 运行环境中，无需外部探测或持续网络监控，最大限度降低系统开销。

实验结果

研究问题

• RQ1 在真实运行条件下，系统调用和函数调用追踪能否有效检测受损智能电网设备中的行为异常？
• RQ2 该框架在计算资源差异显著的设备类型（如 RTU 与 PMU）及不同攻击载荷下表现如何？
• RQ3 该框架在对智能电网设备施加极低运行时开销的前提下，能在多大程度上保持高检测准确率？
• RQ4 该框架是否可配置以同时支持供应链验证与现场实时监控？
• RQ5 系统调用追踪与统计分析相结合的方法，在检测零日或隐蔽攻击方面，为何优于传统的基于网络或基于签名的检测方法？

主要发现

• 在涉及不同类型受损设备和攻击载荷的六种不同攻击场景中，该框架的检测准确率在95%至99%之间。
• 系统在资源受限设备（如 RTU、PLC）和资源丰富设备（如 PMU）上均表现出稳健性能，证实其对异构智能电网组件的适应能力。
• 性能分析表明，目标设备上的计算开销极低，使该框架适用于实际智能电网环境中的实时部署。
• 使用 ptrace 和库插桩技术，实现了对系统调用和函数调用的细粒度监控，且无需内核修改或侵入式仪器化。
• 对调用序列的统计分析成功识别出由恶意软件和未经授权的配置更改引起的细微行为偏差，即使在资源受限设备中亦可实现。
• 该框架的可配置性使其既可部署于预部署供应链测试，也可用于持续的运行时监控，显著提升了其在现实智能电网安全中的实用价值。