Réaction dans les SCADA: SuperviZ livrable L3.2 - Mémoire de thèse de Jolahn VAUDEY

Les systèmes de contrôle industriels, ou ICS (Industrial Control Systems), deviennent de nos jours des cibles privilégiées pour les cyberattaques. Cette recrudescence des attaques s’explique à la fois par leur importance économique, et par l’introduction de failles de sécurité liées à la connexion au monde extérieur. Ces risques entraînent le développement de méthodes de défense innovantes, afin de détecter les intrusions et de limiter leur impact. Si la détection des intrusions est un champ de recherche très actif, la question des réactions aux attaques détectées est moins mature.Dans cette thèse, nous présentons un mécanisme de défense contre les intrusions, sous la forme d’une boucle de réaction. Pour maintenir les capacités du système de contrôle, cette boucle a pour objectif de redistribuer applications sur les composants sains lorsque leur emplacement d’exécution est compromis par un assaillant. Ce travail s’articule autour de deux contributions principales : un langage de description des ICS basé sur la norme CEI 62443 et, la mise en oeuvre du contrôleur de reconfiguration.Premièrement, nous nous appuyons sur la série de normes CEI 62443, et plus précisément sur le modèle Zone/Conduit qui y est préconisé pour le développement des ICS. En l’absence de formalisme adapté dans la littérature scientifique, nous présentons la création d’un langagespécifique de modélisation, employant la suite EMF (Eclipse Modeling Framework) permettant de décrire des systèmes suivant ce modèle. L’adaptation du modèle Zone/Conduit issu de la série de normes CEI 62443 est discutée, en abordant les éléments qui y sont présents, la grammaire correspondante, et les vérifications nécessaires à réaliser sur l’arbre syntaxique pour remplir les exigences décrites dans ces normes. D’autres capacités de notre langage, spécifiques au problème de reconfiguration traité, sont également discutées ici, notamment la capacité d’exprimer des contraintes sur les emplacements d’exécution des applications. Nous décrivons également rapidement les éditeurs textuels et graphiques permettant de modifier les instances de ce langage, issus respectivement des outils Xtext et Sirius.Ensuite, en exploitant ce format de description de systèmes, la boucle de réaction proprement dite a été mise en place. Celle-ci est déclenchée par la détection d’un appareil compromis. Ce dernier est alors isolé, et un contrôleur de reconfiguration cherche une nouvelle configuration maximisant la disponibilité du système, en migrant les applications qui y étaient exécutées vers d’autres composants sains. Ce procédé de migration prends en compte des contraintes exprimées dans la description du système ou issues directement de la norme CEI 62443, ce qui permet d’assurer l’optimalité de la nouvelle configuration. Plusieurs implémentations de ce contrôleur sont présentées. Certaines utilisent la résolution en ligne de programmes linéaires ou par contraintes, d’autres emploient des méthodes heuristiques exécutées en temps fixe. Un contrôleur similaire est également décrit, utilisant également un programme linéaire ou par contraintes, avec pour objectif d’attribuer les instances d’applications aux appareils au sein du système étudié, lorsque des contraintes de mémoire ne permettent pas leur présence dans chaque appareil compatible. Plusieurs variantes de ce contrôleur sont discutées, priorisant la résilience (l’exécution des applications critiques) ou bien la progressivité de la dégradation des performances à mesures que des appareils sont perdus.D’autres parties de la boucle de réaction sont évoquées. On notera premièrement la mise en place des capacités de reconfiguration au sein des applications industrielles, se basant sur la norme CEI 61131-10 (PLCOPEN XML) pour permettre l’édition des programmes graphiques SFC (Sequential Function Charts) orchestrant l’exécution des applications sur les automates industriels. Nous évoquerons également la création conjointe de gestionnaires de sauvegarde, capable chacun d’enregistrer et de restituer le contexte d’exécution d’un programme en particulier, permettant le transfert de ces contextes d’exécution lors d’une reconfiguration. Enfin, nous évoquerons également la reconfiguration des pare-feux suite aux migrations d’applications, en particulier l’édition des règles de filtrage pour permettre les nouveaux flux de données attendus.Ce mécanisme de reconfiguration est évalué, en premier lieu, sur un cas d’usage physique : une maquette Fischertechnik, imitant une installation industrielle miniature, contrôlée par des automates industriels. Cette installation permet de valider notre approche sur un cas concret, mais n’est pas de taille suffisante pour évaluer toutes les modalités de la reconfiguration. En effet, les quatre automates présents sont identiques, présentent les mêmes besoins de sécurité, et sont physiquement présents dans une même zone. Dans cet objectif, des modèles synthétiques d’ICS de tailles et caractéristiques variées sont également créés, permettant notamment de vérifier l’évolution des temps de réaction lors du passage à l’échelle. Les résultats observés témoignent de la rapidité du mécanisme de reconfiguration sur notre cas d’usage concret, permettant de maintenir le système sous contrôle à mesure que les appareils sont compromis. Les problèmes synthétiques de grandes tailles donnent lieu à des temps de résolution trop longs pour être exécutés en ligne la plupart du temps, ne permettant pas une réaction en temps réel. Cela motive, alors, l’utilisation de méthodes heuristiques ou de contrôleurs pré-calculés. Les autres parties de la reconfiguration, soit les modifications des règles de filtrage, ou encore l’attribution préalable des instances d’applications, sont également principalement évaluées sur des problèmes générés.