Understanding the Role of Automated Response AcOons to Improve AMI - PowerPoint PPT Presentation

Understanding the Role of Automated Response AcOons to Improve AMI ¡Resiliency Ahmed Fawaz 1 , Robin Berthier 1 , Bill Sanders 1 , Partha Pal 2 April 24, 2012 1 University of Illinois at Urbana ¡Champaign 2 BBN Technologies ¡ | 1

TCIPG Mission • IdenOfy and address criOcal • Research Excellence security and resiliency needs at – Balance long-­‑range basic the cyber-­‑physical juncOon in research with the need to the evolving power grid develop pracOcal soluOons in – Meet ¡the challenge of rapid the near term evoluOon and mixed legacy – PublicaOons and conference environment ¡ presentaOons – Address the proliferaOon of – TCIPG is the “go to” devices, demand response, academic center DG integraOon, HAN… • EducaOon – Emphasis on trust ¡and – Develop university students resiliency ¡ who will be experts in the • Engage Industry (uOlity, control field ¡ system vendors, technology – Outreach to K-­‑12 students providers) ¡ and the public – Ensure relevance of research – Foster technology transfer | 2

TCIPG StaOsOcs • Builds upon $7.5M ¡NSF TCIP CyberTrust Center 2005-­‑2010 • $18.8M ¡over 5 years, starOng Oct ¡1, 2009 • Funded by Department ¡of Energy, Office of Electricity and Department ¡of Homeland Security • 5 UniversiOes ¡ – University of Illinois at Urbana-­‑Champaign – Washington State University – University of California ¡at Davis – Dartmouth College – Cornell University • 20 Faculty, 20 Senior Technical Staff, 37 Graduate Students, 5 Undergraduate Students, and 1 Admin | 3

Industry InteracOon: Vendors and UOliOes that ¡have parOcipated in TCIPG Events | 4

Industry InteracOon: Other organizaOons that ¡have parOcipated in TCIPG Events | 5

TCIPG Impacts all aspects of the 2011 Roadmap to Achieve Energy Delivery Systems Cybersecurity ProtecNve ¡ Build a Culture of Assess and Manage Sustain Security ¡ Measures/Risk ¡ Security ¡ Monitor Risk ¡ Incidents ¡ Improvements ¡ ReducNon Build secure, ¡real-­‑ Analyze security of Build game-­‑ Offer ¡Testbed and Nme, & flexible ¡ Conduct summer ¡ protocols ¡(e.g. theoreNc Response ExperNse as a schools ¡for communicaNon DNP3, Zigbee, ¡ and recovery ¡ Service to Industry ¡ industry ¡ mechanisms for ¡ ICCP, ¡C12.22) ¡ engine ¡ WAMS orts AnNcipate/address Create ¡tools ¡for ¡ Develop K-­‑12 Design secure ¡ Develop forensic ¡ issues ¡of scale: ¡PKI, ¡ assessing ¡security ¡of power/cyber informaNon ¡layer data analysis to data avalanche, ¡ devices, ¡systems, ¡& TCIPG Eff curriculum ¡ for ¡V2G ¡ support ¡response PMU data use cases ¡ compression Create ¡integrated Provide ¡malicious ¡ Create ¡effecNve ¡ scalable cyber/ power system data Develop public ¡ Act as repository Intrusion ¡detecNon ¡ energy literacy physical ¡modeling detecNon ¡and for ¡cyber-­‑security-­‑ approach for AMI infrastructure protecNon ¡ related power ¡ system data Distribute ¡NetAPT ParNcipate ¡in Directly interact for ¡use ¡by uNliNes industry-­‑led ¡CEDS ¡ with industry and auditors ¡ projects ¡ Educate next-­‑ Create ¡fuzzing ¡ generaNon cyber-­‑ tools for SCADA ¡ power aware protocols ¡ workforce | 6

