Моделирование и оценка атак истощения энергоресурсов на беспилотные летательные аппараты в системах антикризисного управления

МОДЕЛИРОВАНИЕ И ОЦЕНКА АТАК ИСТОЩЕНИЯ ЭНЕРГОРЕСУРСОВ НА БЕСПИЛОТНЫЕ ЛЕТАТЕЛЬНЫЕ АППАРАТЫ В СИСТЕМАХ АНТИКРИЗИСНОГО УПРАВЛЕНИЯ

В.А. Десницкий, кандидат технических наук; Н.Н. Рудавин.

Санкт-Петербургский институт информатики и автоматизации Российской академии наук

Статья посвящена вопросам моделирования и оценки атак истощения энергоресурсов, направленных на беспилотные летательные аппараты (дроны), являющиеся элементами систем управления и реагирования в чрезвычайных ситуациях. Проведен анализ разновидностей атак истощения энергоресурсов на беспилотные летательные аппараты с выделением их ключевых характеристик. Получены результаты экспериментальных исследований по моделированию некоторых видов атак истощения энергоресурсов на фрагменте программно-аппаратного прототипа системы антикризисного управления с использованием беспилотных летательных аппаратов Parrot A.R. Drone 2.0.

Ключевые слова: атаки истощения энергоресурсов, беспилотные летательные аппараты, антикризисное управление, моделирование

MODELING AND EVALUATION OF ENERGY EXHAUSTION ATTACKS ON UNMANNED AERIAL VEHICLES IN CRISIS MANAGEMENT SYSTEMS

V.A. Desnitsky; N.N. Rudavin.

Saint-Petersburg institute for informatics and automation of the Russian Academy of Sciences

The paper comprises issues of modeling and evaluation of energy exhaustion attacks aimed at unmanned aerial vehicles being elements of emergency management systems. An analysis of varieties of energy exhaustion attacks on unmanned aerial vehicles with the identification of their key characteristics is performed. The experimental studies results on the modeling of some types of energy exhaustion attacks on a fragment of the hardware/software prototype in a crisis management system by using unmanned aerial vehicles Parrot A.R. Drone 2.0 was obtained.

Keywords: battery exhaustion attacks, unmanned aerial vehicle, crisis management, modeling

Все большее распространение и вовлеченность в нашу жизнь получают киберфизические устройства в различных областях приложения. В связи с повышением интеллектуализации различных технических решений и автоматизации технологических процессов такие устройства оказываются уязвимыми перед нелегитимными действиями нарушителей, пытающихся скомпрометировать их работу и предоставляемые ими сервисы, что, в свою очередь, может приводить к значительному ущербу. Отдельно стоит выделить функционирующие автономно, располагающиеся на удалении от других объектов системы и перемещаемые в пространстве устройства, автономное функционирование которых выражается в автономном энергоснабжении, ограниченных коммуникациях или вычислительных ресурсах. К автономным киберфизическим устройствам можно отнести, в частности, колесные роботы, беспилотные летательные аппараты (БПЛА), географически распределенные отдельно стоящие сенсоры и микроконтроллеры, в том числе

функционирующие в системах, реализующих концепцию туманных вычислений. В результате такие устройства оказываются подверженными атакам, явно или неявно эксплуатирующим эту автономность. Помимо этого, сложность защиты от подобного вида атак затруднена, ввиду того, что подсистеме защиты приходится полагаться по большей части лишь на средства, расположенные внутри самого устройства, что, в свою очередь, осложняет организацию эффективной защиты.

В работе исследуется сценарий работы сети антикризисного управления на основе использования беспроводной коммуникационной самоорганизующейся сети. Предполагается, что при возникновении чрезвычайной ситуации, такой как землетрясение, пожар, наводнение и другие, на место происшествия прибывает персонал служб реагирования, которые разворачивают на местности мобильную коммуникационную инфраструктуру для обмена оперативными данными, а также для связи с командным пунктом.

Важнейшим требованием, накладываемым на такую сеть, является обеспечение функциональности и надежности передачи данных между узлами сети в условиях слабо предсказуемых физических перемещений узлов сети в пространстве. При этом заложенный в используемый протокол принцип ячеистой топологии позволяет узлам сети помимо своих целевых функций выполнять роль промежуточных узлов-маршрутизаторов при передаче данных по сети с возможностью динамического перестроения сети «на лету» и выбором наиболее подходящих маршрутов передачи данных в зависимости от текущего графа сети и загруженности его каналов.

Предложенный в работе [1] подход к обеспечению доступности узлов в сети антикризисного управления предполагает наличие одного или нескольких БПЛА, каждый из которых, во-первых, является узлом коммуникационной сети и, во-вторых, используется для физической доставки беспроводного модуля в области нарушения связности графа сети.

