Command and Control: Monitoring, defending and exploiting critical infrastructure

Abstract

For securing critical infrastructure, this thesis aims to develop a common operating picture system, establish methods for detecting targeted cyberattacks, and investigate exploits against machine learning -based decision making. A design-science research framework is used, in which the validity is assessed through practical applicability of the solution artifact, and through an iterative requirements–evaluation cycle in close cooperation with key stakeholders. The included studies address three topics: i) common operating picture systems, with emphasis on modeling and analysis methods, ii) neural network -based detection of encrypted malware command and control channels, and iii) one-pixel attacks targeting a neural network -based computer-aided cancer diagnosis. The studies made extensive use of raw data obtained through stakeholder collaboration. In addition, malware network traffic data generated through cybertraining activities on cyber-range environments, and tools used in targeted APT-malware attacks were utilized. A tissue sample -based tool, utilizing neural network technology, for computeraided diagnosis of breast cancer, and associated digitized light microscope samples were used in vulnerability research. The main results include ascertaining the applicability of the design-science research framework to the individual problem fields, and noting the necessity of raw data and stakeholder cooperation. Considering the results by topic, the required modeling and analysis methods could be implemented as a part of a common operating picture system, suitable neural network architectures with validation methods were created in malware traffic detection studies, and a method for producing hostile samples could be found in the study concerning one-pixel attacks. The practical results of the common operating picture -study include an VN TEAS report, produced to support state-level decision making, in which the results of the studies were utilized extensively. With regard to cyberattack detection methods, their suitability for SUNBURSTbackdoor detection was established. With regard to the one-pixel attack, the feasibility of the attack was demonstrated and the first publication considering the attack in a computer-aided diagnostic setting was produced.

Kriittisen infrastruktuurin turvaamiseksi pyritään kehittämään tilannekuvajärjestelmä, luomaan kohdistettujen verkkohyökkäyksien havainnontimenetelmiä sekä tutkimaan vihamielistä vaikuttamista koneoppimismenetelmäpohjaiseen päätöksentekoon. Tähän tarkoitukseen käytetään kehittämistutkimuksellista (design-science research) kehikkoa, jonka puitteissa validiteettiä arvioidaan sekä ratkaisuartefaktin käytännön soveltuvuuden, että iteratiivisen vaatimusmäärittely–evaluaatiosyklin kautta läheisessä yhteistyössä keskeisten sidosryhmien kanssa. Osatutkimukset käsittelevät kolmea aihepiiriä: yhdistetyn tilannekuvan järjestelmää mallinnus ja analyysimenetelmineen, haittaohjelmien salattujen komentokanavien neuroverkkopohjaista paljastamista sekä vihamielistä yhden kuvapisteen erheytyshyökkäystä neuroverkkopohjaiseen syövän tietokoneavusteisen diagnoosin työkaluun. Osatutkimuksissa hyödynnettiin laajasti sidosryhmäyhteistyön kautta hankittua raakadataa, kyberharjoitustoiminnan ja -ympäristön avulla tuotettua haittaohjelmien verkkoliikennedataa, kohdistetuissa APT-ryhmien haittaohjelmahyökkäyksissä käytettyjä kyberoperaatiotyökaluja sekä kudosnäytepohjaista rintasyövän tietokoneavusteisen diagnoosin neuroverkkoteknologiaa hyödyntävää työkalua ja digitalisoituja valomikroskooppinäytteitä. Tutkimuksen päätuloksina voidaan osaltaan pitää valitun kehikon sovelluskelpoisuutta osatutkimusten ongelmakenttiin, sekä tutkimusten osoittamaa raakadatan ja sidosryhmäyhteistyön välttämättömyyttä. Tilannekuvajärjestelmän osatutkimuksissa kyettiin toteuttamaan vaaditut mallinnus- ja analyysimenetelmät, havainnointimenetelmien osuudessa luotiin soveltuvat neuroverkkoarkkitehtuurit validointimenetelmineen sekä erheytyksen osatutkimuksessa löytämään menetelmä vihamielisten näytteiden tuottamiseksi. Tutkimuksen käytännöllisinä tuloksina voidaan tilannekuvajärjestelmän osalta pitää valtiollisen päätöksenteon tueksi tuotettua VN TEAS -raporttia, jossa osatutkimusten tuloksia hyödynnettiin laajasti. Verkkohyökkäyksien havainnointimenetelmien osalta voidaan todeta niiden soveltuvuus SUNBURST-takaoven havainnointiin. Erheytyshyökkäyksen osalta voidaan tuloksiksi lukea käyttökelpoisuuden osoitus sekä aiemmin julkaisematon kuvaus hyökkäystyypin kohdistamisesta tietokoneavusteisen diagnoosin sovellutuksiin.