WO2020166315A1 - 検知方法、検知システムおよび検知プログラム - Google Patents

検知方法、検知システムおよび検知プログラム Download PDF

Info

Publication number
WO2020166315A1
WO2020166315A1 PCT/JP2020/002838 JP2020002838W WO2020166315A1 WO 2020166315 A1 WO2020166315 A1 WO 2020166315A1 JP 2020002838 W JP2020002838 W JP 2020002838W WO 2020166315 A1 WO2020166315 A1 WO 2020166315A1
Authority
WO
WIPO (PCT)
Prior art keywords
state
detection
controlled object
control input
sensor data
Prior art date
Application number
PCT/JP2020/002838
Other languages
English (en)
French (fr)
Inventor
真奈美 伊藤
健一郎 武藤
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/429,945 priority Critical patent/US11876811B2/en
Publication of WO2020166315A1 publication Critical patent/WO2020166315A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/009—Security arrangements; Authentication; Protecting privacy or anonymity specially adapted for networks, e.g. wireless sensor networks, ad-hoc networks, RFID networks or cloud networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]

Definitions

  • the present invention relates to a detection method, a detection system, and a detection program.
  • a confidential issue occurs in which the control system design information is leaked.
  • an attacker may use the identified control system to accurately calculate the estimated value of the sensor data and perform tampering to make it appear to be operating normally at a higher level than a replay attack, making detection more difficult. become.
  • the present invention has been made in view of the above, and an object thereof is to detect a replay attack by making it difficult for an attacker to identify the parameters of the control system.
  • a detection method is a detection method executed by a detection system having a sensor and a controller, wherein the controller outputs from the sensor.
  • a state estimation step of calculating an estimated value of the state of the controlled object using sensor data representing the state of the controlled object and a control input for controlling the state of the controlled object, and estimation of the calculated state of the controlled object A calculation step of calculating the control input to which colored noise in a predetermined frequency band is added according to the value is included.
  • FIG. 1 is a schematic diagram showing a schematic configuration of a detection system according to this embodiment.
  • FIG. 2 is a diagram for explaining an attack by an attacker.
  • FIG. 3 is a diagram for explaining an attack by an attacker.
  • FIG. 4 is a flowchart showing a detection processing procedure by the detection system according to the present embodiment.
  • FIG. 5 is a diagram for explaining the embodiment.
  • FIG. 6 is a diagram for explaining the embodiment.
  • FIG. 7 is a diagram illustrating an example of a computer that executes the detection program.
  • FIG. 1 is a schematic diagram showing a schematic configuration of the detection system according to the present embodiment.
  • the detection system 1 is a control system that feedback-controls the state of a controlled object 2 such as a heat engine according to the current state.
  • the detection system 1 includes a controlled object 2, a sensor 3, a controller 4, and an actuator 5.
  • the sensor 3 is a sensor such as a temperature sensor that measures the state of the controlled object 2 and outputs sensor data obtained by sensing physical information indicating the state of the controlled object 2 to the controller 4 via the network.
  • the sensor 3 is realized by, for example, an MPU (Micro Processing Unit) or FPGA (Field Programmable Gate Array).
  • the controller 4 uses the sensor data received from the sensor 3 to calculate the control input for controlling the actuator 5 such as the valve of the control target 2.
  • the controller 4 estimates the state of the controlled object 2 calculated using the sensor data indicating the state of the controlled object 2 output from the sensor 3 and the control input for controlling the state of the controlled object 2.
  • the control input to which the colored noise in the predetermined frequency band is added is calculated according to the value.
  • the controller 4 is realized by a general-purpose computer such as a personal computer, and a control unit such as a CPU (Central Processing Unit) executes a processing program stored in the memory.
  • a control unit such as a CPU (Central Processing Unit) executes a processing program stored in the memory.
  • the control unit functions as the state estimation unit 4a, the calculation unit 4b, and the detection unit 4c as illustrated in FIG.
  • These functional units may be implemented in hardware that is different from each other or in part.
  • the detection unit 4c may be mounted on a device different from the controller 4.
  • a communication control unit (not shown) realized by a NIC (Network Interface Card) or the like controls communication between the control unit and external devices such as the control target 2 and the sensor 3 via the network.
  • the controller 4 also includes a storage unit (not shown) realized by a semiconductor memory device such as a RAM or a flash memory, or a storage device such as a hard disk or an optical disc.
  • the state x(k) (hereinafter, also referred to as x k ) of the controlled object 2 at the discrete time k is represented by the following expression (1).
  • (k+1) means the time after one step of k.
  • w(k) is modeling noise.
  • the sensor data y(k) (hereinafter, also referred to as y k ) output by the sensor 3 is represented by the following equation (2).
