Proponiamo una metodologia basata sulle Reti Bayesiane come strumento di supporto all’analisi della sicurezza di Smart Grid, ed in particolare per la previsione di intrusioni e attività ostili

Daniele Codetta-Raiteri

Davide Cerotti

Giovanna Dondossola

Giuliana Franceschinis

Lavinia Egidi

Luigi Portinale

Roberta Terruggia

Italian

Proponiamo una metodologia basata sulle Reti Bayesiane come strumento di supporto all’analisi della sicurezza di Smart Grid, ed in particolare per la previsione di intrusioni e attività ostili

Archivio Istituzionale della Ricerca- Università del Piemonte Orientale

Analisi e rilevamento intelligente di processi di attacco alle Smart-GridDavide Cerotti1, Daniele Codetta-Raiteri1, Giovanna Dondossola2, Lavinia Egidi1, GiulianaFranceschinis1, Luigi Portinale1, Roberta Terruggia21Istituto di Informatica, DiSIT, Univ. del Piemonte Orientale, Alessandria, Italia2RSE: Ricerca sul Sistema Energetico, Milano, Italia{davide.cerotti, daniele.codetta, lavinia.egidi, giuliana.franceschinis, luigi.portinale}@uniupo.it{giovanna.dondossola, roberta.terruggia}@rse-web.itAbstractProponiamo una metodologia basata sulle RetiBayesiane come strumento di supporto all’analisidella sicurezza di Smart Grid, ed in particolare perla previsione di intrusioni e attività ostili.1 IntroduzioneLa protezione delle piattaforme digitali utilizzate da infra-strutture critiche viene individuata come una priorità a livellointernazionale in quanto negli ultimi anni si sono verificati at-tacchi a sistemi energetici, quali Stuxnet, Drangonfly, BlackEnergy e Industroyer. Per rispondere in modo adeguato allaDirettiva Europea 2016/1148 - Network and Information Se-curity (NIS) indirizzata agli operatori di servizi essenziali, èfondamentale sviluppare strumenti evoluti orientati alla valu-tazione della sicurezza in scenari dove le possibili minaccesono in continua evoluzione. In primo luogo occorre valutarel’efficacia di misure di sicurezza già disponibili per la prote-zione degli asset e delle comunicazioni nei sistemi energetici.Esiste poi la necessità di gestione degli incidenti cyber: lo sta-to delle tecnologie di monitoraggio e rilevamento di anomaliegiocano un ruolo fondamentale nell’intercettare tempestiva-mente azioni ostili, interrompere l’avanzamento dei processidi attacco ed implementare rimedi efficaci. Il grado di maturi-tà delle tecnologie di anomaly detection attualmente disponi-bili è considerato insufficiente. Un obiettivo dello strumentodi valutazione è prevenire nuovi possibili scenari di attacco,per anticipare potenziali azioni offensive.La metodologia di modellazione e valutazione che propo-niamo è basata sulle Reti Bayesiane (BN) [Portinale e Co-detta, 2015], modello di riferimento per sistemi di ragiona-mento in presenza di incertezza in IA. La costruzione del-la BN parte dall’analisi di dati di attacchi reali su un’ar-chitettura di riferimento per sistemi di controllo industria-le (ICS). I dati provengono in parte dal progetto MITREATT&CK (attack.mitre.org) e sono ispirati al progetto MI-TRE ICS ATT&CK non ancora disponibile. Per la parte dimonitoraggio ci basiamo sul progetto MITRE Cyber AnalyticRepository (car.mitre.org/wiki/Main_Page).Il tool securiCAD (www.foreseeti.com/securicad) utilizzauna metodologia simile, che permette di generare automatica-mente grafi di attacco e difesa, in ambito ICT, i quali prendo-no la forma di modelli grafico-probabilistici. Quindi calcolala probabilità di successo di attacchi e il Time To Compromi-se degli asset di una data architettura di rete. In securiCADi passi di attacco e le loro dipendenze logiche sono cablatinel sistema, rendendo difficile sia l’analisi del modello, sia lavalutazione dei risultati. Il nostro approccio si propone di su-perare tali limitazioni, sviluppando una metodologia aperta,estendibile e orientata alle piattaforme dei sistemi energetici.[Rahimi et al., 2018] descrive un lavoro recente che studia lasicurezza delle power grid ed è basato su tecniche e analiti-che dei progetti MITRE. A differenza del nostro approccio, èristretto alla valutazione del livello di sicurezza della rete inesame in un dato intervallo di tempo.2 Strumenti e metodologiaLa nostra metodologia è costruita su un’architettura di rife-rimento [Stouffer et al., 2015] per ICS, caratterizzata dallacompresenza di due sottoreti molto diverse sia per i protocolliutilizzati sia per i requisiti operativi e di sicurezza. La prima,la corporate network, è una classica rete di computer che ob-bedisce alle regole della Information Technology (IT). L’altrarete, nella quale si concentrano i processi di ICS, è una reteOperational Technology (OT). Le due reti devono comunica-re, pertanto le best practices raccomandano di interporre trale due aree una DMZ per imporre la segregazione del traffico.I processi di attacco sono generalmente costituiti da più passidistribuiti in un arco temporale ampio, anche di diversi me-si [Hutchins et al., 2011]. Molto spesso gli attacchi ad un ICSiniziano con la compromissione di una macchina nell’area IT,utilizzando tecniche standard (ad esempio, spear phishing) epoi procedono con movimenti