DOI: https://doi.org/10.1038/s41598-025-89650-5
PMID: https://pubmed.ncbi.nlm.nih.gov/40695948
تاريخ النشر: 2025-07-22
المؤلف: Qawsar Gulzar وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تقدم الدراسة إطارًا متعدد التخصصات لاكتشاف الهجمات الإلكترونية في أنظمة التحكم الصناعية (ICS) باستخدام أنظمة كشف التسلل الشبكي المعتمدة على التعلم العميق (NIDS). يتضمن الإطار تقنيات اختيار الميزات وتقليلها، مع تسليط الضوء بشكل خاص على فعالية المعلومات المتبادلة (MI) لاختيار الميزات الأمثل وSparsePCA لتعزيز تقارب النموذج ومرونته تجاه القيم الشاذة. تم تقييم الإطار على مجموعات بيانات SWaT وWADI وGHL، حيث أظهر أداءً متفوقًا في تحديد الهجمات الإلكترونية، مع تفوق نموذج Deep LSTM على النماذج الأخرى مثل RNN وBiLSTM من حيث كفاءة التدريب ودقة الكشف.
تشير النتائج إلى أن الإطار المقترح يتفوق في اكتشاف أنواع مختلفة من الهجمات، كما يتضح من مقاييس مثل الدقة والاسترجاع ودرجة F1. يُقترح أن تركز الأعمال المستقبلية على تقنيات توازن البيانات الديناميكية للتكيف مع التهديدات المتطورة، بالإضافة إلى تطبيق الإطار على مجموعات بيانات واقعية متنوعة وسيناريوهات هجوم معقدة. بالإضافة إلى ذلك، يمكن أن يعزز دمج تقنيات متقدمة مثل تحليلات البيانات الكبيرة، والحوسبة الطرفية، والتعلم الفيدرالي، وblockchain الحلول الأمنية لتطبيقات ICS ضد التهديدات الإلكترونية المتطورة.
الطرق
يستخدم الإطار المقترح لاكتشاف الهجمات الإلكترونية في أنظمة التحكم الصناعية (ICS) بيانات المستشعرات العادية والضارة، معتمدًا على الشبكات العصبية العميقة الخفيفة المدفوعة بالانتباه، وتحديدًا الشبكات العصبية المتكررة العميقة (RNN)، وذاكرة طويلة وقصيرة المدى العميقة (LSTM)، وذاكرة LSTM ثنائية الاتجاه العميقة (Bi-LSTM). تلتقط هذه النماذج العلاقات الزمنية في البيانات التسلسلية بشكل فعال، وهو أمر حاسم لتحليل حركة مرور الشبكة في ICS. تم تقييم أداء الإطار باستخدام مجموعات بيانات متنوعة، مع التركيز على مقاييس مثل الدقة والاسترجاع ودرجة F1 ودرجة ROC AUC، مما يظهر فعالية عالية في اكتشاف الهجمات الإلكترونية.
تم إجراء التجارب على جهاز Microsoft Windows 11 Pro مزود بمعالج Intel Core i7، باستخدام مكتبات Python بما في ذلك Numpy وKeras. تم تقسيم مجموعات البيانات إلى مجموعات تدريب (60%)، واختبار (20%)، والتحقق (20%). أظهرت النتائج أن نموذج LSTM تفوق على التكوينات الأخرى، محققًا دقة واسترجاع ودرجات F1 تتجاوز 99% عبر مجموعات بيانات SWaT وWADI وGHL. ومن الجدير بالذكر أن الإطار أظهر انخفاضًا في الإيجابيات الكاذبة والسلبية مع مرور الوقت، مع تحسين الدقة وتقليل وقت التدريب. كما أثرت اختيارات دوال الخسارة، مثل متوسط الخطأ التربيعي (MSE) وجذر متوسط الخطأ التربيعي (RMSE)، على أداء النموذج، خاصة في اكتشاف فئات الهجمات المحددة. بشكل عام، أظهر الإطار قدرات قوية في اكتشاف الهجمات الإلكترونية، حيث كان نموذج LSTM يقدم نتائج متفوقة باستمرار عبر مقاييس التقييم المختلفة.
المناقشة
في قسم المناقشة، تستعرض الورقة منهجيات مختلفة لاكتشاف الهجمات الإلكترونية في أنظمة التحكم الصناعية (ICS)، مع تسليط الضوء على التحول نحو تقنيات التعلم الآلي (ML) والتعلم العميق (DL). يتم دعم أو استبدال الطرق التقليدية، مثل أنظمة كشف التسلل المعتمدة على القواعد (IDS) والآلات الحاسبة المحددة النهائية، بأساليب ML/DL المتقدمة التي تستفيد من البيانات الكبيرة لاكتشاف الشذوذ. يلخص المؤلفون النتائج الرئيسية من الأدبيات، مؤكدين أن اكتشاف الشذوذ في ICS غالبًا ما يُؤطر كمشكلة تصنيف زمنية، مما يستلزم استخدام خوارزميات فعالة زمنياً مثل الشبكات العصبية التلافيفية (CNN) وشبكات الذاكرة طويلة وقصيرة المدى (LSTM).
