Enabling End-to-End APT Emulation in Industrial Environments: Design and Implementation of the SIMPLE-ICS Testbed

Titel: Enabling End-to-End APT Emulation in Industrial Environments: Design and Implementation of the SIMPLE-ICS Testbed

Auteurs: Yogha Restu Pramadi, Theodoros Spyridopoulos, Vijay Kumar (Cardiff University)

1. Probleemstelling

Onderzoek naar Advanced Persistent Threats (APT's) in industriële omgevingen vereist experimentele platforms die realistische, end-to-end aanvalsimulaties mogelijk maken over geconvergerde netwerken van Enterprise IT, Operational Technology (OT) en Industrial Internet of Things (IIoT).

De huidige uitdagingen zijn als volgt:

• Gebrek aan geïntegreerde testbeds: Bestaande industriële cybersecurity-testbeds richten zich vaak op geïsoleerde IT- of OT-domeinen, of simuleren slechts één-aanvalsfases. Dit beperkt de studie van multi-stadia APT-campagnes die van IT naar OT migreren.
• Tekort aan datasets: Er zijn weinig publiek beschikbare datasets die de convergentie van IT/OT/IIoT en multi-domein correlaties vastleggen. Bestaande datasets focussen vaak op geïsoleerde aanvalstechnieken of korte tijdsvensters zonder de noodzakelijke temporele fideliteit.
• Risico's bij live testen: Het testen van cybersecurity-mechanismen of het simuleren van complexe APT-campagnes op live industriële systemen is onpraktisch en riskant vanwege operationele onderbrekingen, financiële verliezen en fysieke gevaren.
• Herhaalbaarheid: Veel bestaande testbeds zijn proprietair, moeilijk te reproduceren of vereisen uitgebreide aanpassingen voor verschillende industriële sectoren.

2. Methodologie

De auteurs hanteren een systematische aanpak gebaseerd op het V-Model (uit de systeem- en software-engineering) om de ontwikkeling, validatie en verificatie van het testbed te sturen.

• V-Model Toepassing:
  • Linkerkant (Specificatie): Begint met requirements (gebaseerd op een gap-analyse van bestaande testbeds en APT-incidenten), gevolgd door architectuurontwerp (gebaseerd op standaarden zoals Purdue, NIST SP 800-82, IEC 62443) en gedetailleerd ontwerp van componenten.
  • Rechterkant (Validatie): Omvat het definiëren van use-cases, het analyseren van aanvalsscenario's (gebaseerd op echte threat actors zoals Sandworm), en het testen van de functionaliteit en dataverzameling tijdens de uitvoering van de aanval.
• Aanvalsscenario Ontwerp:
  • Er is een gegeneraliseerd APT-scenario ontwikkeld, geïnspireerd op de BlackEnergy en Sandworm campagnes (o.a. de aanval op het Oekraïense stroomnet).
  • Het scenario omvat 7 fasen: Initiële toegang (phishing), IT-reconnaissance, credential harvesting, laterale beweging naar OT, infiltratie van OT/IIoT, voorbereiding en uitvoering van de aanval op fysieke processen.
  • De aanvalstechnieken zijn gemapt naar het MITRE ATT&CK framework (zowel voor Enterprise als ICS).
• Digital Twin Technologie: In plaats van fysieke hardware te gebruiken (wat duur en onflexibel is), wordt gebruik gemaakt van Digital Twins voor de industriële proces-simulatie. Dit biedt hoge fideliteit, veiligheid en reproduceerbaarheid.

3. Key Contributions: De SIMPLE-ICS Testbed

Het paper introduceert SIMPLE-ICS (Simulated Industrial Multi-tier Platform for Laboratory Emulation of Industrial Control Systems). De belangrijkste bijdragen zijn:

1. Geïntegreerde IT-OT-IIoT Architectuur:

   • Een sector-onafhankelijk testbed dat IT, OT en IIoT domeinen combineert volgens het Purdue Enterprise Reference Architecture (PERA) en IIRA.
   • Het netwerk is opgedeeld in zes segmenten: Internet Simulator, IT DMZ, IT LAN, Industrial/OT DMZ, OT Network en IIoT Network.
   • Toepassing van beveiligingszones en firewalls om de realistische beperkingen en beveiligingsmaatregelen van industriële netwerken na te bootsen.

