[论文解读] Putting Together the Pieces: A Concept for Holistic Industrial Intrusion Detection

Simon D. Duque Antón, Hans D. Schotten|arXiv (Cornell University)|May 28, 2019

Network Security and Intrusion Detection被引用 6

一句话总结

本文提出了一种面向工业系统的整体入侵检测框架，通过整合办公IT、现场OT和外部连接等不同层级的异常检测，利用网络数据和过程数据实现跨层级的检测。该框架结合了针对不同攻击阶段和系统层级量身定制的多种检测技术，证明了统一的、多层级方法能显著提升在工业4.0环境中对复杂工业网络攻击的早期检测能力。

ABSTRACT

Besides the advantages derived from the ever present communication properties, it increases the attack surface of a network as well. As industrial protocols and systems were not designed with security in mind, spectacular attacks on industrial systems occurred over the last years. Most industrial communication protocols do not provide means to ensure authentication or encryption. This means attackers with access to a network can read and write information. Originally not meant to be connected to public networks, the use cases of Industry 4.0 require interconnectivity, often through insecure public networks. This lead to an increasing interest in information security products for industrial applications. In this work, the concept for holistic intrusion detection methods in an industrial context is presented. It is based on different works considering several aspects of industrial environments and their capabilities to identify intrusions as an anomaly in network or process data. These capabilities are based on preceding experiments on real and synthetic data. In order to justify the concept, an overview of potential and actual attack vectors and attacks on industrial systems is provided. It is shown that different aspects of industrial facilities, e.g. office IT, shop floor OT, firewalled connections to customers and partners are analysed as well as the different layers of the automation pyramid require different methods to detect attacks. Additionally, the singular steps of an attack on industrial applications are characterised. Finally, a resulting concept for integration of these methods is proposed, providing the means to detect the different stages of an attack by different means.

研究动机与目标

• 应对由于系统互联性增强以及缺乏本机安全性的传统协议所带来的工业系统网络攻击风险日益增加的问题。
• 识别并分析针对工业网络的攻击向量，特别是在OT与IT系统日益互联的环境中。
• 开发一种覆盖工业自动化金字塔多个层级及多样化通信渠道的全面检测策略。
• 整合异构检测方法，以覆盖从初始访问到横向移动和数据外泄的完整攻击生命周期。
• 提供一个统一框架，通过分析网络流量和过程行为中的异常，实现在入侵发生时的早期且准确检测。

提出的方法

• 分析来自工业环境的真实与合成数据，以识别网络和过程数据中的模式与异常。
• 对攻击阶段（如侦察、利用、横向移动）进行分类，并将每种阶段映射到对应系统层级的特定检测技术。
• 为不同环境设计定制化的检测机制：办公IT、现场OT以及与外部合作伙伴的防火墙连接。
• 将多种检测方法——基于网络的异常检测、过程行为分析和协议特定监控——整合到一个协同的架构中。
• 利用自动化金字塔模型（从现场设备到企业系统）来构建控制层级的检测结构。
• 提出一种分层检测框架，通过跨层级信号关联，检测能够规避单点检测的多阶段攻击。

实验结果

研究问题

• RQ1 如何通过覆盖自动化金字塔的多个层级，使工业系统的入侵检测实现整体化？
• RQ2 针对使用传统协议的系统，现代工业网络攻击的关键攻击向量和阶段是什么？
• RQ3 如何有效结合基于网络的异常检测与基于过程的异常检测，以提高检测准确性？
• RQ4 在复杂的工业环境中，基于时间点或单一层级检测存在哪些局限性？
• RQ5 检测机制如何适应OT、IT以及外部合作伙伴连接等不同系统上下文？

主要发现

• 由于传统协议缺乏认证和加密机制，工业系统极易受到威胁，攻击者可读取并修改数据。
• 攻击者利用工业4.0环境中系统互联性，通过同时针对办公IT、现场OT和外部连接等多层实施攻击，因此需要分层检测策略。
• 不同攻击阶段（如侦察、横向移动）需要不同的检测技术，因为单一方法无法覆盖所有阶段。
• 一种整合了跨层级网络与过程数据的综合检测方法，能显著提升对复杂攻击的早期检测能力。
• 所提出的框架通过将检测逻辑与各层级的功能特性和通信特性对齐，实现了对异构系统的异常检测。