laterali che portano l’attaccan-te attraverso la DMZ alla rete OT. Da qui vengono sferratiattacchi specifici al dominio di applicazione (nel nostro casoil sistema energetico). La nostra ricerca è incentrata su questaultima fase, ma pone attenzione anche alla fase intermedia dimovimento laterale.La modellazione passa attraverso un formalismo interme-dio, i grafi di attacco (AG), i cui nodi sono stati e i cui archisono etichettati con passi di attacco che derivano dai progettiMITRE che propongono matrici che contengono tutti gli at-tacchi “atomici” identificati nell’analisi dei rapporti dei casireali noti, in ambito IT, OT e ICS. Tali passi prendono il no-me di tecniche e sono raggruppati in base ai loro obbiettivia breve termine (accesso iniziale, movimento laterale, ecc.).Nel progetto MITRE ATT&CK sono suggerite delle misu-1Tabella 1: Risultati della valutazione della BNEvidenze Compromis. Compromis. InstabilitàDMZ SCADA Sistemanessuna 0.00529 2.80133e-05 2.82830e-06tutte An. off 0.00476 1.91003e-05 1.25377e-06a) Monitoraggio del sistema di sicurezzaAnalitiche A priori CompromissioneNICS 0.04834 0.05221MASQ 0.05648 0.06031b) Valutazione rischi per pianificazione difeseAnalitiche ON OFF RiduzioneCD 0.69623 0.06708 90.36%SBM 0.26001 0.06564 74.75%c) Pianificazione del sistema di monitoraggioLegenda: CD = Coherence with Device; SBM = Service Binary Modification;NICS = New ICS Service; MASQ = Masquerading;re di frequenza delle tecniche basate sul numero di gruppiavversariali che le hanno utilizzate, sul numero di software(malware e utility di sicurezza) in cui sono implementate esulla frequenza con cui compaiono in letteratura. Tali da-ti non erano disponibili per le tecniche specifiche dell’am-bito ICS, per cui abbiamo derivato delle stime di frequenzeda dati estratti dal database ICS-CERT Vulnerability Advi-sory (ics-cert.us-cert.gov/advisories), basandoci sul CommonVulnerability Scoring System (CVSS, www.first.org/cvss). Inaggiunta, nel nostro lavoro utilizziamo le analitiche (ancorada un progetto del MITRE) che sono evidenze del fatto chesiano stati fatti degli attacchi: se un’analitica è associata aduna tecnica, implementando il sensore corrispondente nel si-stema di monitoraggio si ottiene lo scatto di un allarme nelcaso la tecnica venga utilizzata dagli attaccanti.3 AnalisiAbbiamo costruito un AG per il generico movimento latera-le e uno per un generico attacco contro un servizio della reteOT, e a partire da questi abbiamo costruito la BN. Le Fig. 1e 2 mostrano rispettivamente il secondo AG e la BN corri-spondente. In realtà la BN utilizzata per l’analisi è più ampiaperché considera tutto lo scenario di attacco (IT, OT, ICS), econsente di calcolare la distribuzione di probabilità di qualun-que nodo, data l’osservazione dei valori di altri nodi. UsiamoGeNIe (download.bayesfusion.com) a questo scopo.La Tab. 1a mostra le probabilità di compromettere la DMZ,lo SCADA, e di rendere il sistema instabile, nel caso in cuinon siano state implementate analitiche, e nel caso in cui inve-ce siano state implementate ma non rilevino nulla. Il modelloconsidera analitiche imperfette, cioè la possibilità di falsi po-sitivi e falsi negativi. La Tab. 1b mostra le probabilità a prioridi due tecniche assieme alle probabilità condizionate dall’a-ver osservato il sistema in stato instabile. Infine assumiamodi osservare la compromissione dello SCADA e lo stato diuna sola analitica per volta: la Tab. 1c mostra la criticità didue analitiche confrontando le probabilità di avere il sistemainstabile, ottenute osservando l’analitica attiva o meno.Figura 1: AG dell’attacco all’ICSFigura 2: BN derivata dall’AG in Fig. 14 ConclusioniIl nostro approccio basato su BN valuta il livello di sicurezzadi una smart grid, considerando i livelli IT, OT e ICS, e cal-colando misure basate sulla probabilità condizionata. Svilup-pi futuri saranno la modellazione di maggiori dettagli nelloscenario di attacco e l’inclusione di ulteriori dati reali.Riferimenti bibliografici[Hutchins et al., 2011] E.M. Hutchins, M.J. Cloppert, e M.R.Amin. Intelligence-driven computer network defense in-formed by analysis of adversary campaigns and intrusionkill chains. Leading Issues in Information Warfare &Security Research, 1, 01 2011.[Portinale e Codetta, 2015] L. Portinale e D. Codetta. Mode-ling and Analysis of Dependable Systems: A ProbabilisticGraphical Model Perspective. World Scientific Pub., 2015.[Rahimi et al., 2018] A. Rahimi, A. Hahn, e M. Merrick.Continuous security monitoring techniques for energydelivery systems, 2018. cred-c.org/videos/continuous-security-monitoring-techniques-energy- delivery-systems.[Stouffer et al., 2015] K. Stouffer, V. Pillitteri S. Lightman,M. Abrams, e A. Hahn. SP800-82Rev2, NIST, Guide toindustrial control systems (ICS) security, 2015.

Analisi e rilevamento intelligente di processi di attacco alle Smart-Grid

https://iris.uniupo.it/retrieve/handle/11579/102010/64470/Ital_IA.pdf

Analisi e rilevamento intelligente di processi di attacco alle Smart-Grid

Abstract

Similar works

Full text

Available Versions

Archivio Istituzionale della Ricerca- Università del Piemonte Orientale