Сеть имеет узел-координатор, являющийся обязательным ее элементом. Координатор осуществляет функции настройки и согласования работы всех устройств сети, в том числе в части решения вопросов адресации и маршрутизации. На командном пункте имеются резервные дроны, готовые к запуску в случае расширения зоны действия сети либо в случае вывода из строя каких-либо узлов. При этом все узлы используют данные геолокации. Координатор собирает данные о состоянии сети, составляя карту того, какие узлы связаны напрямую с какими узлами и определяет характеристики таких соединений.

Для исследования атак истощения энергоресурсов в настоящей работе построен программно-аппаратный прототип системы антикризисного управления с использованием модулей коммуникационной самоорганизующейся mesh-сети, работающей по протоколу ZigBee серии 2. Данный протокол ориентирован на его использование в сетях с возможным изменяющимся во времени составом узлов, их местоположением в пространстве и меняющейся загруженностью коммуникационных каналов. Отметим, что, несмотря на ограниченную область действия сигнала связи, используемого в рамках протокола ZigBee, данный протокол может успешно использоваться в рамках лабораторных исследований для прототипирования, подтверждения выполнимости и анализа защищенности предлагаемых научно-технических решений с возможностью последующего их перенесения на другие протоколы, использующие принципы ячеистой топологии.

БПЛА имеет следующие элементы, представленные на рис. 1:

1) встроенная плата управления дроном A.R.Drone 2.0 Power Edition (рис. 1, снизу по центру);

2) литий-полимерная АКБ (снизу-слева) ёмкостью в 1 500 mAh 11,1 V;

3) микроконтроллер Arduino PRO 5V (сверху-правее), в который зашит программный компонент murimod [2], преобразующий сигналы ШИМ каналов управления в АТ-команды управления дроном;

4) 4-канальный конвертер логических уровней 5В-3,3В (снизу-справа), преобразующий логические уровни RX/TX входов/выходов платы дрона;

5) микроконтроллер Arduino PRO (в верхнем правом углу), модифицированный под аналог Arduino Leonardo. Данная плата выполняет функции автопилота и управляемого пилотирования дрона;

6) коммуникационный модуль беспроводной связи в самоорганизующейся сети X-Bee s2 Router (слева-сверху) обеспечивает прием команд управления и передачу телеметрии, а также выполняет роль ретранслятора ZigBee-сети;

7) GPS-модуль Neo 6m, работающий по протоколу NMEA 0183 с использованием библиотеки TinyGPS [3].

Атаки истощения энергоресурсов можно условно разделить на два типа. Первый тип -это атаки на беспроводные каналы, которые не требуют физического контакта с атакуемым устройством. Атаки на GPS-канал моделируются постановщиком помех нарушителя, который может либо заглушить сигнал приёмного устройства, либо выдать ему неверные координаты. При активной помехообстановке вероятно появление хаотичных движений БПЛА даже в режиме зависания в одной точке, так как основная привязка местоположения дрона происходит именно к координатам. Применение целенаправленных помех на дрон может вынудить его сойти с маршрута или направиться по более дальнему пути. Канал сети XBee применяется для отправки команд управления, а в ответ дрон передаёт свою телеметрию: GPS-данные, состояние окружающей сети и состояние параметров дрона. Применение помех может привести к потере актуальности выполняемого задания БПЛА, так как новые данные будут поступать с перебоями. Также нарушитель, «влезший» в канал связи, может выдать дрону неверные данные целеуказания, направив его по неоптимальному маршруту или вынуждая совершать лишние энергозатратные действия, попутно атакуя «обратную связь» ложной телеметрией якобы от БПЛА.

Рис. 1. Структура построенного устройства для доставки резервных модулей-роутеров

на базе Л^Лгопе 2.0

Второй тип атак подразумевает наличие физического контакта нарушителя с БПЛА. Атака моделируется в момент нахождения дрона в режиме ожидания, статического ретранслятора или в резерве. Атаки возможны на аппаратный интерфейс, на систему питания или на конструкцию беспилотника.

В рамках экспериментальной части исследования на построенном программно-аппаратном прототипе были промоделированы следующие атакующие воздействия: 1) несанкционированное включение БПЛА и перевод в режим ожидания (при его нахождении в состоянии покоя); 2) несанкционированное утяжеление дрона; 3) зависание БПЛА на малой высоте под видом стоянки; 4) внесение лишних движений; 5) отъем энергоресурсов БПЛА через ШВ-интерфейс.

