Learning Probabilistic Automata in the Context of IEC 104

pravděpodobnostní automata, IEC 104, Alergia

Průmyslová řídicí komunikace ICS (Industrial Communication System) slouží k přenosu monitorovacích a řídicích dat mezi průmyslovými procesy a řídicí stanici. Systémy ICS se používají v různých oblastech kritické infrastruktury, například v energetických rozvodných sítích (power grids), při distribuci vody, plyn či řízení letového provozu. Bezpečnost systémů ICS je obvykle implementována na perimetru sítě prostřednictvím firewallů či zařízení IDS s podporou ICS. Tyto prostředky jsou účinné při detekce útoků z vnějšku, ale nepomáhají, proti vnitřním hrozbám, například v případě, kdy útočník kompromituje vnitřní zařízení pomocí škodlivého softwaru. Pro zabránění či vyloučení interních útoků proti systému ICS je zapotřebí monitorovat provoz ICS a detekovat podezřelé přenosy, které se liší od běžného provozu. V našem výzkumu aplikujeme monitorování pomocí rozšířených IPFIX toků, které obsahují meta data získaná z hlaviček ICS paketů. Narozdíl od jiných přístupů pro detekci anomálií modelujeme sémantiku komunikace ICS, která popisuje typické vzory konverzací mezi zařízeními ICS. V této technické zprávě popisuje techniku pro modelování konverzací ICS pomocí frekvenčních prefixových stromů (PT, prefix trees) a deterministických pravděpodobnostních automatů (DPA). Na popsaných experimentech ukazujeme, že tyto modely jsou účinné pro detekci běžných typů kybernetických útoků jako je vložení příkazu, změna paketu, skenování sítě či porucha připojení. Velkou výhodou tohoto přístupu je, že ho lze snadno integrovat do klasických monitorovacích systémů SIEM. Příklady experimentů jsou ukázány na komunikaci IEC 104, která se používá pro řízení v energetických provozech a rozvodnách.