[论文解读] Synthesis of Successful Actuator Attackers on Supervisors

Liyong Lin, Sander Thuijsman+4 more|arXiv (Cornell University)|Jul 18, 2018

Security and Verification in Computing参考文献 12被引用 13

一句话总结

本文提出了一种在离散事件系统中针对执行器攻击者的正式模型，该模型可部分观测闭环系统，并窃听监控器发出的控制指令，以操纵可攻击事件。本文引入了‘可攻击性’的概念，并证明了在正常性假设下，存在一个本质最大的成功执行器攻击者，同时提出了一个算法，将此类攻击者合成表示为莫尔自动机。

ABSTRACT

In this work, we propose and develop a new discrete-event based actuator attack model on the closed-loop system formed by the plant and the supervisor. We assume the actuator attacker partially observes the execution of the closed-loop system and eavesdrops the control commands issued by the supervisor. The attacker can modify each control command on a specified subset of attackable events. The attack principle of the actuator attacker is to remain covert until it can establish a successful attack and lead the attacked closed-loop system into generating certain damaging strings. We present a characterization for the existence of a successful attacker, via a new notion of attackability, and prove the existence of the supremal successful actuator attacker, when both the supervisor and the attacker are normal (that is, unobservable events to the supervisor cannot be disabled by the supervisor and unobservable events to the attacker cannot be attacked by the attacker). Finally, we present an algorithm to synthesize the supremal successful attackers that are represented by Moore automata.

研究动机与目标

• 将一种新型执行器攻击模型形式化，其中攻击者可部分观测闭环系统，并窃听监控器发出的控制指令。
• 刻画成功执行器攻击者存在的条件，引入‘可攻击性’的概念。
• 在正常性假设（即可攻击事件对攻击者可观测）下，证明本质最大的成功执行器攻击者存在。
• 开发一个算法，将本质最大的成功执行器攻击者表示为莫尔自动机进行合成。
• 为未来工作奠定基础，以合成对这类执行器攻击具有鲁棒性的监控器。

提出的方法

• 使用带有控制约束的离散事件系统形式化方法，对被控对象、监控器（增强监控功能）、攻击者及闭环系统进行建模。
• 定义攻击者的观测模型：部分观测系统执行过程，并窃听监控器发出的控制指令。
• 引入‘可攻击性’的概念，用于刻画成功攻击者存在的条件，其基础是攻击者能够引导系统进入有害字符串的能力。
• 证明在正常性假设（Σc,A ⊆ Σo,A）下，本质最大的成功攻击者存在且可被合成。
• 基于可攻击性刻画，开发一个合成算法，通过构建表示本质最大成功攻击者的莫尔自动机。
• 利用自然投影和基于语言的推理，验证攻击者可在不被察觉的情况下诱导系统进入有害行为。

实验结果

研究问题

• RQ1 在何种条件下，执行器攻击者能够成功操纵闭环系统，生成有害字符串？
• RQ2 在存在部分观测和窃听的情况下，如何形式化刻画本质最大成功执行器攻击者的存在性？
• RQ3 可攻击性在判断成功攻击是否可行方面起什么作用？
• RQ4 当攻击者可观测所有可攻击事件时，如何算法化地合成本质最大成功攻击者？
• RQ5 假设正常性（Σc,A ⊆ Σo,A）对成功攻击者的存在性与合成有何影响？

主要发现

• 当且仅当系统具备可攻击性时，成功执行器攻击者存在，而可攻击性由本文提出的新概念正式刻画。
• 在正常性假设（Σc,A ⊆ Σo,A）下，本质最大的成功执行器攻击者存在且唯一确定。
• 可通过所提出的算法将本质最大的成功执行器攻击者合成表示为莫尔自动机，该算法基于系统的语言和控制约束构建攻击者。
• 攻击者可窃听控制指令以细化其观测，并战略性地启用或禁用可攻击事件，以实现攻击目标。
• 若闭环系统能在部分观测下生成属于有害语言Ldmg的字符串，则认为攻击成功。
• 该框架可建模被动攻击者（仅启用事件），并为未来研究主动攻击者（通过禁用已启用事件以提高成功概率）打开大门。