  • v(k) is environmental noise.
  • the state estimation unit 4a calculates an estimated value of the state of the controlled object 2 using the sensor data indicating the state of the controlled object 2 and the control input for controlling the state of the controlled object 2. Specifically, the state estimation unit 4a uses the Kalman filter to calculate the estimated value of the state of the controlled object 2 as shown in the following expression (3).
  • the calculation unit 4b calculates the control input to which the colored noise in the predetermined frequency band is added according to the calculated estimated value of the state of the controlled object 2. Specifically, the calculation unit 4b calculates a control input for performing optimal control so that the fluctuation of the sensor data y(k) including the environmental noise v(k) shown in the above equation (2) becomes steady. To do. Further, the calculation unit 4b adds colored noise having a frequency ⁇ within a predetermined range to the control input for performing the optimum control indicated by the dotted line in the following expression (4).
  • FIGS. 2 and 3 are diagrams for explaining an attack by an attacker.
  • FIG. 2 illustrates a replay attack.
  • attacker steals the sensor data y k-s past (k-s) is performed replay attacks that tampered with y k-s sensor data y k at the time of the attack.
  • the detection unit 4c monitors the difference between the value of the sensor data and the estimated value of the sensor data calculated from the estimated value of the state to monitor the presence or absence of abnormality. Therefore, the attacker can make a replay attack by tampering with the sensor data using the same sensor data as in the past, without the controller 4 being aware of it.
  • the controller 4 that is, the state estimating unit 4a and the calculating unit 4b cannot detect the replay attack, the attacker can make an arbitrary input to the actuator 5 that causes an illegal operation of the controlled object 2.
  • the calculating unit 4b outputs the control input u k to which the white noise is added to the actuator 5 as shown in the following expression (5), thereby making it possible to detect the replay attack. That is, since the same sensor data as past sensor data is not actually output due to the addition of noise, it is possible to detect a replay attack.
  • the white noise is noise that follows a normal distribution with mean 0 variance ⁇ .
  • FIG. 3 illustrates an attack by parameter identification.
  • the attacker steals the combination of the control input u k and the sensor data y k to identify the parameters of the control system.
  • the attacker uses the PBSID method known as an algorithm capable of identifying the parameter only by the input/output data, and uses the parameter A of the control system shown in the above equations (1) to (3), B and C can be identified.
  • the PBSID method is an algorithm for identifying the parameters A, B, C, D, and K of the innovation format represented by the following equation (6).
  • the attacker can calculate the estimated value y k ′ of the sensor data y k . Therefore, the attacker can tamper with the sensor data y k with higher accuracy than the replay attack, and can make an arbitrary input to the actuator 5 that causes an unauthorized operation of the controlled object 2.
  • the attacker can collect various combinations of the control input u k and the sensor data y k , so that the degree of PE property known as an index of identifiability becomes infinite.
  • the PE property indicates that the larger the order, the more accurate the identification can be.
  • the detection unit 4c detects an attack using past sensor data. For example, as shown in FIGS. 2 and 3, the detection unit 4c detects a replay attack by monitoring the difference between the value of the sensor data and the estimated value of the sensor data calculated from the estimated value of the state. There is.
  • the detection unit 4c performs a chi-square test of the degree of freedom p using the difference between the estimated value of the sensor data and the actual center data as a random variable, as shown in the following expression (7). That is, the detection unit 4c determines that there is a replay attack when the value of the statistic g k represented by the following equation (7) exceeds a predetermined threshold.
  • the calculation unit 4b selects the colored noise in the frequency band in which M (1) is as large as possible, thereby improving the replay attack detection performance. As described above, the calculation unit 4b selects the frequency band of the colored noise using the predetermined index M (1) , thereby improving the replay attack detection performance.
  • FIG. 4 is a flowchart showing a detection processing procedure by the detection system 1 according to the present embodiment.
  • the flowchart of FIG. 4 starts, for example, at the timing when the user performs an operation for instructing the controller 4 to start.
  • the controller 4 receives sensor data obtained by sensing physical information indicating the state of the control target 2 by the sensor 3 (step S1).
  • the state estimation unit 4a calculates the estimated value of the state of the controlled object 2 using the sensor data yk output from the sensor 3 and the control input uk calculated by the calculation unit 4b (step S2). ..
  • the calculation unit 4b calculates a control input for performing optimal control according to the estimated value of the state (step S3). Further, the calculation unit 4b adds colored noise having a frequency ⁇ in a predetermined range to the control input for performing the optimum control (step S4).
