Specification-based Intrusion Detection for Hierarchical Hybrid Industrial Control Systems
Détection d'Intrusions basée sur les spécifications pour les Systèmes de Contrôles-Commande Industriels Hiérarchiques Hybrides
Résumé
This thesis tackles the question of cybersecurity through network intrusion detection for Industrial
Control Systems (ICSs). Our interest arises from the increasing number of cybersecurity
incidents targeting ICSs and the need to detect attacks that manipulate the physical process.
Such attacks are called process aware attacks: they are sophisticated cyberattacks aiming at
disrupting the physical process and inducing incorrect behaviors of the system.
In this manuscript, we propose a signicant contribution by developing a specicationbased,
process aware, Intrusion Detection System (IDS) for ICSs. ICSs are distributed and
hierarchical control systems, built on top of local control loops which are the system's elementary
building blocks.
Our approach aims to link safety specications and security properties. Thus, we use
international and industry standards specications concerning local safety, global safety and
networks of the industrial process, in order to systematically obtain security properties. The
obtained security properties are cybersecurity related requirements. They are translated into
security patterns in order to be runtime monitored by our network IDS. We rely on speci
cation language formalism such as Linear Temporal Logic (LTL), Metric Temporal Logic
(MTL) and Signal Temporal Logic (STL) to express temporal properties and tackle the hybrid
dynamics of ICSs. Our approach relies on a monitoring framework, capturing network trac
between the local loops and the distributed control level (i.e. on eldbuses notably), as well
as between distributed control and supervisory control.
In our work, we also explore a distributed deployment framework for our IDS. This is
motivated by the necessity to deploy multiple IDS instances when more detection capacities
are required, in order to monitor larger industrial systems in spread out environments. Our
distributed framework consists in structurally identical IDS instances deployed across the
system and coordinated in a way that they can monitor system's local and global security
properties.
We implemented and evaluated our IDSs on physical ICS testbeds. We experimentally
show that our IDS detects a large spectrum of attacks. We showed the detection capacities
of our distributed deployment. We show that our approach is scalable since its detection
response time as a function of the number of monitored security patterns, is linear. Finally,
we illustrated our approach's extensibility by deploying it on two distinct ICS testbeds.
Cette thèse apporte une contribution au domaine de la cybersécurité, en particulier la détection
d'intrusions réseau pour les systèmes de contrôle-commande industriels (ICSs en anglais).
Notre intérêt découle de l'augmentation des incidents de cybersécurité ciblant les ICS et de
la nécessité d'identifier les attaques qui manipulent les processus physiques de ces systèmes
(process aware en anglais). Ces attaques sont des cyberattaques sophistiquées conçues pour
cibler les processus physiques et provoquer des comportements incorrects du système.
Dans ce manuscrit, nous développons un système de détection d'intrusions (IDS) adapté
aux ICSs. Notre approche est basée sur des spécifications et prend en compte la connaissance
des processus physiques des systèmes. Les ICSs sont des systèmes de contrôle distribués
et hiérarchiques construits à partir de boucles de contrôle locales, qui constituent les blocs
élémentaires de ces systèmes.
Notre méthodologie vise à établir un lien entre les spécifications de sécurité et les propriétés
de sûreté d'un système. Pour cela, nous utilisons des spécifications issues de normes
internationales et de standards industriels concernant la sécurité locale et globale, ainsi que
les spécifications des protocoles réseau, dans les processus industriels. L'extraction de ces spécifications
est réalisée de manière systématique et permet l'obtention de propriétés de sûreté
(security properties en anglais). Ces propriétés de sûreté forment des exigences ayant une
signification au niveau du réseau et peuvent être évaluées pendant l'exécution du système. Nous
utilisons des formalismes tels que la logique temporelle linéaire (LTL), la logique temporelle
métrique (MTL) et la logique temporelle pour les signaux (STL) permettant de formaliser des
propriétés temporelles et de prendre en compte les dynamiques hybrides propres aux ICSs.
Notre approche est réalisée à l'aide de captures de trafic réseau entre les boucles locales et
le niveau de contrôle distribué (sur les bus de terrain notamment), ainsi qu'entre le contrôle
distribué et la supervision.
Dans un second temps, nos travaux explorent une configuration distribuée pour le dé-
ploiement de notre IDS. Cette architecture est motivée par la nécessité de déployer plusieurs
instances d'IDS lorsque des capacités de détection accrues sont requises, par exemple pour une
détection sur des systèmes industriels de plus grande dimension. Notre approche distribuée
se compose de plusieurs instances de notre IDS, structurellement identiques, déployées dans
l'ensemble du système et coordonnées pour surveiller des propriétés de sûreté locales et globales
du système.
Nous avons mis en oeuvre et évalué notre approche sur des plateformes expérimentales de
systèmes industriels, démontrant expérimentalement sa capacité à détecter un large spectre
d'attaques. Nous avons présenté les capacités de détection de notre déploiement distribué.
Nous avons montré la scalabilité de notre approche, puisque la relation entre le temps de
détection et le nombre de propriétés de sûreté évaluées est linéaire. Enfin, nous avons illustré
son adaptabilité lorsque notre approche est déployée sur différents systèmes.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|---|
| Licence |