Agenda ¡ • Background ¡on ¡AMI ¡ – System ¡overview ¡ – Security ¡aspects ¡ • Towards ¡Automated ¡Response ¡ – Taxonomy ¡ – Cost ¡model ¡ – PracOcal ¡deployment ¡ • Future ¡DirecOons ¡ | 7

Acknowledgements ¡ • Core ¡funding ¡as ¡part ¡of ¡TCIPG ¡Center, ¡Office ¡of ¡ Electricity, ¡Department ¡of ¡Energy ¡ • AddiOonal ¡support ¡for ¡Development/Analysis/ ¡ Technology ¡Transfer ¡ – BBN ¡Technology ¡ – ITRON ¡– ¡Testbed ¡provisioning ¡ | 8

Advanced ¡Metering ¡Infrastructure ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ Demand-­‑Response ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡Services: ¡ -­‑ Real-­‑Nme ¡price ¡informaNon ¡ ¡ -­‑ Remote ¡diagnosis ¡and ¡commands ¡ ¡ ¡ ¡ Usage ¡readings ¡ hhp://www.nuritelecom.com/soluOons/advanced-­‑metering-­‑infrastructure.html ¡ | 9

Demand ¡Response ¡in ¡MISO ¡Markets ¡ ~ 3,000 MW Relief from Demand Side Management 140,000 135,000 130,000 125,000 Load (MW) 120,000 115,000 110,000 105,000 100,000 Forecast Footprint Load 95,000 Actual Footprint Load 90,000 00:00:00 01:00:00 02:00:00 03:00:00 04:00:00 05:00:00 06:00:00 07:00:00 08:00:00 09:00:00 10:00:00 12:00:00 13:00:00 14:00:00 15:00:00 16:00:00 17:00:00 18:00:00 19:00:00 20:00:00 21:00:00 22:00:00 23:00:00 24:00:00 11:00:00 TIME (EST) hhp://www.narucmeeOngs.org/PresentaOons/Doying%20Midwest%20ISO%20Demand%20Response.ppt ¡ | 10

AMI ¡Architecture ¡ UOlity ¡Network ¡ Field ¡Crew ¡ Database ¡ Collect. ¡Engine ¡ WAN ¡ Relay ¡ (WiMax, ¡PLC, ¡ ¡ Satellite ¡or ¡GSM) ¡ Relay ¡ NAN ¡ (Wireless ¡mesh ¡network ¡or ¡PLC) ¡ Third ¡Party ¡ Relay ¡ ¡ Customer ¡ ¡ WAN : ¡Wide ¡Area ¡Net., ¡ NAN : ¡Neighborhood ¡Area ¡Net. ¡ Smart ¡Meter ¡ ¡ PLC : ¡Power ¡Line ¡Comm. ¡ | 11

Requirements ¡ • Large-­‑scale ¡ – Managing ¡few ¡millions ¡nodes ¡ • Resilient ¡ – Energy ¡delivery ¡mission ¡is ¡criOcal ¡ • Privacy-­‑preserving ¡ – Protect ¡sensiOve ¡customer ¡informaOon ¡ | 12

Constraints ¡ • Long ¡term ¡deployment ¡ – Life ¡cycle ¡of ¡5 ¡to ¡15 ¡years ¡(vs. ¡2-­‑3 ¡years ¡in ¡IT) ¡ • Meters ¡have ¡low-­‑computaOonal ¡power ¡ • Limited ¡network ¡bandwidth ¡ • Limited ¡informaOon ¡about ¡ahacks ¡ • Security ¡soluOons ¡should ¡be: ¡ – Non-­‑intrusive ¡ – Low ¡maintenance ¡ | 13

Cyber ¡Security ¡Threats ¡ • MoOvaOons: ¡ – Energy ¡fraud ¡ – Denial ¡of ¡service ¡ • ExtorOon ¡ – Power ¡DisrupOon ¡ • Targeted ¡remote ¡disconnect ¡ • Large-­‑scale ¡outages ¡and ¡instability ¡ – Stealing ¡personal ¡informaOon ¡ – Abuse ¡of ¡communicaOon ¡infrastructure ¡ – Loss ¡of ¡customer ¡trust ¡and ¡adopOon ¡ | 14

