Sécurité des systèmes industriels : filtrage applicatif et recherche de scénarios d'attaques

Cybersecurity of Industrial Systems : Applicative Filtering and Generation of Attack Scenarios

• Auteur / Autrice : Maxime Puys
• Direction : Marie-Laure Potet
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 05/02/2018
• Etablissement(s) : Université Grenoble Alpes (ComUE)
• Ecole(s) doctorale(s) : École doctorale mathématiques, sciences et technologies de l'information, informatique (Grenoble ; 199.-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire Verimag (Grenoble)
• Jury : Président / Présidente : Jean-Marie Flaus
• Jury : Examinateurs / Examinatrices : Jean-Louis Roch, Frédéric Dadeau
• Jury : Rapporteurs / Rapporteuses : Hervé Debar, Jérémie Guiochet

Mots clés

Mots clés contrôlés

Filtres (informatique)

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Sécurité

Systèmes industriels

Filtrage

Modélisation

Security

Industrial Systems

Filtering

Modeling

Résumé

Les systèmes industriels, souvent appelés SCADA (pour Système d’acquisition et decontrôle de données) sont la cible d’attaques informatiques depuis Stuxnet en 2010.Dû à la criticité de leurs interactions avec le monde réel, ils peuvent représenter unemenace pour l’environnement et les humains. Comme ces systèmes ont par le passé étéphysiquement isolés du reste du monde, ils ont été majoritairement protégés contre despannes et des erreurs (ce qu’on appelle la sûreté). La sécurité informatique diffère de lasûreté dans le sens où un attaquant cherchera activement à mettre en défaut le systèmeet gagnera en puissance au cours du temps. L’un des challenges dans le cadre de lasécurité des systèmes industriels est de faire cohabiter des propriétés de sécurité avecles contraintes métier du système. Nous répondons à cette question par trois axes derecherche.Tout d’abord, nous proposons un filtre dédié aux communications des systèmes industriels,permettant d’exprimer des propriétés au niveau applicatif. Ensuite, nous nousintéressons à la vérification de protocoles cryptographiques appliquée à des protocolesindustriels comme MODBUS ou OPC-UA. À l’aide d’outils classiques du domaine, nousmodélisons les protocoles afin de vérifier s’ils garantissent des propriété de confidentialité,d’authentification et d’intégrité. Enfin, nous proposons une approche, nomméeASPICS (pour Applicative Attack Scenarios Production for Industrial Control Systems),permettant de vérifier si des propriétés de sûreté (similaires à celles vérifiées par le filtre)peuvent être mises en défaut par des attaquants en fonction de leur position et de leurcapacité. Nous implémentons cette analyse dans le model-checker UPPAAL et l’appliquons sur un exemple.

Industrial systems, also called SCADA (for Supervisory Control And Data Acquisition),are targeted by cyberattacks since Stuxnet in 2010. Due to the criticality of theirinteraction with the real world, these systems can be really harmful for humans andenvironment. As industrial systems have historically been physically isolated from therest of the world, they focused on the protection against outages and human mistakes(also called safety). Cybersecurity differs from safety in the way that an adversary iswilling to harm the system and will learn from his mistakes. One of the difficulty interms of cybersecurity of industrial systems is to make coexist security properties withdomain specific constraints. We tackle this question with three main axes.First, we propose a filter dedicated to industrial communications, allowing to enforceapplicative properties. Then, we focus on formal verification of cryptographic protocolsapplied to industrial protocols such as MODBUS or OPC-UA. Using well-known toolsfrom the domain, we model the protocols in order to check if they provide securityproperties including confidentiality, authentication and integrity. Finally, we propose anapproach named ASPICS (for Applicative Attack Scenarios Production for IndustrialControl Systems) to study if safety properties (similar to those verified by our filter)can actually be jeopardized by attackers depending on their position and capacity. Weimplement this approach in the UPPAAL model-checker and study its results on aproof-of-concept example.