2. End-to-End APT Emulatie Framework:

   • Een reproduceerbare methode om multi-stadia campagnes te simuleren die beginnen in de IT-omgeving en eindigen met manipulatie van fysieke industriële processen.
   • Gebruik van MITRE Caldera voor de orkestratie van aanvalstechnieken (TTP's), aangevuld met handmatige aanpassingen voor specifieke OT-protocollen.

3. Uitgebreide, Gesynchroniseerde Dataverzameling:

   • Het testbed verzamelt gesynchroniseerde data uit drie lagen:
     • Netwerk: PCAPs, flow data.
     • Host: Windows Event Logs, Sysmon, endpoint activity.
     • Operationeel: Procesdata, PLC-commando's, SCADA/HMI logs.
   • Dit vormt de basis voor onderzoek naar detectie op campagneniveau.

4. Implementatie en Tools:

   • Virtualisatie: Gebaseerd op OpenVSwitch, VyOS, pfSense, en VirtualBox/Proxmox.
   • Industriële Simulatie: Factory I/O (visuele simulatie), OpenPLC (PLC-simulatie), FUXA (HMI/SCADA), en MING-stack (MQTT, InfluxDB, Node-RED, Grafana) voor IIoT.
   • Gebruikersgedrag: Simulatie van normaal menselijk gedrag en slachtoffer-gedrag (bijv. phishing) met Ghosts NPC.
   • SOC: Een gescheiden segment met Malcolm voor loganalyse en HedgeHog Linux VM's als netwerk-sensoren.

4. Resultaten en Evaluatie

De testbed is gevalideerd op functionaliteit, prestaties en de mogelijkheid om aanvalssporen waar te nemen.

• Prestaties:
  • De netwerklatentie binnen IT was gemiddeld 0,974 ms en binnen OT 1,29 ms.
  • Cross-segment latency (IT naar OT) was 3,695 ms.
  • Geen pakketverlies werd gedetecteerd onder normale of stressvolle belasting.
  • De virtualisatie-omgeving (48 cores, 4 TB RAM) kon de simulatie van 51 VM's en complexe aanvalsscenario's aan met een stabiel CPU-gebruik (pieken tot ~38%).
• Aanvalsimulatie:
  • De volledige APT-campagne (van phishing tot PLC-manipulatie) werd succesvol geëmulgeerd.
  • Alle fasen van de aanval waren waarneembaar in de verzamelde logs (netwerk, host en operationeel).
  • De testbed slaagde erin om de "pivot" van IT naar OT via een Jump Host en het stelen van credentials (Active Directory) realistisch na te bootsen.
• Vergelijking:
  • In vergelijking met bestaande testbeds (zoals Brown-IIoTbed, WAMPAC, CrossTest) biedt SIMPLE-ICS als enige een volledige architectuur die IT, OT en IIoT integreert, ondersteuning biedt voor volledige APT-campagnes (niet alleen losse aanvallen), en alle drie de logtypen (systeem, netwerk, operationeel) vastlegt.

5. Betekenis en Toekomstperspectief

De SIMPLE-ICS testbed vult een kritieke lacune in het industriële cybersecurity-onderzoek:

• Onderzoeksmogelijkheden: Het biedt een platform voor het ontwikkelen en valideren van detectiemethoden voor APT's die specifiek gericht zijn op de convergentie van IT en OT.
• Datasets: Het genereert hoogwaardige, gesynchroniseerde datasets die essentieel zijn voor het trainen van machine learning-modellen voor campagnedetectie.
• Reproduceerbaarheid: Door gebruik te maken van open-source software en Infrastructure-as-Code (Ansible, Terraform), is het testbed toegankelijk en reproduceerbaar voor andere onderzoekers.
• Toekomst: De auteurs plannen uitbreiding met meer APT-scenario's (o.a. FrostyGoop), integratie van AI/ML voor aanval en verdediging, en het toevoegen van hardware-in-the-loop componenten voor nog hogere realisme.

Conclusie:
SIMPLE-ICS is een doorbraak in de industriële cybersecurity-infrastructuur. Het biedt een realistisch, flexibel en reproduceerbaar framework om de volledige levenscyclus van APT-aanvallen te bestuderen, van initiële IT-compromittering tot fysieke sabotage in industriële processen. Dit is essentieel voor het verbeteren van de weerbaarheid van kritieke infrastructuur tegen geavanceerde bedreigingen.