AMI ¡Ahack ¡Surfaces ¡ Corporate ¡Network ¡ Home ¡area ¡ network ¡ Wireless ¡Mesh ¡Network ¡ Physical ¡tampering ¡with ¡meter ¡ | 15

Smart ¡Meter ¡VulnerabiliOes ¡ Password ¡sent ¡clear ¡over ¡opOcal ¡port ¡ • CommunicaOon ¡protocol ¡vulnerabiliOes ¡ Usage ¡data ¡not ¡integrity ¡protected ¡ – RouOng ¡ – ConfiguraOon ¡ – Name ¡service ¡ • Solware ¡and ¡firmware ¡vulnerabiliOes ¡ • Hardware ¡vulnerabiliOes ¡ Replaced ¡anO-­‑tampering ¡seal ¡ • Read ¡and ¡write ¡access ¡to ¡data ¡storage ¡ Password ¡stored ¡in ¡clear ¡in ¡EEPROM ¡ ¡ • Access ¡to ¡encrypOon ¡keys ¡ EncrypOon ¡key ¡derived ¡from ¡password ¡ • Weak ¡random ¡generator ¡ • Lack ¡of ¡replay ¡protecOon ¡ Replayed ¡authenOcaOon ¡and ¡spoofed ¡meter ¡ Mul?-­‑vendor ¡Penetra?on ¡Tes?ng ¡in ¡the ¡Advanced ¡Metering ¡Infrastructure ¡ (2010), ¡and ¡ Energy ¡ TheE ¡in ¡the ¡Advanced ¡Metering ¡Infrastructure ¡ (2009) ¡by ¡S. ¡McLaughlin ¡et ¡al. ¡ ¡ | 16

Smart ¡Meter ¡VulnerabiliOes ¡(cont.) ¡ • CommunicaOon ¡protocol ¡vulnerabiliOes ¡ – RouOng ¡ – ConfiguraOon ¡ – Name ¡service ¡ Local ¡variables ¡promoted ¡to ¡global ¡ • Solware ¡and ¡firmware ¡vulnerabiliOes ¡ Vulnerable ¡to ¡buffer ¡overflow ¡ Very ¡small ¡stack ¡space, ¡no ¡memory ¡protecOon ¡ • Hardware ¡vulnerabiliOes ¡ Vulnerable ¡to ¡Oming ¡ahacks ¡ • Read ¡and ¡write ¡access ¡to ¡data ¡storage ¡ “r/w” ¡flag ¡olen ¡disabled ¡ • Access ¡to ¡encrypOon ¡keys ¡ • Weak ¡random ¡generator ¡ • Lack ¡of ¡replay ¡protecOon ¡ Smart ¡meter ¡worm ¡developed ¡and ¡tested ¡by ¡IOAc?ve ¡(BlackHat ¡2009) ¡ ¡ Self-­‑replica?ng ¡and ¡self-­‑propaga?ng ¡code ¡ | 17

Cyber ¡Security ¡Threats ¡to ¡AMI ¡ UOlity ¡Network ¡ Field ¡Crew ¡ Database ¡ Collect. ¡Engine ¡ Self-­‑propagaOon ¡ WAN ¡ (remote ¡exploit ¡ Relay ¡ remote ¡disconnect) ¡ ¡ Relay ¡ Massive ¡requests ¡ (denial ¡of ¡service) ¡ NAN ¡ AuthenOcaOon ¡ (meter ¡spoofing) ¡ Third ¡Party ¡ Relay ¡ ¡ Compromised ¡Meter ¡ (key ¡stolen ¡and ¡ Customer ¡ malware ¡injected) ¡ ¡ WAN : ¡Wide ¡Area ¡Net., ¡ NAN : ¡Neighborhood ¡Area ¡Net. ¡ Smart ¡Meter ¡ ¡ PLC : ¡Power ¡Line ¡Comm. ¡ | 18