Les membres du jury :
- M. Benoit IUNG Professeur à l’Université de Lorraine, Rapporteur
- M. François PERES Professeur à l’Université de Toulouse (Toulouse INP ENIT), Rapporteur
- M. Nouredine HADJSAID Professeur à l’Univ. Grenoble Alpes (Grenoble INP), Examinateur
- M. Florent FRIZON DE LAMOTTE Maître de conférences à l’Université de Bretagne Sud (ENSIBS), Examinateur
- M. François PEBAY-PEYROULA Directeur de programme R&D à ATOS Worldgrid, Examinateur
- M. Jean-Marie FLAUS Professeur à l’Univ. Grenoble Alpes (UGA), Co-Directeur de thèse
- M. Eric ZAMAI Maître de conférences à l’Univ. Grenoble Alpes (Grenoble INP), Directeur de thèse
Résumé :
Les systèmes de contrôle-commande industriels (Industrial Control System, ICS) assurent le pilotage de réseaux électriques (Smart Grid), de systèmes de production, de transports, de santé ou encore de systèmes d’armes. Pensés avant tout pour assurer productivité et respect de la mission dans un environnement non malveillant, les ICSs sont, depuis le 21ème siècle, de plus en plus vulnérables aux attaques (Stuxnet, Industroyer, Triton, …) notamment avec l’arrivée de l’industrie 4.0. De nombreuses études ont contribué à sécuriser les ICSs avec des approches issues du domaine de la sécurité (cryptographie, IDS, etc…) mais celles-ci ne tiennent pas compte du comportement du système physique et donc des conséquences de l’acte de malveillance en lui-même.
Cette thèse propose quatre mécanismes de détection d’attaques en se positionnant au plus proche du système physique. Ils analysent les données échangées entre le système de contrôle-commande et le système physique, et filtrent les échanges au travers de modèles déterministes qui représentent le comportement du système physique soumis à des lois de commande. A cet effet, une méthodologie de conception est proposée dans laquelle l’ensemble des ordres est identifié afin de détecter les attaques brutales. Pour faire face aux autres attaques, en particulier celles plus sournoises, comme les attaques par séquences, nous proposons une stratégie de détection complémentaire permettant d’estimer l’occurrence d’une attaque avant que ses conséquences ne soient destructives. A cet effet, nous avons développé des concepts de distance d’un état caractérisé comme critique auquel nous avons adjoint un second mécanisme dit de trajectoire dans le temps permettant de caractériser une intention de nuire.
L’approche proposée a été appliquée sur différents exemples de simulation et sur une plateforme industrielle réelle où la stratégie de détection a montré son efficacité face à différents profils d’attaquants.
Mot-clés : Détection à base de modèles, Surveillance, Contrôle-Commande, Systèmes à événements discrets, Cybersécurité, Systèmes Cyber-Physiques
Abstract :
Industrial Control Systems (ICSs) control electrical power grid (Smart Grid), production systems (e.g. chemical and manufacturing industries), transport (e.g. trains, aircrafts and autonomous vehicles), health and weapon systems. Designed to ensure productivity and respect safety in a non-malicious environment, the ICSs are, since the 21st century, increasingly vulnerable to attacks (e.g. Stuxnet, Industroyer, Triton) especially with the emergence of the industry 4.0. Several studies contributed to secure the ICS with approaches from the security field (e.g. cryptography, IDS) which do not take into account the behavior of the physical system and therefore the consequences of the malicious act.
This thesis proposes four detection mechanisms of attacks by locating detection closer to physical system. They analyze the data exchanged between the control system and the physical system, and filter the exchanges through deterministic models that represent the behavior of the physical system controlled by control laws. For this purpose, a design methodology has been proposed in which all actions are identified in order to instantly detect brutal attacks. To deal with other attacks, especially the more sneaky, such as sequential attacks, we propose a complementary detection strategy to estimate the occurrence of an attack before its consequences are destructive. To this end, we have developed the concepts of distance of a state identified as critical to which we have added a second mechanism called trajectory which leads to a temporal notion that characterize an intention to harm.
The proposed approach has been applied to various simulation examples and an industrial platform where the detection strategy has shown its effectiveness against different scenarios corresponding to attacker profiles.
Keywords: Model-based Detection, System Monitoring, Industrial Control Systems, Discrete-Event Systems, Cybersecurity, Cyber-Physical Systems
