A digital twin simulation framework for cyber physical system and anomaly detection

With the increase of new technologies, especially in Internet of Things(IoT) field, every object is interconnected and, as a consequence, itrepresents a source of information shared with the external world viainternet.A Cyber Physical Systems (CPS) typically consists of physical com-ponents and a communication network. The communication networklets the single component communicate with the other components.The downside of the internet-connected world is the system exposureto malicious actions not only locally but also remotely.Real-world CPS are often not open to security researchers. Conse-quently, very few reference systems and topologies are available.In this thesis, we propose a simulation framework able to simu-late the physical processes and the network traffic of a real CPS. Wecreate a realistic simulation environment for a Water DistributionSystem (WDS), able to capture both physical and network information.We provide different types of attacks like Man In The Middle (MITM),Direct Component Attack, and Denial of Services (DoS) attack to an-alyze the system behavior both in normal condition execution andanomalous execution. Moreover, we provide a preliminary Intrusiondetection System (IDS) to deal with data obtained from the simulationsto state whether the system is affected by malicious actions.

La continua evoluzione tecnologica, in particolare nel campo IoT, haconsentito al settore industriale di progredire nell’utilizzo di metodisofisticati in grado di mettere in comunicazione i diversi compo-nenti facenti parte dell’infrastruttura di un sistema. Al contempo,l’interconnessione di questi componenti implica il rischio di attacchiinformatici. Attualmente vi sono pochi sistemi cyber-fisici a dispo-sizione della ricerca, pertanto il nostro scopo è creare un ambientedi simulazione comprensivo di questi due layer (parte fisica e partenetwork). Il nostro caso di studio è la simulazione di un Water Distribu-tion System. I componenti che costituiscono il WDS sono in costantecomunicazione l’uno con l’altro per trasportare l’informazione dalpiù basso livello, tramite dei sensori, al più alto livello costituito daProgrammable Logic Controller (PLC) e Supervisory Control AndData Acquisition (SCADA), in cui risiede la logica di controllo delsistema. Questa continua comunicazione può essere fonte di attacchiinformatici in grado di alterare, controllare o distruggere i messaggiscambiati, portando talvolta a gravi conseguenze.Per implementare il Digital Twin su cui fare simulazioni abbiamoutilizzato MiniCPS, un framework basato su Mininet per gestire la com-ponente network e Winter, una libreria Python che permette l’utilizzodi Epanet, un framework di simulazione per reti idrauliche. I duelayer comunicheranno tramite un database il quale, attraverso unastep-by-step simulation, conterrà i valori aggiornati del sistema adogni iterazione.Successivamente abbiamo simulato degli attacchi informatici conl’obiettivo di modificare i messaggi scambiati tra i componenti net-work al fine di alterare la logica che governa il sistema, interromperele linee di comunicazione tra i componenti e interrompere l’esecuzionedi un determinato componente. Questo ci ha permesso di otteneredue principali scenari di simulazione: il primo in condizioni normaliin cui il sistema si comporta in modo standard e il secondo in cuiil sistema è soggetto ad attacchi informatici in grado di alterarne ilcomportamento. Dalle due simulazioni vengono estratti due outputche rappresentano gli stati del sistema fisico e i messaggi scambiatidai componenti allo scorrere del tempo, il primo in condizioni normalie il secondo in condizioni anomale. I due file di output costituirannol’input del prossimo step: un Intrusion Detection System (IDS) ossiaun software utilizzato per rilevare gli attacchi alle reti informatichea livello di rete, di trasporto e di applicazione. L’IDS è basato su unmodello che utilizza reti neurali artificiali, in particolare Long Short-Term Memory neural networks. Dapprima il modello viene addestratotramite il file di output fisico in condizioni normali, imparando così il comportamento standard del sistema. Successivamente, mediantel’inserimento del file di output fisico in condizioni anomale, l’IDS saràin grado di riconoscere la presenza di attacchi informatici. Infine, ab-biamo valutato i risultati ottenuti nei test per dimostrare l’accuratezzadel nostro modello nel riconoscere se il sistema è sotto attacco o meno.