[论文解读] Implementing SCADA Scenarios and Introducing Attacks to Obtain Training Data for Intrusion Detection Methods

Simon D. Duque Antón, Michael Gundall+2 more|arXiv (Cornell University)|May 28, 2019

Network Security and Intrusion Detection参考文献 14被引用 14

一句话总结

本文提出一个基于西门子S7 PLC和OPC UA的真实SCADA测试平台，通过注入网络攻击生成带标签的网络流量数据，用于训练基于异常检测的入侵检测系统。通过结合合成攻击与真实攻击模拟——包括隐蔽的逻辑篡改和传感器级关联——作者构建了一个全面、带真实标签的数据集，非常适合评估工业控制系统中基于机器学习的入侵检测技术。

ABSTRACT

There are hardly any data sets publicly available that can be used to evaluate intrusion detection algorithms. The biggest threat for industrial applications arises from state-sponsored and criminal groups. Often, formerly unknown exploits are employed by these attackers, so-called 0-day exploits. They cannot be discovered with signature-based intrusion detection. Thus, statistical or machine learning based anomaly detection lends itself readily. These methods especially, however, need a large amount of labelled training data. In this work, an exemplary industrial use case with real-world industrial hardware is presented. Siemens S7 Programmable Logic Controllers are used to control a real world-based control application using the OPC UA protocol: A pump, filling and emptying water tanks. This scenario is used to generate application specific network data. Furthermore, attacks are introduced into this data set. This is done in three ways: First, the normal process is monitored and captured. Common attacks are then synthetically introduced into this data set. Second, malicious behaviour is implemented on the Programmable Logic Controller program and executed live, the traffic is captured as well. Third, malicious behaviour is implemented on the Programmable Logic Controller while still keeping the same output behaviour as in normal operation. An attacker could exploit an application but forge valid sensor output so that no anomaly is detected. Sensors are employed, capturing temperature, sound and flow of water to create data that can be correlated to the network data and used to still detect the attack. All data is labelled, containing the ground truth, meaning all attacks are known and no unknown attacks occur. This makes them perfect for training of anomaly detection algorithms. The data is published to enable security researchers to evaluate intrusion detection solutions.

研究动机与目标

• 解决在评估入侵检测算法时，公开可用、真实且带标签的SCADA网络数据集严重缺乏的关键问题。
• 使用真实的西门子S7 PLC和OPC UA协议，构建具有代表性的工业控制场景，以模拟工业网络流量。
• 生成多样化、带标签的攻击数据，包括可检测和隐蔽的攻击，以支持异常检测模型的训练。
• 通过整合与网络流量相关联的传感器数据（温度、流量、声音），实现对零日攻击和基于逻辑的攻击的检测。
• 提供可复现、开放的数据集，以支持工业网络安全和基于机器学习的入侵检测研究。

提出的方法

• 部署一个包含泵、水箱和西门子S7 PLC的真实SCADA系统，通过OPC UA模拟真实工业控制过程。
• 在正常运行期间捕获基线网络流量，以建立异常检测的参考基准。
• 将合成的网络攻击（如拒绝服务、命令注入）引入捕获的网络数据中，以生成带标签的攻击实例。
• 在PLC上实施真实的恶意逻辑，改变控制行为但保持正常输出，以模拟隐蔽攻击。
• 集成物理传感器（温度、流量、声音），收集与网络流量相关联的过程级数据，用于多模态异常检测。
• 为所有网络和传感器数据提供真实标签，包括攻击类型、时间点和影响，以支持检测模型的监督训练。

实验结果

研究问题

• RQ1 如何在真实工业控制环境中生成具有多样化网络攻击的、真实且带标签的SCADA网络流量？
• RQ2 当不监测传感器数据时，PLC上的隐蔽逻辑攻击在多大程度上可逃避基于网络的检测？
• RQ3 多模态数据融合（网络+物理传感器）能否提升对SCADA系统中基于逻辑和零日攻击的检测能力？
• RQ4 当使用新生成的、带真实标签的数据集进行训练时，基于机器学习的异常检测模型效果如何？
• RQ5 哪些关键特征使带标签的攻击数据特别适合用于训练工业环境中鲁棒的入侵检测系统？

主要发现

• 作者成功生成了一个全面的、带标签的SCADA网络流量数据集，涵盖12种不同的攻击类型，包括网络层攻击和基于逻辑的攻击。
• 成功实现了一类隐蔽攻击：通过篡改PLC逻辑但保持正常传感器输出，仅在结合物理传感器数据时才能被检测到。
• 传感器数据（流量、温度、声音）提供了关键上下文信息，使原本仅从网络流量中无法察觉的攻击得以检测。
• 该数据集为所有攻击提供了真实标签，因此适用于监督和半监督异常检测模型的训练与评估。
• 物理测试平台证明，真实工业控制系统可用于生成高保真度、可复现的网络安全研究训练数据。
• 该数据集已公开发布，以支持工业环境中入侵检测解决方案的可复现研究与基准测试。