[论文解读] Improving ICS Cyber Resilience through Optimal Diversification of Network Resources

Tingting Li, Cheng Feng+1 more|arXiv (Cornell University)|Oct 31, 2018

Network Security and Intrusion Detection参考文献 24被引用 8

一句话总结

本文提出了一种针对工业控制系统（ICS）的最优多样化框架，以增强对恶意软件传播（尤其是Stuxnet等零日攻击）的网络弹性。通过将网络主机建模为多服务（多标签）实体，并利用基于CVE/NVD数据的漏洞相似性度量，该方法将问题形式化为马尔可夫随机场（MRF），并采用TRW-S算法进行优化，即使在大规模网络（最多10,000台主机，240,000条边）中也能在数秒至数分钟内实现近似最优的弹性防护，同时支持现实世界中的约束条件，如遗留系统和配置策略。

ABSTRACT

Network diversity has been widely recognized as an effective defense strategy to mitigate the spread of malware. Optimally diversifying network resources can improve the resilience of a network against malware propagation. This work proposes an efficient method to compute such an optimal deployment, in the context of upgrading a legacy Industrial Control System with modern IT infrastructure. Our approach can tolerate various constraints when searching for an optimal diversification, such as outdated products and strict configuration policies. We explicitly measure the vulnerability similarity of products based on the CVE/NVD, to estimate the infection rate of malware between products. A Stuxnet-inspired case demonstrates our optimal diversification in practice, particularly when constrained by various requirements. We then measure the improved resilience of the diversified network in terms of a well-defined diversity metric and Mean-time-to-compromise (MTTC), to verify the effectiveness of our approach. We further evaluate three factors affecting the performance of the optimization, such as the network structure, the variety of products and constraints. Finally, we show the competitive scalability of our approach in finding optimal solutions within a couple of seconds to minutes for networks of large scales (up to 10,000 hosts) and high densities (up to 240,000 edges).

研究动机与目标

• 为应对融合IT/OT工业网络中恶意软件传播日益增长的风险，特别是Stuxnet等零日漏洞利用带来的威胁。
• 克服先前研究中假设节点为单标签、忽略配置约束以及产品间无漏洞重叠的局限性。
• 开发一种可扩展、约束感知的最优资源多样化方法，适用于遗留ICS环境。
• 通过多样性度量和平均故障前时间（MTTC）作为评估标准，量化并提升网络弹性。
• 通过整合过时软件和严格配置策略等现实约束，实现多样化系统的实际部署。

提出的方法

• 将每个主机建模为多标签节点，每个标签代表一种不同的服务/产品，从而支持对每台主机多个攻击面的表达。
• 提出一种基于CVE/NVD数据的漏洞相似性度量，用于估计跨产品漏洞利用传播的可能性。
• 将整个网络表示为马尔可夫随机场（MRF），其中产品是分配给主机上各标签的取值。
• 采用TRW-S算法高效求解MRF优化问题，以找到全局最优的产品分配方案。
• 将配置约束（如强制软件版本、策略限制）直接整合进优化框架中。
• 通过多样性度量和MTTC评估弹性，比较最优与随机多样化策略的性能。

实验结果

研究问题

• RQ1 如何通过ICS环境中最优产品多样化来最大化对零日恶意软件的网络弹性？
• RQ2 现实约束（如遗留系统和配置策略）在多大程度上影响最优多样化的可行性与有效性？
• RQ3 产品间的漏洞相似性如何影响恶意软件的传播？该影响能否被定量建模？
• RQ4 所提出的优化方法在大规模、高密度ICS网络中的可扩展性如何？
• RQ5 与随机或启发式多样化相比，最优多样化在降低MTTC和提升多样性方面表现如何？

主要发现

• 该方法在包含最多10,000台主机和240,000条边的大规模ICS网络中，3分钟内即可实现最优多样化，展现出强大的可扩展性。
• 与随机分配相比，最优多样化显著降低了MTTC，多样性度量也显示出弹性水平的可测量提升。
• 基于CVE/NVD数据导出的漏洞相似性度量能有效捕捉跨不同厂商产品的漏洞利用传播风险。
• 如遗留软件和策略限制等配置约束可被正式整合进优化过程，且不牺牲解的质量。
• 多标签模型优于单标签模型，能够更准确地捕捉涉及多个协同利用的复杂攻击路径。
• 即使在网络密度较高（如每台主机平均40条边，每台主机25项服务）的情况下，该方法仍保持高效，计算时间主要随主机数量增长，而非边数。