Engin d'explication d'anomalies sur le bus ARINC 429 basé sur les ontologies

La cybersécurité des avions est un secteur d’activité en plein essor. Pour s’assurer de protéger les communications de l’avionique, il est important que les canaux soient sécuritaires. Toutefois, le standard de bus ARINC 429, communément présent chez les avions commerciaux, n’a pas intégré dans son architecture la cybersécurité. De plus, la plupart des contre-mesures proposées, notamment les Système de détection d’intrusion (IDS) n’ont pas pris en compte les attaques ne ciblant que la couche d’application logique ou la chaîne d’approvisionnement dans leur conception. Notre objectif de recherche est d’étudier la viabilité de l’explication d’anomalies pour les parties prenantes de l’avionique par le biais d’une ontologie modélisant le standard de bus ARINC 429. Cette ontologie, qui constitue le coeur de notre contribution, a été intégrée à ATMONTO, une ontologie de gestion du trafic aérien produit par la NASA et à l’ontologie MITRE D3FEND qui permet de prendre en compte les concepts de cybersécurité. Le cadre MITRE ATT&CK Entreprise produit deux scénarios d’attaques qui sont importés dans notre ontologie. Un cas de spoofing qui intègre une composante avionique malveillante dans l’avion et un deuxième cas qui fait intervenir un déni de service à travers une attaque sur la chaîne d’approvisionnement. La création de ces scénarios est évaluée par un expert spécialisé dans le web sémantique ainsi que par un pilote professionnel. Nous établissons alors un Engin d’Explication d’Anomalies (EEA) qui nous permet d’expliquer aux parties prenantes une anomalie détectée. Cela se traduit par la conception de questions de compétences qui sont basées sur un haut niveau de logique de détection. Le prototype comprend aussi une base de connaissances construite à partir de l’ontologie développée. Notre engin a fait l’objet de 3 cas d’études : (1) un radioaltimètre voyou entrant en compétition avec la redondance, (2)un EFB trafiqué durant la chaîne d’approvisionnement qui affiche une valeur de vitesse erronée et (3) un pilote automatique voyou qui se désactive à une étape de vol critique. Pour pouvoir tester les attaques sophistiquées et les différentes règles de détection, nous démontrons dans la méthodologie que la base de connaissance réussit les tests de cohérence et répond à des questions de compétences pertinentes. Les résultats sont présentés pour ces cas. On fournit ainsi une capacité adéquate pour informer le pilote, l’ouvrier de maintenance ou le développeur d’IDS de l’attaque qui se déroule. Une contre-mesure de la situation est aussi offerte. Les résultats s’appuient sur des tests de cohérences et des scénarios proposés par des experts du domaine. Le travail réalisé permettra, dans le futur, d’intégrer d’autres types de bus avioniques, comme l’AFDX ou le MIL-STD-1553, de produire des données de vol à partir d’un simulateur de vol et d’incorporer des techniques en traitement automatique du langage naturel (NLP) pour enrichir le pont humain-machine de l’engin.

Abstract

Cyber attacks targeting physical devices soars in avionics. To ensure the protection, channels need to be secure. However, the ARINC 429 bus standard, commonly used in commercial aircraft, does not incorporate cybersecurity into its architecture. Furthermore, most proposed countermeasures, including Intrusion Detection Systems (IDS), have not taken into account attacks targeting the logical application layer or the supply chain in their design. Our objective in this research is to investigate the viability of explaining anomalies to stakeholders in avionics through an ontology that models the ARINC 429 bus standard. This ontology, which forms the core of our contribution, has been integrated into ATMONTO, an air traffic management ontology produced by NASA, and the MITRE D3FEND ontology, which incorporates cybersecurity concepts. The MITRE ATT&CK Enterprise framework produces two attack scenarios that are imported into our ontology. One scenario involves spoofing, integrating a malicious avionics component into the aircraft, while the second scenario involves a denial of service attack through an attack on the supply chain. The creation of these scenarios is evaluated by an expert specialized in semantic web and a pilot. We establish an Explanation of Anomaly Engine (EEA) that allows us to explain a detected anomaly to stakeholders. This involves designing competency-based questions that are based on a high level of detection logic. The prototype also includes a knowledge base built from the developed ontology. Our engine has been subjected to three case studies: a rogue radio altimeter competing with redundancy, a tampered Electronic Flight Bag (EFB) in the supply chain displaying incorrect speed value, and a rogue autopilot that disables itself at a critical stage of flight. To test more sophisticated attacks and various detection rules, we demonstrate in the methodology that the knowledge base passes coherence tests and provides relevant competency-based answers. The results are presented for these cases, providing adequate capability to inform the pilot, maintenance worker, or IDS developer of the ongoing attack. A countermeasure to the situation is also provided. The results are based on coherence tests and scenarios proposed by domain experts. The work accomplished will enable the future integration of other types of avionic buses, such as AFDX or MIL-STD-1553, the generation of flight data from a flight simulator, and the incorporation of Natural Language Processing (NLP) techniques to enhance the humanmachine interface of the engine.