语义与时间的双界桥接：基于领域知识的工业过程攻击分析与关联
密码学与安全
2023-12-05 v2 系统与控制
系统与控制
摘要
现代工业控制系统（ICS）攻击感染监控与数据采集（SCADA）主机以隐蔽地改变工业过程，造成破坏。为以低误报检测攻击，近期工作在 SCADA 和过程数据中均检测攻击。不幸的是，这导致了同样的问题—— disjointed（虚假）告警，源于 SCADA 与过程行为间的语义与时间鸿沟，即 SCADA 执行既不映射到过程动态，也不以相似时间尺度演化。我们提出 BRIDGE，利用领域知识分析与关联 SCADA 与工业过程攻击，以桥接其独特的语义与时间演化。这使得操作员能将恶意 SCADA 操作与其不利过程影响联系起来，从而降低误报并改进攻击理解。BRIDGE（i）通过测量 SCADA 过程控制中的驱动依赖关系，识别 SCADA 中过程约束的违反；（ii）通过嵌入惯性过程动态通用知识的物理信息神经网络，检测过程中恶意的 SCADA 影响。BRIDGE 随后在基于过程惯性延迟调整其时间演化的时间窗中动态对齐两种分析（i 和 ii）。我们将 BRIDGE 应用于 11 种多样的真实工业过程，以及受过往事件启发的自适应攻击。BRIDGE 以 0.8% 误报（FP）关联了 98.3% 的攻击，而近期工作的检测准确率为 78.3%、FP 为 13.7%。
引用
@article{arxiv.2311.18539,
title = {Bridging Both Worlds in Semantics and Time: Domain Knowledge Based Analysis and Correlation of Industrial Process Attacks},
author = {Moses Ike and Kandy Phan and Anwesh Badapanda and Matthew Landen and Keaton Sadoski and Wanda Guo and Asfahan Shah and Saman Zonouz and Wenke Lee},
journal= {arXiv preprint arXiv:2311.18539},
year = {2023}
}