Defense of Cyber-Physical Systems Against Learning-based Attackers

QC 20231020

Abstract

Cyberattacker mot kritisk infrastruktur utgör ett allvarligt hot mot samhället, eftersom de kan få förödande konsekvenser för ekonomin, säkerheten eller folkhälsan. Dessa infrastrukturer utgörs ofta av ett stort nätverk av cyberkomponenter, såsom sensorer, styrenheter, datorer och kommunikationsenheter, för att övervaka och styra sina fysiska processer. En angripare kan utnyttja sårbarheterna i dessa cyberkomponenter för att få tillgång till systemet och därefter manipulera dess beteende eller funktionalitet.

Denna avhandling behandlar och föreslår metoder som kan användas som en första försvarslinje mot sådana attacker för cyberfysiska system. I den första delen av avhandlingen undersöker vi hur oinformerade angripare kan lära sig att attackera ett cyberfysiskt system genom att avlyssna dem via cyberkomponenten. Genom att lära sig att manipulera det fysiska systemet kan angriparen ta reda på hur man kan förstöra, eller helt ta över det cyberfysiska systemet utan att något alarm går av förrän det är försent. Genom att stoppa angriparen i inlärningsfasen tvingas angriparen att agera mer omedvetet, vilket ökar chanserna att upptäcka dem.

Vi analyserar hur homomorf kryptering, vilket är en krypteringsmetod som möjliggör beräkning med krypterad data, hindrar angriparens inlärnings-process och minskar dess förmåga att attackera systemet. Specifikt visar vi att en angripare måste lösa svåra gitterproblem för att hitta svårdetekterade cyberattacker. Dessutom visar vi hur detektionssannolikheten påverkas av hur bra angriparens lösning är och vilka parametrar i krypteringsschemat som kan justeras för att öka sannolikheten att upptäcka anfallet. Vi utvecklar också en ny metod som möjliggör anomalidetektering över homomorft krypterade data, utan att avslöja de faktiska signalerna för detektorn och därmed avskräcka angripare från att attackera detektorn. Detektionen kan utföras med hjälp av ett hypotestest. Dock måste man se till att färska prover används för att upptäcka förändringar från normalt beteende. Vi undersöker också hur angriparen kan försöka undvika detektion genom att använda samma test, och hur systemet kan utformas för att göra detektionen enklare för försvararen och svårare för angriparen.

I den andra delen av avhandlingen studerar vi hur informationsläckage om förändringar i systemet beror på dess dynamik. Vi använder ett matematiskt verktyg som kallas Hammersley-Chapman-Robbins undre gräns för att mäta hur mycket information som läcker ut och hur man minimerar den. Specifikt studerar vi hur strukturerade insignalssekvenser, som vi kallar händelser, kan uppskattas genom mätningar från ett dynamiskt system och hur denna information kan döljas genom att lägga till brus eller ändra insignalerna. Systemets hastighet och sensorplaceringar påverkar hur mycket information läcker ut. Vi behandlar också frågan om hur man balanserar systemets prestanda och integritet när vi använder optimal styrning. Slutligen visar vi hur man uppskattar när angriparens kunskap om händelsen blir tillräckligt noggrann för att starta en attack och hur man ändrar systemet innan det händer. Dessa resultat används sedan för att hjälpa operatören att upptäcka integritetsbrister vid utformningen av ett cyberfysiskt system, vilket ökar den totala säkerheten när de tas bort.

urn.kb.se/resolve?urn=urn:nbn:se:kth:diva-338318