Détection des intrusions orientée hôte dans les systèmes industriels

Host intrusion detection systems for industrial control systems

• Auteur / Autrice : Omayma Alla
• Direction : Stéphane Mocanu
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le 13/01/2025
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale mathématiques, sciences et technologies de l'information, informatique
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'Informatique de Grenoble

Mots clés

Mots clés libres

Détection des intrusions

Systèmes industriels

Automates programmables industriels (API)

Sécurité des systèmes

Intrusion detection

Industrial control systems

Programmable Logic Controllers

System security

Résumé

Objectifs Ce sujet vise à étendre le déploiement de systèmes de détection des intrusions basé sur les approches comportementale dans les systèmes industriels jusqu'aux équipements terminaux (automates programmables industriels). Plus précisément on étudie le déploiement d'un IDS comportemental sur un automate programmable industriel et l'impact sur la performance temps-réel de la commande. Approche envisagée Nous allons nous appuyer sur l'analyse des programmes embarqués et des spécifications sorties des normes pour la synthèse des moniteurs. Le principal défi est l'évaluation de l'impact de l'IDS sur la performance temps réel de l'automate programmable. La minimisation du nombre des propriétés de sécurité à surveiller ainsi que de leur complexité sera déterminante pour la performance de la solution. Un second aspect étudié sera la comparaison des types d'attaques orientées processus détectés par le HIDS versus la capacité de détection d'un NIDS. Cette comparaison permettra permettre de réduire encore plus le nombre des propriétés de sécurité surveilles. Néanmoins, il est connu que l'état interne d'un contrôleur embarqué est partiellement observable par un NIDS à partir du trafic réseau. Une approche de corrélation entre les alertes des NIDS et celles du HIDS permettra d'évaluer la valeur ajoutée du HIDS dans un système de détection distribué hybride (HIDs/NIDS). La méthodologie et les outils seront validés sur la plateforme expérimentale G-ICS. (http://lig-g-ics.imag.fr/)

Objectives This topic aims to extend the deployment of intrusion detection systems based on behavioral approaches in industrial systems to terminal equipment (PLCs). More specifically, we study the deployment of a behavioral IDS on an industrial PLC and the impact on real-time control performance. Approach We will rely on the analysis of embedded programs and standard specifications for monitor synthesis. The main challenge is to assess the impact of the IDS on the real-time performance of the PLC. Minimizing the number and complexity of safety properties to be monitored will be crucial to the performance of the solution. A second aspect to be studied will be the comparison of the types of process-oriented attacks detected by the HIDS versus the detection capability of a NIDS. This comparison will make it possible to further reduce the number of security properties monitored. Nevertheless, it is known that the internal state of an embedded controller is partially observable by a NIDS from network traffic. A correlation approach between NIDS and HIDS alerts will enable us to assess the added value of HIDS in a hybrid distributed detection system (HIDs/NIDS). The methodology and tools will be validated on the G-ICS experimental platform. (http://lig-g-ics.imag.fr/) Translated with DeepL.com (free version)