  • the calculation unit 4b outputs the control input to which the colored noise is added to the actuator 5, returns the processing to step S1, and waits for the response of the sensor data output from the sensor 3.
  • the state estimation unit 4a of the controller 4 controls the sensor data output from the sensor 3 indicating the state of the control target 2 and the state of the control target 2.
  • the estimated value of the state of the controlled object 2 is calculated using the control input.
  • the calculation unit 4b calculates the control input to which the colored noise in the predetermined frequency band is added according to the calculated estimated value of the state of the controlled object 2.
  • the detection system 1 of the present embodiment it becomes possible to easily detect the replay attack by making it difficult for the attacker to identify the parameter of the control system without changing the system configuration. Therefore, it is possible to prevent the leakage of confidential information and the attack due to more advanced falsification.
  • parameter identification is performed using a control system that performs feedback control.
  • This control system is specified by the parameter expressed by the following equation (11).
  • Q and R respectively represent the variances of the modeled noise w and the environmental noise v that follow a normal distribution.
  • N 100 times of parameter identification was performed by 1000 steps per operation using the conventional Watermark method and the control input u k according to the proposed method of the above-described embodiment.
  • the conventional Watermark method it was assumed that white noise was added to the control input u k as represented by the following expression (12).
  • control input u k has color noise added thereto as represented by the following expression (13).
  • FIG. 5 and 6 are diagrams for explaining the embodiment.
  • the identified eigenvalue of the parameter A and the true value are plotted in polar coordinates.
  • the identification result and the true value are close to each other, and it is understood that the identification is performed accurately.
  • the identification result and the true value are widely separated from each other, and the identification accuracy is low.
  • the detection system 1 of the above-described embodiment it is confirmed that the parameter identification is difficult.
  • FIG. 6 illustrates the detection result of the replay attack in the control system of the proposed method of the above embodiment.
  • FIG. 6B as shown in the above equation (13), the control input u k to which the colored noise in the frequency band in which M (1) shown in FIG. 6A is sufficiently large is added is added.
  • the time series change of the statistic g k (hereinafter, referred to as g) shown in the above formula (7) is illustrated.
  • the detection system 1 of the above-described embodiment it is confirmed that the replay attack can be detected.
  • the controller 4 of the detection system 1 can be implemented by installing a detection program that executes the above detection processing as package software or online software in a desired computer.
  • the information processing apparatus can be caused to function as the controller 4 by causing the information processing apparatus to execute the above detection program.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • the information processing device includes in its category a mobile communication terminal such as a smartphone, a mobile phone, a PHS (Personal Handyphone System), and a slate terminal such as a PDA (Personal Digital Assistant).
  • the function of the controller 4 may be implemented in the cloud server.
  • FIG. 7 is a diagram illustrating an example of a computer that executes a detection program.
  • the computer 1000 has, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031.
  • the disk drive interface 1040 is connected to the disk drive 1041.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • a mouse 1051 and a keyboard 1052 are connected to the serial port interface 1050, for example.
  • a display 1061 is connected to the video adapter 1060, for example.
  • the hard disk drive 1031 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. Each information described in the above embodiment is stored in, for example, the hard disk drive 1031 or the memory 1010.
  • the detection program is stored in the hard disk drive 1031 as a program module 1093 in which a command executed by the computer 1000 is described, for example.
  • the program module 1093 in which each process executed by the controller 4 described in the above embodiment is described is stored in the hard disk drive 1031.
  • the data used for information processing by the detection program is stored in the hard disk drive 1031 as the program data 1094. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the hard disk drive 1031 into the RAM 1012 as necessary, and executes the above-described procedures.
  • the program module 1093 and the program data 1094 related to the detection program are not limited to being stored in the hard disk drive 1031 and may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1041 or the like. May be done.
  • the program module 1093 and the program data 1094 related to the detection program are stored in another computer connected via a network such as LAN or WAN (Wide Area Network) and read by the CPU 1020 via the network interface 1070. May be.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