تستعرض الورقة دراسات مختلفة استكشفت نماذج ML/DL مختلفة، بما في ذلك المقارنات بين الشبكات العصبية العميقة (DNN) وآلات الدعم المتجهة (SVM)، بالإضافة إلى تقديم تقنيات مبتكرة مثل طريقة المجموع التراكمي (CUSUM) لاكتشاف الشذوذ. ومن الجدير بالذكر أن المؤلفين يناقشون أداء النماذج المختلفة على مجموعات بيانات مثل مجموعة بيانات معالجة المياه الآمنة (SWaT)، كاشفين أن الشبكة العصبية التلافيفية أحادية البعد (1D-CNN) تفوقت على LSTM من حيث السرعة والدقة. علاوة على ذلك، تسلط المناقشة الضوء على أهمية معالجة مجموعات البيانات، واختيار الميزات، والتعامل مع عدم توازن الفئات لتعزيز أداء النموذج. ويخلص المؤلفون إلى أنه على الرغم من التقدم الكبير الذي تم إحرازه في IDS المعتمدة على ML/DL لأمان ICS، إلا أن هناك حاجة إلى مزيد من البحث لتحسين متانة النموذج وقابليته للتطبيق عبر مجموعات بيانات وسيناريوهات هجوم متنوعة.
DOI: https://doi.org/10.1038/s41598-025-89650-5
PMID: https://pubmed.ncbi.nlm.nih.gov/40695948
Publication Date: 2025-07-22
Author(s): Qawsar Gulzar et al.
Primary Topic: Network Security and Intrusion Detection
Overview
The study presents an interdisciplinary framework for detecting cyberattacks in Industrial Control Systems (ICSs) using deep learning-based network intrusion detection systems (NIDS). The framework incorporates feature selection and reduction techniques, particularly highlighting the effectiveness of Mutual Information (MI) for optimal feature selection and SparsePCA for enhancing model convergence and resilience to outliers. Evaluated on the SWaT, WADI, and GHL datasets, the framework demonstrated superior performance in identifying cyberattacks, with the Deep LSTM model outperforming other models such as RNN and BiLSTM in terms of training efficiency and detection accuracy.
The results indicate that the proposed framework excels in detecting various attack types, as evidenced by metrics such as precision, recall, and F1-score. Future work is suggested to focus on dynamic data balancing techniques to adapt to evolving threats, as well as applying the framework to diverse real-world datasets and complex attack scenarios. Additionally, integrating advanced technologies such as big data analytics, edge computing, federated learning, and blockchain could enhance the security solutions for ICS applications against sophisticated cyber threats.
Methods
The proposed framework for detecting cyberattacks in Industrial Control Systems (ICS) utilizes both normal and malignant sensor data, employing attention-driven lightweight deep neural networks, specifically Deep Recurrent Neural Networks (RNN), Deep Long Short-Term Memory (LSTM), and Deep Bi-directional LSTM (Bi-LSTM). These models effectively capture temporal relationships in sequential data, which is crucial for analyzing ICS network traffic. The framework’s performance was evaluated using various datasets, with a focus on metrics such as precision, recall, F1-score, and ROC AUC score, demonstrating high efficacy in detecting cyberattacks.
Experiments were conducted on a Microsoft Windows 11 Pro device equipped with an Intel Core i7 CPU, utilizing Python libraries including Numpy and Keras. The datasets were divided into training (60%), testing (20%), and validation (20%) sets. The results indicated that the LSTM model outperformed other configurations, achieving precision, recall, and F1-scores exceeding 99% across the SWaT, WADI, and GHL datasets. Notably, the framework showed a decrease in false positives and negatives over time, with improved accuracy and reduced training time. The choice of loss functions, such as mean squared error (MSE) and root mean squared error (RMSE), also influenced the model’s performance, particularly in detecting specific attack categories. Overall, the framework demonstrated robust capabilities in cyberattack detection, with the LSTM model consistently yielding superior results across various evaluation metrics.
Discussion
In the discussion section, the paper reviews various methodologies for detecting cyberattacks in Industrial Control Systems (ICSs), highlighting a shift towards machine learning (ML) and deep learning (DL) techniques. Traditional methods, such as rule-based Intrusion Detection Systems (IDS) and Deterministic Finite Automata, are being supplemented or replaced by advanced ML/DL approaches that leverage big data for anomaly detection. The authors summarize key findings from the literature, emphasizing that anomaly detection in ICSs is often framed as a time-series classification problem, necessitating the use of time-efficient algorithms like Convolutional Neural Networks (CNN) and Long Short-Term Memory (LSTM) networks.
The paper details various studies that have explored different ML/DL models, including comparisons between Deep Neural Networks (DNN) and Support Vector Machines (SVM), as well as the introduction of innovative techniques like the Cumulative Sum (CUSUM) method for anomaly detection. Notably, the authors discuss the performance of different models on datasets such as the Secure Water Treatment (SWaT) dataset, revealing that the One-Dimensional Convolutional Neural Network (1D-CNN) outperformed LSTM in terms of speed and accuracy. Furthermore, the discussion highlights the importance of dataset preprocessing, feature selection, and handling class imbalance to enhance model performance. The authors conclude that while significant advancements have been made in ML/DL-based IDS for ICS security, further research is needed to improve model robustness and applicability across diverse datasets and attack scenarios.