[论文解读] SoK: Attacks on Industrial Control Logic and Formal Verification-Based Defenses

Ruimin Sun, Alejandro Mera+2 more|arXiv (Cornell University)|Jun 9, 2020

Security and Verification in Computing参考文献 79被引用 4

一句话总结

本文系统化地梳理了针对工业控制逻辑及基于形式化验证的防御措施的攻击，揭示了控制逻辑修改攻击已演化至通过利用隐含属性和系统复杂性来规避检测。研究识别出形式化验证中的关键挑战，如实时约束、非正式的规格说明生成以及厂商特定依赖关系，并推荐采用包含开源工具、增量规格说明和运行时验证的全栈防御方法，以超越安全性的范畴提升安全性。

ABSTRACT

Programmable Logic Controllers (PLCs) play a critical role in the industrial control systems. Vulnerabilities in PLC programs might lead to attacks causing devastating consequences to the critical infrastructure, as shown in Stuxnet and similar attacks. In recent years, we have seen an exponential increase in vulnerabilities reported for PLC control logic. Looking back on past research, we found extensive studies explored control logic modification attacks, as well as formal verification-based security solutions. We performed systematization on these studies, and found attacks that can compromise a full chain of control and evade detection. However, the majority of the formal verification research investigated ad-hoc techniques targeting PLC programs. We discovered challenges in every aspect of formal verification, rising from (1) the ever-expanding attack surface from evolved system design, (2) the real-time constraint during the program execution, and (3) the barrier in security evaluation given proprietary and vendor-specific dependencies on different techniques. Based on the knowledge systematization, we provide a set of recommendations for future research directions, and we highlight the need of defending security issues besides safety issues.

研究动机与目标

• 理解工业控制系统（ICS）中控制逻辑修改攻击的演变及其影响，特别是其规避检测的能力。
• 分析现有基于形式化验证的PLC程序防御措施的局限性与挑战。
• 识别当前研究中的空白，特别是在规格说明生成、实时验证和工具可用性方面。
• 推荐一种全面的、端到端的防御策略，以应对工业控制系统的完整性、机密性和可用性。
• 倡导使用开源工具、与厂商无关的基准测试以及交互式规格说明优化，以提升PLC安全研究的可评估性与可复现性。

提出的方法

• 基于86个CVE和97项关于PLC控制逻辑攻击及形式化验证技术的研究，开展了知识体系化（SoK）研究。
• 根据威胁模型、安全目标、底层弱点、检测规避方式以及防御重点（如行为建模、状态压缩、规格说明生成）对研究进行分类。
• 分析了传感器输入、工程站以及PLC间通信的攻击面，识别出通过隐含属性实现隐蔽规避的攻击手段。
• 评估了形式化验证方法，突出显示了手动定义安全属性和测试用例覆盖范围有限等非正式实践。
• 提出了一套全链路保护框架，包括工厂行为的形式化建模、增量规格说明生成，以及配备专用安全组件的运行时验证。
• 倡导开发符合IEC-61131-3标准的开源工具，并推动标准化PLC安全基准测试的建立，以支持评估工作。

实验结果

研究问题

• RQ1 控制逻辑修改攻击在多大程度上已演化至能够破坏整个控制链并规避检测？
• RQ2 在PLC程序的形式化验证中，特别是实时约束和规格说明生成方面，存在哪些关键挑战？
• RQ3 为何大多数形式化验证研究仍停留在非正式阶段？哪些障碍阻碍了系统化、可复用验证技术的采用？
• RQ4 如何使运行时验证在PLC中更具实用性与安全性，尤其是在工程站易受攻击的背景下？
• RQ5 开源工具与标准化基准在推动可复现、可扩展的PLC安全研究方面可发挥何种作用？

主要发现

• 控制逻辑修改攻击已变得日益复杂，能够破坏整个控制链，并通过利用隐含指定的属性实现检测规避。
• 形式化验证研究仍以非正式方式为主，大多数研究手动定义安全属性，且依赖极少的测试用例，尽管已有更先进的技术可用。
• 阻碍进展的一个显著障碍是缺乏开源工具与标准化基准，这限制了评估、可复现性以及工具间的集成。
• 由于实时约束以及工程站的脆弱性，运行时验证发展不足，亟需引入专用安全组件（如‘中间插入’解决方案）来保障其可行性。
• 现有形式化验证方法主要集中于完整性保障，对机密性与可用性的关注较少，尤其在多任务与事件驱动的PLC程序中更为明显。
• 增量式与自动化的规格说明生成仍缺乏足够研究，尽管其在提升复杂工业控制系统环境中可扩展性与可维护性方面具有巨大潜力。