[论文解读] Real-time Evasion Attacks with Physical Constraints on Deep Learning-based Anomaly Detectors in Industrial Control Systems

Alessandro Erba, Riccardo Taormina+5 more|arXiv (Cornell University)|Jul 17, 2019

Adversarial Robustness in Machine Learning参考文献 32被引用 16

一句话总结

本文通过在遵守物理约束的前提下操纵传感器读数，提出了一种针对工业控制系统中基于深度学习的异常检测器的实时逃避攻击。利用白盒优化和黑盒自编码器，攻击在BATADAL数据集上将检测准确率从0.6降低至0.14，展示了能够通过模仿真实系统行为来规避检测的有效逃避攻击。

ABSTRACT

Recently, a number of deep learning-based anomaly detection algorithms were proposed to detect attacks in dynamic industrial control systems. The detectors operate on measured sensor data, leveraging physical process models learned a priori. Evading detection by such systems is challenging, as an attacker needs to manipulate a constrained number of sensor readings in real-time with realistic perturbations according to the current state of the system. In this work, we propose a number of evasion attacks (with different assumptions on the attacker's knowledge), and compare the attacks' cost and efficiency against replay attacks. In particular, we show that a replay attack on a subset of sensor values can be detected easily as it violates physical constraints. In contrast, our proposed attacks leverage manipulated sensor readings that observe learned physical constraints of the system. Our proposed white box attacker uses an optimization approach with a detection oracle, while our black box attacker uses an autoencoder (or a convolutional neural network) to translate anomalous data into normal data. Our proposed approaches are implemented and evaluated on two different datasets pertaining to the domain of water distribution networks. We then demonstrated the efficacy of the real-time attack on a realistic testbed. Results show that the accuracy of the detection algorithms can be significantly reduced through real-time adversarial actions: for the BATADAL dataset, the attacker can reduce the detection accuracy from 0.6 to 0.14. In addition, we discuss and implement an Availability attack, in which the attacker introduces detection events with minimal changes of the reported data, in order to reduce confidence in the detector.

研究动机与目标

• 通过实时、物理上合理的传感器操纵，解决逃避工业控制系统中基于深度学习的异常检测器的挑战。
• 克服重放攻击的局限性，后者违反物理约束且容易被检测到。
• 开发白盒和黑盒攻击策略，生成与正常系统行为无法区分的对抗性传感器输入。
• 在真实世界数据集和物理测试平台上验证这些攻击的可行性和有效性。
• 研究一种基于可用性的攻击，通过极小的数据变化触发大量误报，从而破坏检测器的可信度。

提出的方法

• 提出一种白盒攻击，利用由检测oracle引导的优化框架，生成符合学习到的物理约束的对抗性传感器输入。
• 设计一种黑盒攻击，使用自编码器或卷积神经网络，将异常传感器数据映射为外观正常的分布。
• 整合预先学习到的物理过程模型，以确保操纵后的传感器读数与系统动态一致。
• 在两个来自供水网络的真实世界数据集上评估攻击，以验证其泛化能力。
• 在真实测试平台上实现并测试攻击，以证明其在实时环境下的可行性和隐蔽性。
• 提出一种可用性攻击，通过极小的数据扰动引发频繁的检测事件，从而降低系统对检测器的信心。

实验结果

研究问题

• RQ1 是否能够实时生成符合工业控制系统物理约束的对抗性传感器操纵？
• RQ2 与因违反约束而易被检测的传统重放攻击相比，所提出的攻击在效率和隐蔽性方面表现如何？
• RQ3 白盒和黑盒攻击策略在多大程度上能够降低基于深度学习的异常检测器的检测准确率？
• RQ4 能否构建一种可用性攻击，通过极小的数据变化触发大量误报，从而破坏检测器的可靠性？
• RQ5 在真实操作条件下，所提出的攻击在真实世界测试平台环境中的有效性如何？

主要发现

• 所提出的白盒攻击通过生成符合物理约束的对抗性输入，将BATADAL数据集上的检测准确率从0.6显著降低至0.14。
• 在部分传感器上实施的重放攻击因违反物理约束而容易被检测到，而所提出的攻击则保持了物理上的合理性。
• 使用自编码器的黑盒攻击成功地将异常数据转换为外观正常的分布，实现了无需完整模型访问的逃避攻击。
• 攻击在物理测试平台上实现了实时运行，证明了其在仿真之外的实际可行性。
• 成功实现了可用性攻击，极小的数据变化即可引发频繁的误报，显著降低了对异常检测器的信任度。
• 结果表明，即使是最先进的基于深度学习的异常检测器，也容易受到细微且物理上合理的对抗性操纵的影响。