Рассмотрим более детально атаку несанкционированного включения БПЛА и его перевода в режим ожидания при его нахождении в состоянии покоя. При такой атаке нарушитель посылает запрос на перевод БПЛА в режим готовности к взлёту. В режиме с отключенным модулем А^шпо время работы продолжалось 5,43 ч. При подключении всех модулей кроме ХВее время работы сократилось до четырех часов, однако статистика разряда практически не изменялась первые три часа. В случае с моделированием атаки типа Denial-of-Sleep (атаки «отказ от сна») [4] на ХВее батарея разрядилась уже через 2,5 ч, причём «проседание» заряда началось мгновенно - уже в первый час работы заряд упал вдвое быстрее, а за первые 10 мин заряд уже упал сразу на 15 % (рис. 2).

О 0,2 0,4 0,6 0,8 1 1,2 1,4 1,6 1,8 2 2,2 2,4 2,6 2,8 3 3,2 3,4 3,6 3,3 4 4,2 4,4 4,6 4,8 5 5,2 5,4 5,6 5,8

время, часы

Рис. 2. Результаты моделирования несанкционированного включения БПЛА

и его перевода в режим ожидания

Рассмотрим атаку несанкционированного утяжеления дрона. Данная атака моделировалась путем подвески на БПЛА А^Лгопе грузов различной массы, в том числе с нарушением центровки дрона путем смещения груза на переднюю часть дрона. Графики расхода заряда в условиях нагрузки 50 %, 25 % и 12,5 % массы, без массы (0 %) дрона, а также с нагрузкой 12,5 % массы с нарушенной центровкой (12,5 %) приведены на рис. 3.

100

О 0,5 1 1.5 2 2.5 5 5,5 4 4,5 5 5,5 6 &,5 7 7.5 В Е.5 9 9,5 10 10,5 11 11.5

время, часы

Рис. 3. Результаты моделирования атаки несанкционированного утяжеления дрона

Серия экспериментов подтвердила, что максимальное время работы отмечено при пустой нагрузке. При нагрузке 12,5 и 25 % от полной массы дрона время работы сокращается примерно одинаково - 9,72 и 9,57, соответственно, против 10,67 мин активности дрона без лишней нагрузки. При этом наблюдается значительное «проседание» заряда батареи при старте. Вероятно, это связано с тем, что с ростом нагрузки на двигатели падение напряжения батареи становится более существенным, а уровень заряда определяется по напряжению батареи. Также момент стремительного падения уровня заряда начинается в нагруженном

дроне гораздо позже, и батарея садится гораздо интенсивней, что может привести к слишком поздней отправке дрона на базу для подзарядки.

Рассмотрим атаку зависания БПЛА на малой высоте под видом его нахождения в состоянии покоя в пункте базирования. По результатам экспериментов данная атака оказывается достаточно эффективной - сокращение времени жизни БПЛА происходит многократно - с 4 ч до 12 мин.

Рассмотрим атаку внесения лишних движений в траекторию дрона. Данная атака возможна путем отправки нарушителем команд на взлет/посадку через автопилот Arduino или через канал Wi-Fi с отправкой пакета с командой на взлет. Сравнивались состояния зависания БПЛА в заданной точке и ситуации с непрерывными горизонтальными, вертикальными «колебаниями» дрона, а также его вращениями вокруг своей вертикальной оси. Однако, по сути, основной расход заряда уходит не столько на собственно движение дрона, сколько на поддержание его в воздухе в принципе, что позволяет говорить о неэффективности данной атаки.

Рассмотрим атаку отъема энергоресурсов БПЛА через USB-интерфейс или другой проводной интерфейс БПЛА с использованием «паразитирующего» модуля, в том числе атаку подмены легитимного USB-модуля на злонамеренно модифицированный, расходующий заряд электромагнитного, теплового или другого излучения. В рамках моделирования был установлен измеритель ёмкости батареи за время разряда БПЛА, показавший потребленную энергию в размере 1630 mAh, что при напряжении 5 В составило 8,15 Wh. При этом тест разряда с USB-потребителем показал в среднем снижение времени жизни БПЛА с 4 до 2,2 ч.

Атака подмены аккумулятора на неисправный и атака деградации аккумулятора являются чрезвычайно специфичными ввиду неопределенности степени неисправности и износа батареи, а также мотивации нарушителя по ожидаемому времени поражения дрона.

Таким образом, по результатам анализа, моделирования и экспериментальных исследований атак истощения энергоресурсов на БПЛА можно сделать вывод о наибольшем влиянии на время жизни следующих видов атак: несанкционированное включение БПЛА, зависание БПЛА на малой высоте под видом стоянки, отъем энергоресурсов БПЛА через USB-интерфейс. При этом каждая из атак обладает своими условиями выполнимости и скрытностью. Атака внесения лишних движений показала свою неэффективность при работе с БПЛА A.R.Drone 2.0. Атака несанкционированного утяжеления дрона может оказаться также достаточно эффективной - она сокращает, пусть и не очень значительно, время жизни, в результате чего в условиях полного исчерпания заряда при полете может не успеть вернуться в оперативный штаб для корректного завершения своей задачи.

