[论文解读] ICSrange: A Simulation-based Cyber Range Platform for Industrial Control Systems

Vincenzo Giuliano, Valerio Formicola|arXiv (Cornell University)|Sep 4, 2019

Network Security and Intrusion Detection参考文献 4被引用 4

一句话总结

ICSrange 是一个基于商用现成（COTS）技术的仿真网络靶场平台，用于模拟工业控制系统（ICS）和企业网络，支持网络防御策略的训练与测试。该平台通过在包含水箱的模拟 ICS 环境中模拟多阶段高级持续性威胁（APT）类攻击，包括横向移动，展示了其有效性。

ABSTRACT

Maintenance staff of Industrial Control Systems (ICS) is generally not aware about information technologies, and even less about cyber security problems. The scary impact of cyber attacks in the industrial world calls for tools to train defensive skills and test effective security measures. Cyber range offers this opportunity, but current research is lacking cost-effective solutions verticalized for the industrial domain. This work proposes ICSrange, a simulation-based cyber range platform for Industrial Control Systems. ICSrange adopts Commercial-Off-The-Shelf (COTS) technologies to virtualize an enterprise network connected to Industrial Control Systems. ICSrange is the outcome of a preliminary study intended to investigate challenges and opportunities to build a configurable and extensible cyber range with simulated industrial processes. Literature shows that testbeds based on realistic mock-ups are effectively employed to develop complex exploits like Advanced Persistent Threats (APTs), hence motivating their usage to train and test security in ICS. We prove the effectiveness of ICSrange through the execution of a multi-staged attack that breaches an enterprise network and progressively intrudes a simulated ICS with water tanks. The attack mimics lateral movements as observed in APTs.

研究动机与目标

• 为解决缺乏针对工业控制系统（ICS）的低成本、领域专用网络靶场平台的问题。
• 弥合 ICS 维护人员（通常缺乏网络安全意识）与日益严峻的复杂网络攻击威胁之间的差距。
• 开发一个可配置且可扩展的仿真平台，以在 ICS 环境中实现对防御性安全措施的真实训练与测试。
• 通过在模拟 ICS 水箱系统上重现真实、多阶段的 APT 行为攻击，验证平台的有效性。

提出的方法

• ICSrange 利用 COTS 技术虚拟化企业网络和工业控制系统，实现完整的网络与过程仿真。
• 平台集成模拟的工业过程——特别是水箱系统——使用标准工业协议建模实时控制行为。
• 支持创建可配置的网络拓扑，将企业 IT 基础设施与 ICS OT 环境连接起来。
• 系统支持多阶段网络攻击的执行，包括横向移动，以模拟高级持续性威胁（APT）行为。
• 采用开源仿真工具，并模拟真实的攻击链，以测试检测与响应能力。
• 平台设计为可扩展，支持新 ICS 组件、攻击场景和安全控制措施的集成。

实验结果

研究问题

• RQ1 如何利用 COTS 技术设计一种低成本、基于仿真的网络靶场，用于工业控制系统？
• RQ2 在网络训练与测试中，模拟真实 ICS 环境面临的关键挑战是什么？
• RQ3 模拟的 ICS 环境能否有效支持多阶段 APT 类攻击的执行，以用于训练目的？
• RQ4 如何在 ICS 网络靶场中真实地建模横向移动与网络推进过程？
• RQ5 此类平台在多大程度上能够支持 ICS 人员检测与响应复杂网络威胁的训练？

主要发现

• ICSrange 有效模拟了包含水箱过程的真实 ICS 环境，证明了在网络安全靶场中仿真工业控制行为的可行性。
• 该平台支持执行模拟 APT 典型行为的多阶段网络攻击，包括横向移动。
• 仿真支持从企业网络初始访问到 ICS 网段渗透的完整攻击生命周期。
• 使用 COTS 技术确保了成本效益和部署便捷性，使平台适用于训练与研究。
• 该平台作为训练工具表现出色，使安全团队能够在安全、隔离的环境中观察并响应复杂、真实的攻击场景。
• 平台的可扩展性支持新 ICS 过程和攻击向量的集成，满足持续的研究与培训需求。