産業制御ネットワークにおけるMITREマッピング攻撃エミュレーションのための統合テストベッド

産業制御システム(ICS)におけるMITRE ATT&CK for ICS技術レベルでの侵入検知手法の評価には、各攻撃シーケンスがMITRE技術識別子をグラウンドトゥルースとして持つ運用技術(OT)トラフィックが必要である。既存の公開ICSデータセットは、粗い攻撃/正常ラベル(SWaT, WADI, CIC-APT-IIoT)を提供するか、CALDERA運用ログからの事後技術再構築を必要とするため、技術ごとのベンチマーキングをサポートできない。本稿では、Modbus/Raspberry-Pi PLC/CALDERA/CNN-BiLSTM-AEのユースケースで実証された、1つの主要な貢献と2つの補完的な貢献について述べる。主要な貢献は、技術ごとのラベル付けを可能にするキャンペーンオーケストレーターがラベルプリミティブを所有し、各シーケンスごとの技術識別子をインジェクション時にキャプチャアーティファクトに書き込むことで、事後ログとパケットの整合性を排除する、オーケストレーター内ラベリング手法である。最初の補完的な貢献は、プロトコル認識型検出パイプラインであり、優先順位付けされたプロトコルルーターが各ラベル付きフローをプロトコルごとの検出プラグインにディスパッチする。2番目の補完的な貢献は、ラベリング手法と検出パイプラインをエンドツーエンドで実行する4つの再現可能なCALDERAチェーン(ITからOTへのキルチェーン3つとエンタープライズ側制御1つ)のスイートである。これらの貢献はプラットフォーム非依存であり、ATT&CKに準拠したエミュレーターとフィールドバスプロトコルであれば、ラベリング手法をホストでき、許容可能な特徴空間で訓練された検出器はルーターにプラグインできる。データセットには、4つのATT&CK技術(T0802自動収集、T0831制御操作、T0836パラメータ変更、T0846リモートシステム検出)にわたる40,000の正常Modbusシーケンスと9,997の攻撃Modbusシーケンスが含まれる。このデータセット上で、CNN-BiLSTM-AEは、すべての4つの技術にわたって98パーセンタイル正常しきい値で100%の真陽性率(TPR)を達成し、より厳しい99.5パーセンタイルしきい値で99.7%の全体TPRを達成した。CALDERAチェーン全体で、Modbusオートエンコーダーは234のプロトコルレイヤー検出を生成し、SIEMルールセットは30のアラートを生成した。