Планируется дальнейшая реорганизация прототипа и использование разрабатываемых в настоящее время устройств, поддерживающих новый протокол ZigBee серии 3.0, анонсированный в 2017 г. ZigBee Alliance [5]. В частности, протокол третьей версии имеет значительно более сильную встроенную защиту, в том числе на сетевом уровне, предполагает сертификацию устройств, использует расширенный частотный диапазон [6]. Таким образом, функциональные ограничения построенного прототипа системы кризисного управления, в первую очередь касающиеся максимально допустимого расстояния между напрямую взаимодействующими узлами и защищенности протокола при переходе к протоколу ZigBee 3.0, могут быть нивелированы. Это позволит относительно легко адаптировать текущие результаты и численные оценки, полученные в процессе моделирования и анализа атак истощения к условиям, приближенным к условиям индустриальных сетей кризисного управления [7].

В работе проведен анализ возможных разновидностей атак истощения энергоресурсов, направленных на БПЛА. Получены результаты экспериментальных исследований по моделированию некоторых видов атак истощения энергоресурсов на фрагменте программно-аппаратного прототипа системы антикризисного управления с использованием Parrot A.R. Drone 2.0. В рамках дальнейшей работы планируется решение

задач, связанных с выявлением указанных типов атак на БПЛА с применением автоматизированных средств детектирования, в том числе с использованием методов машинного обучения.

Работа выполнена в СПИИРАН при поддержке Гранта Президента Российской Федерации № MK-5848.2018.9.

Литература

1. Desnitsky V., Kotenko I., Rudavin N. Ensuring Availability of Wireless Mesh Networks for Crisis Management // Studies in Computational Intelligence. 2018. Vol. 798. P. 344-353.

2. MiruMod AR.Drone v1.0 and v2.0 WiFi-less mod by miru. URL: http://mirumod.net/intro.php (дата обращения: 28.08.2019).

3. TinyGPS Library. URL: http://arduiniana.org/libraries/tinygps/ (дата обращения: 28.08.2019).

4. Udoh E., Getov V. Performance Analysis of Denial-of-Sleep Attack-Prone MAC Protocols in Wireless Sensor Networks, 2018 UKSim-AMSS // 20th International Conference on Computer Modelling and Simulation (UKSim). Cambridge, 2018. P. 151-156.

5. Zigbee 3.0 for developers. URL: https://www.zigbee.org/zigbee-for-developers/zigbee-3-0/ (дата обращения: 28.08.2019).

6. Desnitsky V.A., Kotenko I.V., Rudavin N.N. Protection Mechanisms against Energy Depletion Attacks in Cyber-Physical Systems. 2019 IEEE Conference of Russian Young Re-searchers in Electrical and Electronic Engineering (EIConRus 2019), Saint-Petersburg and Moscow, Russia. 2019. P. 214-219.

7. Desnitsky V., Kotenko I. Modeling and analysis of IoT energy resource exhaustion attacks // Studies in Computational Intelligence. 2017. Vol. 737. P. 263-270.

References

1. Desnitsky V., Kotenko I., Rudavin N. Ensuring Availability of Wireless Mesh Networks for Crisis Management // Studies in Computational Intelligence. 2018. Vol. 798. P. 344-353.

2. MiruMod AR.Drone v1.0 and v2.0 WiFi-less mod by miru. URL: http://mirumod.net/intro.php (data obrashcheniya: 28.08.2019).

3. TinyGPS Library. URL: http://arduiniana.org/libraries/tinygps/ (data obrashcheniya: 28.08.2019).

4. Udoh E., Getov V. Performance Analysis of Denial-of-Sleep Attack-Prone MAC Protocols in Wireless Sensor Networks, 2018 UKSim-AMSS // 20th International Conference on Computer Modelling and Simulation (UKSim), Cambridge, 2018. P. 151-156.

5. Zigbee 3.0 for developers. URL: https://www.zigbee.org/zigbee-for-developers/zigbee-3-0/ (data obrashcheniya: 28.08.2019).

6. Desnitsky V.A., Kotenko I.V., Rudavin N.N. Protection Mechanisms against Energy Depletion Attacks in Cyber-Physical Systems. 2019 IEEE Conference of Russian Young Re-searchers in Electrical and Electronic Engineering (EIConRus 2019), Saint-Petersburg and Moscow, Russia. 2019. P. 214-219.

7. Desnitsky V., Kotenko I. Modeling and analysis of IoT energy resource exhaustion attacks // Studies in Computational Intelligence. 2017. Vol. 737. P. 263-270.