Safety-Security Convergence of Industrial Control Systems: Cybersecurity Risk Assessment for System Safety
Convergence Sûreté-Sécurité des Systèmes de Contrôle Industriels : Appréciation du Risque de Cybersécurité pour la Sûreté des Systèmes
Résumé
Industrial Control Systems (ICS) are designed to provide a service, such as power generation or water treatment, while protecting people, assets, and the environment against hazard. However, ICS now integrate Information Technology (IT) and are interconnected with the outside world such as the Internet, thereby exposing their infrastructures to cyberattacks. Cyberattacks have thus become new threats for industrial system operations and, more specifically, for their safety. To address this issue, this thesis presents a comprehensive cybersecurity risk assessment for the safety of ICS. This method differs from the state of the art in its high level of automation and its ability to model complex ICS. This method consists of three steps : (1) Identify industrial control system vulnerabilities, (2) Analyze the impact of these vulnerabilities on system safety, and (3) Assess the cybersecurity risk to system safety.
In the first step of our method, we developed an automatable threat modeling process based on the Microsoft Threat Modeling Tool. Threat modeling tools, such as the Microsoft Threat Modeling Tool, are commonly used in IT to identify vulnerabilities in products or systems, but they lack representativeness when it comes to modeling industrial control systems. Therefore, our process includes a method for modeling ICS components in the Microsoft Threat Modeling Tool. We also we propose an automatable method for creating a system model usable by the Microsoft Threat Modeling Tool from the PLC program. Together, these two contributions make it possible to fully automate
the Microsoft Threat Modeling Tool workflow and provide an automatable process for identifying ICS-specific vulnerabilities.
In the second step of our risk assessment, we propose a new method for identifying the cybersecurity risk to system safety. This method relates the vulnerabilities identified in the first step to their consequences for system security. This relationship is materialized through attack scenarios that identify the variables in the control system that an attacker
can manipulate to compromise system safety. To this end, we have developed a system behavior model based on PLC control programs that is applicable to complex systems comprising with more than twenty actuators and sensors, such as the Tennessee-Eastman chemical process.
The final step of our method (step 3) builds a risk matrix that ranks the attack scenarios generated in the second step of our method according to their likelihood and impact. The likelihood is determined based on an exploitability score for the vulnerabilities that make up the attack scenario, while the impact is measured in terms of the danger posed by
the safety functions compromised by the attack scenario. Finally, this risk matrix is correlated with the risk tolerated by the ICS-owning organization, to determine which attack scenarios require additional countermeasures to achieve a tolerable level of risk.
Les Systèmes de Contrôle Industriels (SCI) sont conçus pour fournir un service, tel que la production d’électricité ou le traitement de l’eau, tout en protégeant les personnes, les biens et l’environnement contre les dangers liées aux procédés. Cependant, les SCI intègrent désormais des technologies de l’information (Information Technologies - IT) et sont interconnectés avec le monde extérieur, notamment à travers Internet, exposant ainsi leurs infrastructures à des cyberattaques. Les cyberattaques sont, donc, devenues de nouvelles menaces pour les opérations des systèmes industriels et, plus particulièrement, pour leur sûreté. Pour répondre à cette problématique, cette thèse présente une méthode d’appréciation complète du risque de cybersécurité pour la sûreté des SCI qui se différencie de l’état de l’art par son haut niveau d’automatisation et sa capacité à modéliser des SCI complexes. Cette méthode comprend trois étapes qui permettent respectivement : (1) d’Identifier les vulnérabilités des système de contrôle industriel, (2) d’Analyser les conséquences de ces vulnérabilités sur la sûreté du système et enfin (3) d’Évaluer l’impact du risque de cybersécurité sur la sûreté du système.
Dans la première étape de notre méthode, nous avons développé un processus automatisable de modélisation de la menace basé sur l’outil Microsoft Threat Modeling Tool. Les outils de modélisation de la menace, tel que Microsoft Threat Modeling Tool, sont couramment utilisées dans l’IT afin d’identifier les vulnérabilités des produits ou des sys-
tèmes, cependant ces outils manquent de représentativité lorsqu’il s’agit de modéliser des systèmes de contrôle industriels. Notre processus inclut donc une méthode qui permet de modéliser les composants des SCI dans l’outil Microsoft Threat Modeling Tool. Nous proposons aussi une méthode automatisable de création d’un modèle du système utilisable par Microsoft Threat Modeling Tool à partir du programme des API (automates programmables industriels). L’ensemble de ces deux contributions permettent d’automatiser complètement le flux de travail de l’outil Microsoft Threat Modeling Tool et de fournir un processus automatisable d’identification des vulnérabilités spécifiques aux SCI.
Dans la seconde étape de notre appréciation du risque, nous proposons une nouvelle méthode d’identification du risque de cybersécurité impactant la sûreté du système. Cette méthode met en relation les vulnérabilités identifiées dans la première étape avec leurs conséquences sur la sûreté du système. Cette relation est matérialisée au travers de
scénarios d’attaque qui identifient les variables du système de contrôle qu’un attaquant peut manipuler pour compromettre la sûreté du système. Pour cela, nous avons développé une modélisation du comportement du système à partir des programmes de contrôle des API applicables à des systèmes complexes comprenant plus d’une vingtaine d’actionneurs et de capteurs tels que le procédé chimique de Tennessee-Eastman.
La dernière étape de notre méthode (étape 3) construit une matrice des risques qui classe les scénarios d’attaque générés dans la seconde étape en fonction de leur vraisemblance et de leur impact. La vraisemblance est déterminée selon un score d’exploitabilité des vulnérabilités qui composent le scénario d’attaque et l’impact est mesuré en fonction
du danger engendré par les fonctions de sûreté compromises par le scénario d’attaque.
Enfin, cette matrice des risques est corrélée avec le risque tolérable par l’entreprise détentrice du SCI afin de déterminer les scénarios d’attaque qui nécessitent des contre-mesures complémentaires pour atteindre un niveau de risque tolérable.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|---|
| licence |
