[论文解读] Deriving Cyber-security Requirements for Cyber Physical Systems

Robert Laddaga, Paul Robertson+4 more|arXiv (Cornell University)|Jan 7, 2019

Software Testing and Debugging Techniques参考文献 19被引用 4

一句话总结

DCRYPPS 通过结合基于模型的诊断、攻击/威胁模型以及 Pamela 概率建模语言中的功能设计规范，自动化推导出网络物理系统（CPS）的网络安全性需求。它为自动驾驶系统生成了五个必要且充分的网络物理安全需求，并在既定威胁条件下被验证为有效。

ABSTRACT

Today's cyber physical systems (CPS) are not well protected against cyber attacks. Protected CPS often have holes in their defense, due to the manual nature of today's cyber security design process. It is necessary to automate or semi-automate the design and implementation of CPS to meet stringent cyber security requirements (CSR), without sacrificing functional performance, timing and cost constraints. Step one is deriving, for each CPS, the CSR that flow from the particular functional design for that CPS. That is the task assumed by our system, Deriving Cyber-security Requirements Yielding Protected Physical Systems - DCRYPPS. DCRYPPS applies Artificial Intelligence (AI) technologies, including planning and model based diagnosis to an important area of cyber security.

研究动机与目标

• 为解决当前网络物理系统（CPS）的网络安全需求（CSR）依赖人工设计而存在严重漏洞的自动化推导关键缺口。
• 开发一种系统，可直接从功能设计模型生成 CSR，同时保持功能性能、时序和成本约束。
• 整合攻击模型与系统行为模型，主动识别并缓解潜在威胁，防止其在实现后造成影响。
• 使设计者能够利用形式化建模与人工智能技术，生成精确、面向特定应用的网络安全需求。
• 支持生成概率证书与约束权衡，以实现风险降低与实现复杂度之间的平衡。

提出的方法

• 使用范德比尔特通用建模环境（GME）作为 CPS 建模与分析的中心设计与集成平台。
• 将功能设计模型与约束转换为 Pamela，一种用于建模 CPS 行为与不确定性的概率性、面向对象的领域特定语言。
• 应用基于模型的诊断技术，分析威胁模型并识别可实现网络物理攻击的故障路径。
• 通过分析诊断结果，识别可排除每条攻击路径的条件，从而生成网络安全需求。
• 在 Pamela 中集成概率推理与现场学习能力，以估算系统行为与攻击行为的可能性。
• 在 GME 内部使用约束集成器，使设计者能够调整风险降低与需求复杂度之间的权衡。

实验结果

研究问题

• RQ1 如何在不损害性能或成本的前提下，系统性地从 CPS 功能设计中推导出网络安全需求？
• RQ2 基于模型的诊断在多大程度上可被适配以识别并预防网络物理攻击路径？
• RQ3 能否从高层系统模型中自动生成面向特定应用的、形式化的网络安全需求？
• RQ4 在现实威胁假设下，所生成的需求在保护 CPS 方面的效能如何？
• RQ5 概率建模在提升推导出的安全需求的准确性与相关性方面发挥何种作用？

主要发现

• DCRYPPS 为自动驾驶 CPS 模型成功生成了五个网络安全需求，经独立验证，在既定威胁条件下被证明为必要且充分。
• 该系统将基于模型的诊断与攻击模型相结合的方法，实现了对实现故障的威胁及其通过特定需求进行缓解的全面映射。
• 通过分析传感器差异与通信完整性威胁，直接推导出使用公钥加密进行广域网（WAN）通信认证的安全需求。
• 评估结果表明，所推导出的需求能有效保护系统，防止远程、基于知识的攻击，且无需物理访问或硬件/软件修改。
• Pamela 的使用实现了对系统行为与攻击行为的概率建模，支持对风险与解决方案有效性的准确估计。
• 该框架在小规模 CPS 模型上展示了可行性，通过进一步开发概率性网络物理证书（PCCs），具备向更大、更复杂系统扩展的潜力。