コントローラ（４）の状態推定部（４ａ）が、センサ（３）から出力された制御対象（２）の状態を表すセンサデータと、制御対象（２）の状態を制御する制御入力とを用いて、制御対象（２）の状態の推定値を算出する。また、コントローラ（４）の算出部（４ｂ）が、算出された制御対象（２）の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した制御入力を算出する。

Description

検知方法、検知システムおよび検知プログラム
　本発明は、検知方法、検知システムおよび検知プログラムに関する。
　近年、センサデータを基にフィードバック制御を行う制御システムに、ネットワークを用いるケースが増加している。それに伴い、サイバー攻撃のリスクが増大している。特に、過去のセンサデータを用いて正常に動作しているように見せかける改ざんを行うリプレイ攻撃は、検知が困難であり、対策が必要である。
　そこで、リプレイ攻撃を検知するために、制御入力に微小なホワイトノイズを付加し、センサデータの応答を監視するＷａｔｅｒｍａｒｋと呼ばれる技術が提案されている（非特許文献１参照）。
Yilin　Mo,　Rohan　Chabukswar,　Bruno　Sinopoli,　"Detecting　Integrity　Attacks　on　SCADA　Systems",　IEEE　Transactions　on　Control　System　Technology,　Volume　22,　Issue　4,　2014年7月,　P.1396-1407
　しかしながら、従来の技術によれば、攻撃者による制御システムのパラメータ同定が高精度に可能となる恐れがある。すなわち、制御入力にホワイトノイズを付加すると、制御入力に十分なばらつきが発生するため、アルゴリズムの可同定条件を満たし、攻撃者によるパラメータ同定の精度が大幅に向上してしまう恐れがある。
　制御システムのパラメータが攻撃者に同定されると、制御システムの設計情報が漏洩するという機密上の問題が発生する。また、攻撃者が、同定した制御システムを用いて正確にセンサデータの推定値を算出し、リプレイ攻撃より高度に、正常に動作しているように見せかける改ざんを行う恐れがあり、検知がさらに困難になる。
　本発明は、上記に鑑みてなされたものであって、攻撃者による制御システムのパラメータ同定を困難にして、リプレイ攻撃を検知することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る検知方法は、センサとコントローラとを有する検知システムで実行される検知方法であって、前記コントローラが、前記センサから出力された制御対象の状態を表すセンサデータと前記制御対象の状態を制御する制御入力とを用いて、前記制御対象の状態の推定値を算出する状態推定工程と、算出された前記制御対象の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した前記制御入力を算出する算出工程と、含んだことを特徴とする。
　本発明によれば、攻撃者による制御システムのパラメータ同定を困難にして、リプレイ攻撃を検知することが可能となる。
図１は、本実施形態に係る検知システムの概要構成を示す模式図である。 図２は、攻撃者による攻撃を説明するための図である。 図３は、攻撃者による攻撃を説明するための図である。 図４は、本実施形態に係る検知システムによる検知処理手順を示すフローチャートである。 図５は、実施例を説明するための図である。 図６は、実施例を説明するための図である。 図７は、検知プログラムを実行するコンピュータの一例を示す図である。
　以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［検知システムの構成］
　図１は、本実施形態に係る検知システムの概略構成を示す模式図である。検知システム１は、例えば熱機関等の制御対象２の状態を、現在の状態に応じてフィードバック制御する制御システムである。図１に例示するように、検知システム１は、制御対象２、センサ３、コントローラ４、およびアクチュエータ５を有する。
　センサ３は、制御対象２の状態を計測する温度センサ等のセンサであり、制御対象２の状態を表す物理情報をセンシングしたセンサデータを、ネットワークを介してコントローラ４に出力する。センサ３は、例えば、ＭＰＵ（Micro　Processing　Unit）やＦＰＧＡ（Field　Programmable　Gate　Array）等で実現される。
　コントローラ４は、センサ３から受信したセンサデータを用いて、例えば制御対象２のバルブ等のアクチュエータ５を制御する制御入力を算出する。本実施形態において、コントローラ４は、センサ３から出力された制御対象２の状態を表すセンサデータと、制御対象２の状態を制御する制御入力とを用いて算出される制御対象２の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した制御入力を算出する。
　具体的には、コントローラ４は、例えばパソコン等の汎用コンピュータで実現され、ＣＰＵ（Central　Processing　Unit）等である制御部がメモリに記憶された処理プログラムを実行する。これにより制御部が、図１に示すように、状態推定部４ａ、算出部４ｂ、および検知部４ｃとして機能する。これらの機能部は、それぞれ、あるいは一部が異なるハードウェアに実装されてもよい。例えば、検知部４ｃは、コントローラ４とは異なる装置に実装されてもよい。
　また、コントローラ４は、ＮＩＣ（Network　Interface　Card）等で実現される不図示の通信制御部が、制御部と制御対象２やセンサ３等の外部の装置とのネットワークを介した通信を制御する。また、コントローラ４は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される不図示の記憶部を備える。
　ここで、離散時間ｋにおける制御対象２の状態ｘ（ｋ）（以下、ｘｋとも記す）は、次式（１）を用いて表される。ここで、（ｋ＋１）は、ｋの１ステップ後の時間を意味する。また、ｗ（ｋ）はモデル化ノイズである。
