采用 Zynq SoC 实现 Power-Fingerprinting 网络安全性

PFP Cybersecurity 和 iVeia 在赛灵思的 Zynq SoC 中采用新颖的“指纹”方法来保护工业物联网系(IIoT) 统的安全。

作者 Carlos R. Aguayo Gonzalez
首席技术官
PFP Cybersecurity  
caguayog@pfpcyber.com

Michael Fawcett
首席技术官
iVeia  
michael.fawcett@iveia.com

Dan Isaacs
互联系统总监：战略营销与商业规划
赛灵思公司  
dan.isaacs@xilinx.com

驱动工业物联网 (IIoT) 的“任意连接”实现了超高速增长，这不仅仅只是连接众多迥然不同的设备。这还与跨各种广泛应用收集、分析和操作的数据有关。IIoT 概念的关键点在于能够确保设备的安全性，以便能够收集和同化数据并向其他位置进行传输。
“任意连接”这一理念的超高速增长所引发的新漏洞远远快于公司可以实施的安全措施。通常最容易被忽略的漏洞之一就是资源受限制的硬件平台，例如，2010 年攻击伊朗核反应堆的震网 (Stuxnet) 病毒就引发了全球范围内的关注。

PFP Cybersecurity 是一家科技公司，其制定的独特方法能解决众多安全性问题，例如因资源受限制的硬件平台和网络安全威胁（如震网等病毒）的增长所导致的问题。iVeia 通过充分利用 赛灵思’s Zynq-7000 All Programmable SoC 来帮助 PFP Cybersecurity 面向 IIoT 应用实施新颖、高效的算法型网络安全解决方案。与 PFP 的基于 PC 的概念验证相比最终设计在体积和功耗方面均减少或降低了一个数量级。

在探讨我们两家公司如何在  Zynq SoC 上使用名为 Power Fingerprinting (PFP) 的专有技术来开发和商用化某个 IIoT 网络安全解决方案之前，我们首先来深入了解一下资源受限硬件平台不断增长的安全漏洞。

资源受限型硬件平台的漏洞  

由于标准工业控制设备使用资源受限制的嵌入式平台，因而控制关键基础设施的大量系统几乎没有网络安全性规定。如今，这种系统级别漏洞正被认为是关键基础设施的严重威胁。在关键基础设施环境中，很多系统具备陈旧的处理器，使用唯一硬件，并且不支持典型网络安全措施所引入的性能降级，它们为入侵留下了后门。最近的一次是在 2014 年 11 月，调查人员发现控制美国电厂、电网、水处理工厂和石油天然气基础设施的系统感染了病毒。[1]

四年前，由于震网病毒感染了伊朗负责运行核离心机的可编程逻辑控制器 (PLC)，从而导致了离心机的毁坏。[2] 平台过于僵化，就非常容易遭到入侵， PLC 就是其中的典范。PLC 很大程度上由嵌入式 MPU 组成，能自动对工业设备进行控制和监控。企业通常会建立其 PLC 平台网络，但却趋向于不为任何类型的安全监控或完整性评估提供资源。[3] 同时为了防范零日攻击(zero-day attack)或供应商未意识到的安全漏洞，他们也不会特别频繁地去更新这些平台。[4]  

POWER FINGERPRINTING：一种新颖且有效的安全方法   

PFP Cybersecurity 开始寻求能解决这类问题的解决方案，其不仅是能与现有安装设备高效协作运行的非侵入式解决方案，同时也不需要安装任何重要的设备或产生大量软件更新。。该公司开发的 PFP 技术可作为完整性评估的创新方法。正如人类指纹是个人的唯一标识一样，相同的理念也适用于特定系统或芯片。PFP 使用物理侧通道（例如，功耗）来获取在处理器中全面执行协议栈内部执行状态的相关信息，并且这与平台或应用无关。PFP 技术将识别被系统认为正常运行的“指纹”。如果之后获取的某个指纹不匹配，则可能表明某些方面出错。

这可通过外部监控器来实现，该监控器在物理上与目标处理器分离,并且在网络攻击破坏了目标时能以极高的准确度进行检测。PFP 同时适用于新系统和原有系统，是现有网络安全性解决方案的补充，并且不需要在目标上安装任何软件或硬件。

