[论文解读] Revisiting Anomaly Detection in ICS: Aimed at Segregation of Attacks and Faults

Chuadhry Mujeeb Ahmed, Jay Prakash+1 more|arXiv (Cornell University)|Apr 25, 2020

Smart Grid Security and Resilience参考文献 18被引用 4

一句话总结

本文提出一种框架，通过多层数据分析、数字孪生、攻击特征签名和行为建模，区分工业控制系统（ICS）中的网络攻击与系统故障。通过利用检测延迟差异、故障时间常数、模式切换以及相关性不对称性等特征，该方法能够准确分离异常事件，减少误报，并提升关键基础设施中的响应精度。

ABSTRACT

In an Industrial Control System (ICS), its complex network of sensors, actuators and controllers have raised security concerns for critical infrastructures and industrial production units. This opinion paper strives to initiate discussion on the design algorithms which can segregate attacks from faults. Most of the proposed anomaly detection mechanisms are not able to differentiate between an attack and an anomaly due to a fault. We argue on the need of solving this important problem form our experiences in CPS security research. First, we motivate using analysis of studies and interviews though economical and psychological aspects. Then main challenges are highlighted. Further, we propose multiple directions of approach with suitable reasoning and examples from ICS systems.

研究动机与目标

• 解决 ICS 异常检测中的关键问题：攻击与故障未被区分，导致响应不当。
• 强调将故障误判为攻击或反之的经济与心理后果。
• 强调需要一种稳健的区分机制，以实现工业控制系统中针对性、高效且安全的事件响应。
• 提出多种技术路径，基于系统行为、时间特性与数据一致性，将攻击与故障分离。
• 激发研究合作，开发适用于现实 ICS 环境的实用化、可部署解决方案。

提出的方法

• 整合来自网络层流量与过程层物理变量的数据，实现具备上下文感知能力的异常检测。
• 利用数字孪生或虚拟传感器作为参考模型，以检测数据篡改，因为虚拟系统无法发生物理故障。
• 应用基于特征签名的检测方法，识别已知攻击模式，尽管承认其在检测零日攻击方面的局限性。
• 分析设备间的模式转换：攻击通常引发协调一致的模式切换，而故障则多为随机且孤立发生。
• 利用模拟或历史故障数据建立故障行为模型，从而形成与攻击模式可区分的特征轮廓。
• 利用因果关系与相关性之间的不对称性——例如，传感器失效会影响下游设备，但执行器失效不会影响上游传感器——以检测传感器数据的篡改。

实验结果

研究问题

• RQ1 ICS 异常检测系统如何可靠地区分网络攻击与系统故障？
• RQ2 攻击与故障之间在行为、时间与结构上存在哪些可被利用的差异以实现分离？
• RQ3 攻击与故障场景下的检测延迟与损毁时间有何差异？这些差异能否作为区分性特征使用？
• RQ4 数字孪生或虚拟传感器在多大程度上可作为实时检测恶意篡改的参考基准？
• RQ5 故障时间常数与模式转换模式能否用于区分随机故障与协调一致的网络攻击？

主要发现

• 大多数现有异常检测技术无法区分攻击与故障，导致系统响应错误，如不必要的停机。
• 对 19 名 ICS 专家与操作员的访谈证实，当前系统缺乏稳健的区分能力，误判会导致经济损失与心理压力。
• 故障通常表现出突然、随机的变化，且时间常数较短；而攻击往往具有更长的持续时间，并在多个设备间表现出协调行为。
• 检测延迟的差异表明，攻击可能比类似故障的注入更晚被检测到，尤其是在持续性攻击场景中。
• 因果关系与相关性之间的不对称性——例如，传感器失效会影响下游设备，但反之不成立——可用于检测传感器数据的篡改。
• 冗余传感器可提升故障与攻击的隔离能力，前提是并非所有传感器同时被攻破，从而提供一种实用的检测层级。