Figure JPOXMLDOC01-appb-M000001
　この場合に、センサ３が出力するセンサデータｙ（ｋ）（以下、ｙｋとも記す）は、次式（２）で表される。ここで、ｖ（ｋ）は環境ノイズである。
Figure JPOXMLDOC01-appb-M000002
　状態推定部４ａは、制御対象２の状態を表すセンサデータと制御対象２の状態を制御する制御入力とを用いて、制御対象２の状態の推定値を算出する。具体的には、状態推定部４ａは、カルマンフィルタを用いて、次式（３）に示すように、制御対象２の状態の推定値を算出する。
Figure JPOXMLDOC01-appb-M000003
　算出部４ｂは、算出された制御対象２の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した制御入力を算出する。具体的には、算出部４ｂは、上記式（２）に示した、環境ノイズｖ（ｋ）を含むセンサデータｙ（ｋ）の揺らぎを定常化するように、最適制御を行う制御入力を算出する。また、算出部４ｂは、次式（４）に点線で示す最適制御を行う制御入力に、所定範囲の周波数ωの有色ノイズを付加する。
Figure JPOXMLDOC01-appb-M000004
　ここで、図２および図３は、攻撃者による攻撃を説明するための図である。まず、図２には、リプレイ攻撃が例示されている。図２に示す例では、攻撃者が過去（ｋ－ｓ）のセンサデータｙｋ－ｓを窃取して、攻撃時にセンサデータｙｋをｙｋ－ｓに改ざんするリプレイ攻撃を行っている。この場合に、検知部４ｃは、センサデータの値と状態の推定値から算出されるセンサデータの推定値との差分を監視して、異常の有無を監視している。したがって、攻撃者は、コントローラ４に気づかれないように、過去と同一のセンサデータを用いてセンサデータを改ざんするリプレイ攻撃を行うことが可能である。
　そして、コントローラ４すなわち状態推定部４ａおよび算出部４ｂがリプレイ攻撃を検知できないと、攻撃者がアクチュエータ５に対し、制御対象２の不正動作を引き起こす任意の入力を行うことが可能となる。
　そこで、従来のＷａｔｅｒｍａｒｋ法では、次式（５）に示すように、算出部４ｂは、ホワイトノイズを付加した制御入力ｕｋをアクチュエータ５に出力することにより、リプレイ攻撃を検知可能としていた。すなわち、ノイズが付加されることにより、過去のセンサデータと同一のセンサデータが実際に出力されることがないため、リプレイ攻撃を検知することが可能となる。ここで、ホワイトノイズは、平均０分散Ξの正規分布に従うノイズである。
Figure JPOXMLDOC01-appb-M000005
　一方、図３には、パラメータ同定による攻撃が例示されている。図３に示す例では、攻撃者が制御入力ｕｋとセンサデータｙｋとの組み合わせを窃取することにより、制御システムのパラメータ同定を行っている。
　例えば、攻撃者は、フィードバック制御環境において、入出力データのみでパラメータを同定可能なアルゴリズムとして知られるＰＢＳＩＤ法を用いて、上記式（１）～式（３）に示した制御システムのパラメータＡ、Ｂ、Ｃを同定することができる。ＰＢＳＩＤ法とは、次式（６）のように表されるイノベーション形式のパラメータＡ、Ｂ、Ｃ、Ｄ、Ｋを同定するアルゴリズムである。
Figure JPOXMLDOC01-appb-M000006
　パラメータが同定されると、攻撃者は、センサデータｙｋの推定値ｙｋ’を算出することが可能となる。したがって、攻撃者は、リプレイ攻撃より高精度にセンサデータｙｋの改ざんを行って、アクチュエータ５に対し、制御対象２の不正動作を引き起こす任意の入力を行うことが可能となる。
　ここで、上記式（５）のように、制御入力にホワイトノイズが付加された場合には、制御入力のばらつきが大きくなる。そうすると、攻撃者は、制御入力ｕｋとセンサデータｙｋとの組み合わせを多様に収集可能であるため、可同定性の指標として知られるＰＥ性の次数が無限大となる。ＰＥ性は、次数が大きいほど高精度な同定が可能であることを示す。
　これに対し、上記式（４）のように、制御入力に有色ノイズを付加された場合には、有色ノイズに含まれる正弦波の周波数ωの数ｎに対し、ＰＥ性の次数は２ｎとなる。したがって、制御システムに影響の少ない周波数帯の有色ノイズを選択することにより、制御システムのパラメータ同定が困難になることがわかる。
　図１の説明に戻る。検知部４ｃは、過去のセンサデータを用いた攻撃を検知する。例えば、図２および図３に示したように、検知部４ｃは、センサデータの値と状態の推定値から算出されるセンサデータの推定値との差分を監視して、リプレイ攻撃の検知している。
　具体的には、検知部４ｃは、次式（７）に示すように、センサデータの推定値と実際のセンタデータとの差を確率変数として、自由度ｐのカイ二乗検定を行う。すなわち、検知部４ｃは、次式（７）で表される統計量ｇｋの値が所定の閾値を超えた場合に、リプレイ攻撃が有ると判定する。
Figure JPOXMLDOC01-appb-M000007
　ここで、リプレイ攻撃がない場合には、確率変数「センサデータの推定値と実際のセンタデータとの差」の二乗の期待値は、次式（８）で表される。
Figure JPOXMLDOC01-appb-M000008
　一方、リプレイ攻撃がある場合には、確率変数「センサデータの推定値と実際のセンタデータとの差」の二乗の期待値は、次式（９）および式（１０）で表される。
Figure JPOXMLDOC01-appb-M000009
Figure JPOXMLDOC01-appb-M000010
　これらの値は、リプレイ攻撃がある場合に、リプレイ攻撃がない場合よりＭだけ大きくなる。したがって、Ｍが十分に大きければ、リプレイ攻撃の検知が可能である。そこで、本実施形態の検知システム１では、Ｍ（１）ができるだけ大きくなる周波数帯の有色ノイズを算出部４ｂが選択することにより、リプレイ攻撃の検知性能を向上させることが可能となる。このように、算出部４ｂが、所定の指標Ｍ（１）を用いて有色ノイズの周波数帯を選択することにより、リプレイ攻撃の検知性能を向上させることが可能となる。