PFP 可支持能捕获通道侧信号的各种传感器，并依赖于计算密集型信号处理算法进行功能抽取,而且依赖机器学习进行分类。能通过各种方法来完成感应侧通道，包括 AC 或 DC 电流或者在目标周围获取电场或磁场变化的电磁 (EM) 传感器。PFP 从捕获的信号中抽取唯一有差别特征，将其与一组基线参考进行比较并查找偏差。基线参考是“指纹”，可唯一识别的正常执行目标软件，并且是通过机器学习方法来抽取的。PFP 使用存储的参考来实时检测未经授权的执行偏差。

PFP Cybersecurity 成功开发了概念验证用的监控系统，并使用如下设备对该系统进行了演示：个人计算机 (PC) 、 具备高速模数转换器 (ADC)以及能将 EM 传感器与数据采集设备（如图 1 中所示）实现接口相连的定制模拟前端。PFP 算法引擎在 PC 上执行，并以从数据采集设备收集原始 ADC 数据为切入点。系统的前端处理在设计方面类似于众多多通道数字无线电接收器，即，在 ADC处收集可用于由多个数字调谐器进行处理（通常称为数字下变频，也可简称 DDC）的宽波段。这些 DDC 可调谐到更广波段中的更窄相关波段，然后对这些波段进行过滤和抽取。此方法能产生高得多的可管理数据带宽以进行后续跟踪处理，并可极大简化系统设计的模拟部分。

功能抽取和分类算法可处理 DDC 的输出，并将其与一组基线参考进行比较，所有这些都必须进行实时操作才能确保它们察觉到任何入侵。控制算法的并行运行能够确定ADC 采样率及相关波段的处理参数。此进程可在原始 ADC 样本的大型相邻模块上执行大量操作，其中包括快速傅里叶变换 (FFT)。 此方法可基于目标平台提供连续的 24/7 全天候完整性监控。 如果检测到入侵，FPP 监视器就会通过提醒操作人员、将事件数据记录到中央监控站和/或采取积极措施来根据特定于应用的策略进行响应。
基于 PC 的概念验证系统能够产生的出色的结果，但由于多种原因，无法作为能够在商业上广泛部署可行系统。PC 系统基本包含一个监视器节点，而每一个现实世界的安装都可能需要几百个监视器节点。对算法性能的要求标明 PC 需要拥有功能强大的高端处理器。因而，其通常将需要风扇散热、相对大型的机柜以及大功率电源。

为了最大限度降低系统的抗扰性，传感器信号的模数转换应在靠近目标的一端进行。目标处理器附近适当的物理空间和电源可用性因各个安装的不同而有所差异，并且对于大部分安装而言，PC 的大小与电源要求过于大型，而无法行得通。尽管 PC 的成本可能较低，但将其余组件与 PC 进行集成所带来的成本和复杂性反而会让导致难以承受的高昂成本。更不必说， PC 会使得监视节点自身更容易受到网络的攻击。

从架构方面而言，一种选择可能是将所有原始数字信息通过标准网络传输到中央处理器或服务器。 但由于 ADC 极高的采样率，支持如此大量数据所需要的网络基础设施在安装时可能会不可用，并且购买和安装不仅复杂而且成本过高。  

因此，分布式计算架构是最理想的选择，因为每个传感器都具备一个计算节点。 此外，分布式架构还能在同一单元中将传感器模拟前端和算法处理高度整合在一起，从而降低成本和复杂性。此外，对于大部分安装来说，现有的网络基础设施足以支持目前被认为是超低的数据速率。但是，在采用分布式处理处理的情况下，监控器节点的设计就变得更具挑战性，因为其自身必须满足传感器节点和监控器算法处理的综合要求。

因此监控器节点必须体积小、功耗低、成本低。其必须能够处理和缓冲来自于高速 ADC 的数据，并且还能够满足算法的计算需求。此单元必须足够小才能紧靠目标器件放置，进而不仅能限制线缆长度，而且还可提高传感器的抗扰度。大小和潜在的安装空间限制确定该单元可在无风扇的情况下运行；因而必须设计为低功耗。

由于在需要监控的既定安装中可能有数百个目标器件，因此该单元的成本必须非常低才能保持较低的总体安装成本低廉。很多嵌入式处理器都能够满足上述大部分条件，例如部分基于流行的 ARM® 架构的嵌入式处理器。除了大部分由 ARM 器件实现的低功耗和低成本之外，ARM 产品还拥有更多优势，例如对大型社区的支持、嵌入式操作系统和开发工具的可用性以及针对大部分器件的原生千兆以太网支持。

其中几乎所有器件都欠缺处理原始 ADC 数据的能力（速率高达 8 Gbps）。它们也不具备对该数据进行任何有意义操作的数字信号处理 (DSP) 功能。