Machine Learning-based Anomaly Detection in Industrial Control System Networks

Abstract

Intrusion-Detection-Systeme (IDS) bieten wesentliche Vorteile für industrielle Steuerungssysteme (ICS), da sie Einblick in Echtzeit-Datenflüsse ermöglichen, bösartiges Verhalten im Netzwerk erkennen lassen, unbekannte Hosts aufdecken und dabei helfen, laufende Angriffe zu erkennen sowie darauf zu reagieren. Anomaliebasierte Ansätze sind für ICS-Netzwerke vielversprechend, da der Datenverkehr hier typischerweise deterministischer ist, und weil Infrastrukturveränderungen hier seltener auftreten als in klassischen IT-Netzen. Moderne kommerzielle IDS arbeiten jedoch oft nach dem Signaturerkennungsprinzip und verzichten somit auf nützliche spezifische Merkmale des ICS-Datenverkehrs. Diese Dissertation untersucht das Potenzial Machine Learning-basierter IDS in ICS-Netzwerken. Die Ergebnisse werden prototypisch umgesetzt und zeigen, dass Anomaliebasierte Ansätze zur Echtzeitanalyse des Netzwerkverkehrs in ICS-Netzwerken nutzbar sind. Im Rahmen dieser Arbeit entwickeln, evaluieren und demonstrieren wir einen Ansatz zur zuverlässigen Erkennung neuartiger oder verdeckter Angriffe in industriellen Steuerungsnetzwerken (ICS). Zur Erreichung dieses Ziels führen wir folgende Schritte aus: Zunächst identifizieren wir geeignete maschinelle Klassifikatoren und Parameter für eine robuste Anomalieerkennung in ICS-Netzwerken auf Basis aktueller wissenschaftlicher Literatur, vorangegangener Arbeiten an unserem Institut und praktischer Experimente. Weil verschlüsselter Netzwerkverkehr sich mittlerweile auch in ICS-Netzwerken zum Standard entwickelt, begrenzen wir unsere Suche auf Methoden und Feature-Sets, die mit verschlüsseltem Traffic umgehen können. Wir erstellen eine Auswahl von Kandidaten für weitere Experimente und Messungen: Random Forest, One-Class Support Vector Machine, zwei verschiedene Autoencoder und Clustering. Anschließend erstellen wir einen ersten Labor-Prototyp, um ausgewählte Klassifikatoren zunächst unter kontrollierten Bedingungen zu testen. Wir vergleichen diese Kandidaten erst mit einem öffentlichen Datensatz aus der Informationstechnik und später mit eigens in der Pilotfabrik der TU Wien aufgezeichneten ICS-Daten. Dann erforschen wir die Relation zwischen Safety und Security im ICS-Kontext: Während in ICS-Netzwerken Safety üblicherweise eine hohe Priorität hat, können Safety und Security sich manchmal hindernd gegenüberstehen. Im nächsten Schritt entwickeln wir dann eine Methode zur automatisierten Abschätzung der sicherheitsrelevanten Auswirkungen von Cyberangriffen. Wir erweitern damit unseren Prototyp und entwickeln unseren zweiten: Den Safety-Aware-Prototyp. Dieser ist in der Lage, eine Prioritätsbewertung für sicherheitsrelevante Vorfälle zu berechnen, sodass Betreiber priorisieren und effizienter handeln können, wenn beispielsweise mehrere sicherheitsrelevante Vorfälle gleichzeitig auftreten. Schließlich konzipieren wir einen praktisch einsetzbaren Live-Prototyp: Ein neuronales Netz lernt über eine definierte Zeitspanne hinweg den typischen Netzwerkverkehr des spezifischen Netzwerks. Während des Trainings passt sich dieses IDS eigenständig an sein Einsatznetzwerk an und alarmiert anschließend zuverlässig, wenn ein Host signifikante Abweichungen vom üblichen Verhalten zeigt. Mit dieser Methode erkennt das IDS sowohl bekannte als auch unbekannte Angriffe sowie Angriffe in verschlüsseltem Datenverkehr zuverlässig.

Intrusion detection systems (IDS) offer significant advantages for industrial control system (ICS) networks by providing real-time insight into data flows, enabling the detection of malicious network behavior, identifying previously unknown hosts, and allowing ongoing attacks to be detected and responded to. Anomaly-based approaches are particularly suited to ICS networks, as network traffic in such environments is typically far more deterministic, and infrastructure changes occur far less frequent than in conventional IT networks. However, many modern commercial IDS rely primarily on signature-based detection and therefore fail to exploit useful, domain specific characteristics of ICS traffic. In this dissertation, we investigate the potential of machine-learning-based IDSs in ICS networks. We develop, evaluate, and demonstrate an approach for reliably detecting novel or concealed attacks in industrial control systems (ICS) networks. We first identify suitable machine learning classifiers and parameters for reliable anomaly detection based on the current state of scientific literature. Since encryption has become the norm in ICS networks, we limit our methods to those that can handle encrypted traffic. We include findings from previous work at our institute on feature selection for encrypted traffic and use practical experiments to compare methods and determine optimal parameter settings. Based on these findings, we select a set of candidates for further investigation: Random forest, one-class support vector machine, two different autoencoders, and clustering. Next, we develop a lab prototype to compare the chosen classifier candidates under controlled conditions. For the evaluation, we use a public IT dataset and our own recorded ICS datasets, obtained at the TU Wien pilot factory in Vienna, Austria. We then investigate the relevant relations between security and safety. Safety is a primary concern in ICS networks, and security and safety measures may conflict. We then create a method to assess potential safety consequences of attacks in an automated way. In the next step, we develop the second prototype, the safety-aware prototype, which integrated safety considerations into the IDS. Our method can evaluate the feasibility of accounting for safety consequences. Our method assigns a priority score to each security-related incident, enabling operators to prioritize and act more efficiently when multiple incidents occur simultaneously. Lastly, we design a practically deployable live prototype: A neural network learns the typical network traffic for the specific network over a defined period of time. During training, this IDS tailors itself to the specific network it is used in and can alert if a host shows a significant behavior change. This way, it can reliably detect both known and unknown attacks, including those in encrypted network traffic.