［検知処理］
　図４は、本実施形態に係る検知システム１による検知処理手順を示すフローチャートである。図４のフローチャートは、例えば、ユーザがコントローラ４に開始を指示する操作を行ったタイミングで開始される。
　まず、コントローラ４は、センサ３が制御対象２の状態を示す物理情報をセンシングしたセンサデータを受信する（ステップＳ１）。コントローラ４では、状態推定部４ａが、センサ３から出力されたセンサデータｙｋと、算出部４ｂが算出した制御入力ｕｋとを用いて、制御対象２の状態の推定値を算出する（ステップＳ２）。
　算出部４ｂは、状態の推定値に応じて、最適制御を行う制御入力を算出する（ステップＳ３）。また、算出部４ｂは、最適制御を行う制御入力に、所定範囲の周波数ωの有色ノイズを付加する（ステップＳ４）。
　そして、算出部４ｂは、有色ノイズを付加した制御入力をアクチュエータ５に出力し、処理をステップＳ１に戻し、センサ３から出力されるセンサデータの応答を待つ。
　以上、説明したように、本実施形態の検知システム１において、コントローラ４の状態推定部４ａが、センサ３から出力された制御対象２の状態を表すセンサデータと、制御対象２の状態を制御する制御入力とを用いて、制御対象２の状態の推定値を算出する。また、算出部４ｂが、算出された制御対象２の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した制御入力を算出する。
　これにより、本実施形態の検知システム１では、システム構成を変更することなく容易に、攻撃者による制御システムのパラメータ同定を困難にして、リプレイ攻撃を検知することが可能となる。したがって、機密情報の漏洩やさらに高度な改ざんによる攻撃を防止することが可能となる。
［実施例］
　本実施例では、フィードバック制御を行う制御システムを用いて、パラメータ同定を行った。この制御システムは、次式（１１）で表されるパラメータで特定される。ここで、Ｑ、Ｒはそれぞれ、正規分布に従うモデル化ノイズｗ、環境ノイズｖの分散を表す。
Figure JPOXMLDOC01-appb-M000011
　この制御システムにおいて、従来のＷａｔｅｒｍａｒｋ法、および上記実施形態の提案手法による制御入力ｕｋを用いて、１回につき１０００ステップの動作によるパラメータ同定を、Ｎ＝１００回行った。従来のＷａｔｅｒｍａｒｋ法では、制御入力ｕｋが、次式（１２）で表されるように、ホワイトノイズが付加されたものと仮定した。
Figure JPOXMLDOC01-appb-M000012
　また、上記実施形態の提案手法では、制御入力ｕｋが、次式（１３）で表されるように、有色ノイズが付加されたものと仮定した。
Figure JPOXMLDOC01-appb-M000013
　図５および図６は、実施例を説明するための図である。図５には、同定したパラメータＡの固有値と、真の値とが極座標にプロットされている。従来のＷａｔｅｒｍａｒｋ法によれば、図５（ａ）に示すように、同定結果と真値とが近く、精度よく同定されていることがわかる。一方、上記実施形態の提案手法によれば、図５（ｂ）に示すように、同定結果と真値とが大きく離れており、同定精度が低いことがわかる。このように、上記実施形態の検知システム１によれば、パラメータ同定が困難であることが確認された。
　次に、図６には、上記実施形態の提案手法の制御システムにおけるリプレイ攻撃の検知結果が例示されている。ここで、図６（ａ）には、上記式（１０）で示したＭ（１）と周波数ωとの関係が例示されている。図６（ａ）示すように、太枠で囲んで示す周波数帯（ｗ＝０．１，０１１，…，０．２）では、Ｍ（１）が十分に大きいことがわかる。
　また、図６（ｂ）には、上記式（１３）に示したように、図６（ａ）で示したＭ（１）が十分に大きい周波数帯の有色ノイズが付加された制御入力ｕｋを用いた場合における、上記式（７）に示した統計量ｇｋ（以下、ｇと記す）の時系列変化が例示されている。ここでは、Ｔｉｍｅ＝１００からリプレイ攻撃を開始して、ｇの変化を監視した。この場合に、図６（ｂ）に示すように、Ｔｉｍｅ＝１００以降にｇの値が大きく変化して、所定の閾値を超えていることから、Ｔｉｍｅ＝１００以降にリプレイ攻撃があると判定できる。このように、上記実施形態の検知システム１によれば、リプレイ攻撃の検知が可能であることが確認された。
［プログラム］
　上記実施形態に係る検知システム１が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、検知システム１のコントローラ４は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置をコントローラ４として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）などの移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）などのスレート端末などがその範疇に含まれる。また、コントローラ４の機能を、クラウドサーバに実装してもよい。
　図７は、検知プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
　ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
　また、検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明したコントローラ４が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
　また、検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１　検知システム
　２　制御対象
　３　センサ
　４　コントローラ
　４ａ　状態推定部
　４ｂ　算出部
　４ｃ　検知部
　５　アクチュエータ

