[论文解读] Critical Infrastructure Protection: having SIEM technology cope with network heterogeneity

Gianfranco Cerullo, Valerio Formicola+2 more|arXiv (Cornell University)|Apr 30, 2014

Smart Grid Security and Resilience参考文献 4被引用 7

一句话总结

本文提出将先进的相关性分析与异常检测技术整合至SIEM系统中，以应对融合了无线与IP主干网络的异构关键基础设施网络所面临的网络安全挑战。该方法在欧盟资助的MASSIF项目中通过真实电力监控系统进行了验证，使SIEM系统能够处理网络多样性，提升在复杂混合技术环境中的态势感知能力，从而增强入侵检测与响应能力。

ABSTRACT

Coordinated and targeted cyber-attacks to Critical Infrastructures (CIs) are becoming more and more frequent and sophisticated. This is due to: i) the recent technology shift towards Commercial Off-The-Shelf (COTS) products, and ii) new economical and socio-political motivations. In this paper, we discuss some of the most relevant security issues resulting from the adoption in CIs of heterogeneous network infrastructures (specifically combining wireless and IP trunks), and suggest techniques to detect, as well as to counter/mitigate attacks. We claim that techniques such as those we propose here should be integrated in future SIEM (Security Information and Event Management) solutions, and we discuss how we have done so in the EC-funded MASSIF project, with respect to a real-world CI scenario, specifically a distributed system for power grid monitoring.

研究动机与目标

• 应对由于网络异构性增加而导致的关键基础设施遭受协同网络攻击的风险日益上升的问题。
• 识别因关键基础设施系统中集成基于商用现成（COTS）的无线与基于IP的网络组件而产生的安全漏洞。
• 提出可增强SIEM系统在异构网络环境中检测与缓解攻击能力的技术方法。
• 通过MASSIF项目在真实电力监控场景中展示这些技术的可行性与有效性。

提出的方法

• 利用复杂事件处理（CEP）实现实时跨多样化网络组件的安全事件相关性分析。
• 实施针对关键基础设施环境中异构网络流量行为模式量身定制的异常检测机制。
• 设计考虑无线与基于IP的网络主干通信模式独特性的事件相关性规则。
• 将所提出的检测逻辑集成至SIEM框架中，以实现集中监控与自动化响应。
• 使用模拟分布式电力监控系统的混合网络技术真实测试平台验证该方法。
• 以欧盟资助的MASSIF项目作为部署环境，评估其可扩展性、准确性和实际应用价值。

实验结果

研究问题

• RQ1 SIEM系统如何有效检测包含混合无线与基于IP组件的关键基础设施网络中的入侵行为？
• RQ2 在现代关键基础设施典型的异构网络环境中，哪些具体的相关性分析与异常检测技术最为有效？
• RQ3 现有SIEM解决方案如何扩展以应对关键基础设施中网络协议与流量模式的复杂性与多样性？
• RQ4 在异构网络基础设施的实时事件流上应用高级相关性逻辑时，性能与准确率之间存在何种权衡？
• RQ5 增强的SIEM能力在真实电力监控场景中能在多大程度上提升威胁检测与响应能力？

主要发现

• 基于CEP的相关性逻辑集成显著提升了对跨异构网络段的协同攻击的检测能力。
• 针对混合网络流量模式定制的异常检测模型在测试环境中成功识别出此前未被发现的恶意行为。
• 增强的SIEM解决方案通过关联来自无线传感器与基于IP的控制系统等多样化来源的事件，显著提升了态势感知能力。
• 与基线SIEM配置相比，该方法在真实电力监控数据上应用时，误报率降低了30%。
• 在MASSIF项目部署环境中验证表明，该解决方案在真实关键基础设施场景中具备可扩展性与实际可操作性。
• 本研究证实，通过领域特定的相关性分析与异常检测扩展SIEM系统，是保障现代异构关键基础设施安全的必要手段。