[论文解读] Secure Sensor Design Against Undetected Infiltration: Minimum Impact-Minimum Damage

Muhammed O. Sayin, Tamer Başar|arXiv (Cornell University)|Jan 5, 2018

Smart Grid Security and Resilience参考文献 18被引用 3

一句话总结

本文提出了一种针对网络物理系统的博弈论安全传感器设计框架，通过预先优化传感器输出以最小化未被检测到的控制器入侵所造成的损害。利用半定规划方法，该方法计算出最优线性传感器策略，在对抗性控制目标下降低预期二次代价，即使在系统统计感知不准确的情况下，性能仍比经典方案提升高达40%。

ABSTRACT

We propose a new defense mechanism against undetected infiltration into controllers in cyber-physical systems. To this end, we cautiously design the outputs of the sensors that monitor the state of the system. Different from the defense mechanisms that seek to detect infiltration, the proposed approach seeks to minimize the damage of possible attacks before they have been detected. Controller of a cyber-physical system could have been infiltrated into by an undetected attacker at any time of the operation. Disregarding such a possibility and disclosing system's state without caution benefits the attacker in his/her malicious objective. Therefore, secure sensor design can improve the security of cyber-physical systems further when incorporated along with other defense mechanisms. We, specifically, consider a controlled Gauss-Markov process, where the controller could have been infiltrated into at any time within the system's operation. In the sense of game-theoretic hierarchical equilibrium, we provide a semi-definite programming based algorithm to compute the optimal linear secure sensor outputs and analyze the performance for various scenarios numerically.

研究动机与目标

• 填补在先进持续性威胁下，网络物理系统在控制器被入侵期间未被检测到时的安全防护关键空白。
• 将安全传感器设计者与对抗性控制器之间的交互正式建模为具有不同目标的分层Stackelberg博弈。
• 预先设计线性传感器输出，以最小化未被检测到的攻击在最坏情况下的影响，即使控制器在运行过程中的任意时刻被攻破。
• 在传感器设计者对系统统计信息感知不准确的情况下，仍保持对经典方案的强性能优势，确保鲁棒性。
• 通过半定规划（SDP）提供一种计算上可行的解决方案，用于在具有线性高斯动态特性的系统中计算最优安全传感器策略。

提出的方法

• 将系统建模为具有线性高斯动态特性的受控高斯-马尔可夫过程，并假设控制器可能在任意时刻被入侵。
• 将问题形式化为分层Stackelberg博弈，传感器设计者首先承诺采用线性传感器策略，随后攻击者做出最优控制响应。
• 在给定线性传感器策略下，推导出防御者（传感器设计者）和攻击者（被攻陷的控制器）的最优控制输入。
• 使用半定规划（SDP）计算最小化对抗性目标下预期二次代价的最优线性安全传感器输出。
• 引入归一化增益矩阵表示法，以分析传感器影响的时间演化特性及最优解的秩属性。
• 通过模拟传感器设计者对真实状态转移统计信息感知不准确的场景，评估鲁棒性。

实验结果

研究问题

• RQ1 在未被检测到的控制器入侵情况下，安全传感器设计能在多大程度上减少网络物理系统所受的损害？
• RQ2 当控制器可能在任意时刻被攻破时，如何计算最优线性传感器输出，以最小化对抗性控制目标下的预期代价？
• RQ3 在存在未被检测到的攻击时，所提出的安全部署传感器设计相较于经典传感器设计能实现多大的性能提升？
• RQ4 当传感器设计者对底层系统统计信息感知不准确时，所提出的方案具有多强的鲁棒性？
• RQ5 当攻击者对系统动态具有部分或全部知识时，传感器输出设计对系统韧性的具体影响是什么？

主要发现

• 所提出的安全部署传感器设计即使在控制器被入侵的情况下，相比经典传感器方案仍实现了平均40%的性能提升。
• 在最佳情况（无入侵）下，所提方案与经典方案性能相当；但在所有其他情况下，其性能显著优于经典方案。
• 最终时间步的最优增益矩阵秩为4，而早期时间步的增益矩阵秩为2，表明传感器影响随时间发生了结构性变化。
• 即使在系统统计信息感知不准确的情况下，所提方案仍保持优异性能，在所有测试案例中均优于经典方案。
• 案例1（无入侵）中，由于感知到的入侵概率较高（0.85 vs. 实际0.70），性能略有提升，但整体方案仍表现出强鲁棒性。
• 由于统计误判导致的平均性能退化仅为1.1倍（从7.0降至8.1），但所提方案在所有场景中仍全面优于经典方案。