Claims (5)

  1. 　センサとコントローラとを有する検知システムで実行される検知方法であって、
    　前記コントローラが、
    　前記センサから出力された制御対象の状態を表すセンサデータと前記制御対象の状態を制御する制御入力とを用いて、前記制御対象の状態の推定値を算出する状態推定工程と、
    　算出された前記制御対象の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した前記制御入力を算出する算出工程と、
    　含んだことを特徴とする検知方法。
  2. 　前記算出工程において、所定の指標を用いて前記所定の周波数帯を選択できることを特徴とする請求項１に記載の検知方法。
  3. 　前記コントローラが、前記センサデータを用いて、過去のセンサデータを用いた攻撃を検知する検知工程を、さらに含んだことを特徴とする請求項１に記載の検知方法。
  4. 　センサとコントローラとを有する検知システムであって、
    　前記コントローラが、
    　前記センサから出力された制御対象の状態を表すセンサデータと前記制御対象の状態を制御する制御入力とを用いて、前記制御対象の状態の推定値を算出する状態推定部と、
    　算出された前記制御対象の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した前記制御入力を算出する算出部と、
    　を備えることを特徴とする検知システム。
  5. 　センサから出力された制御対象の状態を表すセンサデータと前記制御対象の状態を制御する制御入力とを用いて、前記制御対象の状態の推定値を算出する状態推定ステップと、
    　算出された前記制御対象の状態の推定値に応じて、所定の周波数帯の有色ノイズを付加した前記制御入力を算出する算出ステップと、
    　コンピュータに実行させる検知プログラム。
PCT/JP2020/002838 2019-02-13 2020-01-27 検知方法、検知システムおよび検知プログラム WO2020166315A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/429,945 US11876811B2 (en) 2019-02-13 2020-01-27 Detection method, detection system, and detection program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-023962 2019-02-13
JP2019023962A JP2020135073A (ja) 2019-02-13 2019-02-13 検知方法、検知システムおよび検知プログラム

