Detección de anomalías para la seguridad del sistema SCADA basada en aprendizaje no supervisado y análisis de códigos de función en el protocolo DNP3
Autores: Altaha, Mustafa; Hong, Sugwon
Idioma: Inglés
Editor: MDPI
Año: 2022
Acceso abierto
Artículo científico
2022
Detección de anomalías para la seguridad del sistema SCADA basada en aprendizaje no supervisado y análisis de códigos de función en el protocolo DNP3
Categoría
Ingeniería y Tecnología
Subcategoría
Ingeniería Eléctrica y Electrónica
Palabras clave
Sistema de detección de intrusiones
Sistemas SCADA
Protocolo DNP3
Códigos de función
Modelo de aprendizaje profundo
Detección de anomalías
Licencia
CC BY-SA – Atribución – Compartir Igual
Consultas: 33
Citaciones: Sin citaciones
Un Sistema de Detección de Intrusiones (IDS) es una herramienta utilizada principalmente para monitoreo de seguridad, que es una de las estrategias de seguridad para los sistemas de Control y Adquisición de Datos Supervisorios (SCADA). El Protocolo de Red Distribuido versión 3 (DNP3) es el protocolo SCADA predominante en el sector energético. En este documento, hemos desarrollado un IDS efectivo y flexible para las redes DNP3, observando que la mayoría de las operaciones críticas en los sistemas DNP3 se utilizan basadas en los códigos de función en los mensajes de aplicación DNP3, y que la explotación de esos códigos de función permite a los atacantes manipular la operación del sistema. Nuestro método de detección de anomalías propuesto aborda posibles ataques que pueden evadir cualquier inspección profunda de paquetes basada en reglas una vez que los atacantes toman el control de los servidores en el sistema. Primero, generamos conjuntos de datos que reflejaban las características del tráfico DNP3 observadas en subestaciones de la red eléctrica del mundo real durante un tiempo razonablemente largo. A continuación, extraímos características de entrada que consistían en las ocurrencias de códigos de función por conexión TCP, junto con características TCP. Luego, utilizamos un modelo de aprendizaje profundo no supervisado (Autoencoder) para aprender el comportamiento normal del tráfico DNP3 basado en patrones de códigos de función. Llamamos a nuestro enfoque FC-AE-IDS (Sistema de Detección de Intrusos Autoencoder de Códigos de Función). La evaluación del método propuesto se llevó a cabo en tres conjuntos de datos diferentes, para demostrar su precisión y efectividad. Para evaluar la efectividad de nuestro método propuesto, realizamos varios experimentos que resultaron en una precisión de detección de más del 95% para todos los escenarios de ataque considerados que se mencionan en este estudio. Comparamos nuestro enfoque con un IDS basado en características tradicionales, para mostrar la efectividad de nuestro enfoque.
Descripción
Un Sistema de Detección de Intrusiones (IDS) es una herramienta utilizada principalmente para monitoreo de seguridad, que es una de las estrategias de seguridad para los sistemas de Control y Adquisición de Datos Supervisorios (SCADA). El Protocolo de Red Distribuido versión 3 (DNP3) es el protocolo SCADA predominante en el sector energético. En este documento, hemos desarrollado un IDS efectivo y flexible para las redes DNP3, observando que la mayoría de las operaciones críticas en los sistemas DNP3 se utilizan basadas en los códigos de función en los mensajes de aplicación DNP3, y que la explotación de esos códigos de función permite a los atacantes manipular la operación del sistema. Nuestro método de detección de anomalías propuesto aborda posibles ataques que pueden evadir cualquier inspección profunda de paquetes basada en reglas una vez que los atacantes toman el control de los servidores en el sistema. Primero, generamos conjuntos de datos que reflejaban las características del tráfico DNP3 observadas en subestaciones de la red eléctrica del mundo real durante un tiempo razonablemente largo. A continuación, extraímos características de entrada que consistían en las ocurrencias de códigos de función por conexión TCP, junto con características TCP. Luego, utilizamos un modelo de aprendizaje profundo no supervisado (Autoencoder) para aprender el comportamiento normal del tráfico DNP3 basado en patrones de códigos de función. Llamamos a nuestro enfoque FC-AE-IDS (Sistema de Detección de Intrusos Autoencoder de Códigos de Función). La evaluación del método propuesto se llevó a cabo en tres conjuntos de datos diferentes, para demostrar su precisión y efectividad. Para evaluar la efectividad de nuestro método propuesto, realizamos varios experimentos que resultaron en una precisión de detección de más del 95% para todos los escenarios de ataque considerados que se mencionan en este estudio. Comparamos nuestro enfoque con un IDS basado en características tradicionales, para mostrar la efectividad de nuestro enfoque.