[论文解读] CoRT: A Communication Robustness Testbed for Industrial Control System Components

Matthias Niedermaier, Alexander von Bodisco+1 more|arXiv (Cornell University)|Apr 8, 2019

Smart Grid Security and Resilience参考文献 3被引用 6

一句话总结

本文提出 CoRT，一个专门用于评估工业控制系统（ICS）组件（如PLC和HMI）在基于网络的攻击下通信鲁棒性的测试平台。通过集成网络监控、基于逻辑分析仪的电气输出跟踪以及自动化测试序列，CoRT 实现了可重复、安全且可量化的评估，以分析网络异常对控制行为的影响，为保障工业系统安全提供了关键的研究基础。

ABSTRACT

The number of interconnected devices is growing constantly due to rapid digitalization, thus providing attackers with a larger attack surface. Particularly in critical infrastructures and manufacturing, where processes can be observed and controlled remotely, successful attacks could lead to high costs and damage. Therefore, it is necessary to investigate Industrial Control System (ICS) devices like Programmable Logic Controllers (PLCs) to make these sectors more secure. One possible attack vector is the exploitation of the network communication of devices. Thus, a robust communication system is essential to ensure security. Unfortunately, the high demand for real-world ICSs makes it difficult to assess component security during its runtime. However, this is possible in a research testbed where tests could be done and analyzed in a safe environment. In this paper, we introduce our testbed and measurement methods for communication robustness test research of ICS components.

研究动机与目标

• 为应对由于数字化程度提高和网络互联性增强而导致的工业控制系统攻击面持续扩大问题。
• 在不危及实际生产系统的情况下，实现对 ICS 组件鲁棒性的安全、可重复测试。
• 研究网络通信故障或恶意流量对 ICS 设备控制行为的影响。
• 提供一个标准化、自动化的测试环境，用于评估工业组件的通信鲁棒性。
• 支持针对协议特异性漏洞的研究，特别是专有和工业网络协议中的漏洞。

提出的方法

• 测试平台采用两个带锁具、可移动的机架，用于安装被测设备（DuTs），包括 PLC、HMI 和总线耦合器，均固定在符合工业标准 EN 50022 的导轨上。
• 通过基于定制 BeagleBone Green 的逻辑分析仪，对 DuT 的电气输出进行监控，采样率最高可达 100MHz，用于捕获控制信号的稳定性。
• 使用专用虚拟机实时捕获网络流量，测量、编程和攻击模拟分别由独立的虚拟机执行，以避免相互干扰。
• 在攻击期间持续监控网络可达性，以评估设备的响应能力与韧性。
• 测试平台支持标准协议（如 FTP、SSH、HTTP 等）和工业协议（如 Modbus/TCP、BACnet/IP、Ethernet/IP 等），以及专有协议（如 S7comm、Phoenix、ABB 等）。
• 测试序列包括自动化断电重启、攻击前空闲状态监控、主动攻击阶段以及攻击后恢复检查，所有结果均被记录并可视化。

实验结果

研究问题

• RQ1 各种基于网络的攻击如何影响 ICS 组件的通信鲁棒性与控制行为？
• RQ2 在遭受网络负载压力或恶意流量攻击时，标准协议与专有工业协议在多大程度上表现出脆弱性？
• RQ3 是否能够可靠地监控 PLC 的电气输出信号，并将其与网络异常相关联，以检测控制系统的性能退化？
• RQ4 该测试平台在实现 ICS 组件韧性可重复、安全且自动化的评估方面效果如何？
• RQ5 ICS 设备在遭受 DoS 攻击或接收到畸形网络数据包后，其可观测行为变化是什么？

主要发现

• 网络流量可显著影响 ICS 设备的行为，攻击期间控制信号稳定性出现明显扰动。
• 测试平台成功实现了网络流量捕获、设备可达性监控以及电气输出的实时日志记录，支持全面分析。
• 使用专用测量虚拟机确保了高负载攻击工具不会干扰数据采集或监控过程。
• 集成基于定制 PCB 的逻辑分析仪可实现高达 100MHz 的高频采样，从而精确检测控制信号异常。
• 测试平台支持单台设备及机架级的测试，可灵活验证多个组件之间的通信鲁棒性。
• 初步结果证实，在受控且安全的环境中，通信鲁棒性测试是可行且有效的，有助于未来漏洞发现与系统加固工作。