Publications (1)

Publication Number Publication Date
WO2020166315A1 true WO2020166315A1 (ja) 2020-08-20

Family

ID=72044859

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/002838 WO2020166315A1 (ja) 2019-02-13 2020-01-27 検知方法、検知システムおよび検知プログラム

Country Status (3)

Country Link
US (1) US11876811B2 (ja)
JP (1) JP2020135073A (ja)
WO (1) WO2020166315A1 (ja)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005204392A (ja) * 2004-01-14 2005-07-28 Brother Ind Ltd モータ制御装置

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005204392A (ja) * 2004-01-14 2005-07-28 Brother Ind Ltd モータ制御装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SANCHEZ ET AL.: "Detection of replay attacks in cyber-physical systems using a frequency-based signature", JOURNAL OF THE FRANKLIN INSTITUTE, vol. 356, no. 5, 12 February 2019 (2019-02-12), pages 2798 - 2824, XP055733639 *

Also Published As

Publication number Publication date
JP2020135073A (ja) 2020-08-31
US20220217159A1 (en) 2022-07-07
US11876811B2 (en) 2024-01-16

Similar Documents

Publication Publication Date Title
EP3210364B1 (en) Systems and methods for application security analysis
EP3213243B1 (en) Systems and methods for privately performing application security analysis
KR20170121717A (ko) 산업 자산 제어 시스템의 도메인 레벨 위협 검출
CN110383278A (zh) 用于检测恶意计算事件的系统和方法
EP3455770B1 (en) Systems and methods for determining security risk profiles
CN103905450B (zh) 智能电网嵌入式设备网络检测评估系统与检测评估方法
US8955109B1 (en) Educating computer users concerning social engineering security threats
JP6400758B2 (ja) 不正リモート管理からのコンピュータを保護するためのシステム及び方法
CN103023922B (zh) 基于控制流模型行为的动态远程证明方法
US20220019676A1 (en) Threat analysis and risk assessment for cyber-physical systems based on physical architecture and asset-centric threat modeling
US11252179B2 (en) Risk analyzer and risk analysis method
Antrobus et al. The forgotten I in IIoT: A vulnerability scanner for industrial Internet of Things
US20170134418A1 (en) System and method for a uniform measure and assessement of an institution's aggregate cyber security risk and of the institution's cybersecurity confidence index.
JP2019036273A (ja) ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するシステム及び方法
JP2022177006A (ja) プロセス制御システムの整合性低下を識別する方法
CN112242991A (zh) 用于关联事件来检测信息安全事故的系统和方法
CN109843026B (zh) 用于电子设备的散热方法和散热装置
WO2020166315A1 (ja) 検知方法、検知システムおよび検知プログラム
Robles-Durazno et al. Newly engineered energy-based features for supervised anomaly detection in a physical model of a water supply system
JPWO2019240020A1 (ja) 不正通信検知装置、不正通信検知方法及び製造システム
JP7298701B2 (ja) 分析システム、方法およびプログラム
US20230164170A1 (en) Automatic Vulnerability Mitigation in Cloud Environments
JP2019003533A (ja) 検知装置および検知方法
JP7184197B2 (ja) 異常検出装置、異常検出方法および異常検出プログラム
KR102121274B1 (ko) 강인(Robust) 필터, 비지도 군집(Unsupervised clustering)에 기반한 해석적 가중치 최소자승 위치 추정 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20756022

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20756022

Country of ref document: EP

Kind code of ref document: A1