DOI: https://doi.org/10.1007/s10791-026-10064-6
تاريخ النشر: 2026-03-30
المؤلف: Andrea Pinto وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تتناول ورقة البحث الثغرات في الأنظمة السيبرانية الفيزيائية (CPS) في البنية التحتية الحيوية، مع تسليط الضوء على عدم كفاية أنظمة الأمان التقليدية التي تركز بشكل أساسي على حركة مرور الشبكة بينما تتجاهل البيانات السياقية القيمة من المستشعرات الفيزيائية. لسد هذه الفجوة الأمنية، يقترح المؤلفون إطار عمل مبتكر غير خاضع للإشراف يدمج البيانات من المصادر الفيزيائية والرقمية للكشف الشامل عن الشذوذ. تستخدم البنية الشبكات المدربة مسبقًا من نوع Variational Autoencoder-Long Short-Term Memory (VAE-LSTM) لالتقاط الاعتماديات الزمنية، معززة بآلية انتباه مزدوجة للتفاعل الفعال بين التمثيلات الكامنة. بالإضافة إلى ذلك، يتضمن النموذج تدريبًا عدائيًا لتحسين الكشف عن التهديدات الدقيقة، محققًا منطقة تحت المنحنى (AUC) تبلغ 0.87 على مجموعة بيانات SWAT، مع تحديد 24 من أصل 26 سيناريو هجوم بنجاح.
في الختام، تؤكد الدراسة على ضرورة الانتقال من التحليلات الأحادية المعزولة إلى نهج دمج متعدد الأبعاد شامل لتأمين البنى التحتية الحيوية. لا يعزز الإطار المقترح الكشف عن الشذوذ من خلال دمج بيانات العمليات الفيزيائية مع حركة مرور الشبكة فحسب، بل يمثل أيضًا تحولًا معماريًا كبيرًا نحو أمان السيبرانية الفيزيائية المدرك للسياق. من خلال الاستفادة من تقنيات متقدمة مثل مشفرات VAE-LSTM وآليات الانتباه المزدوجة ومشفرات Autoencoders العدائية (AAE)، يتعلم النموذج بفعالية العلاقات المعقدة بين الأوامر السيبرانية والأحداث الفيزيائية، مما يمهد الطريق لحلول أمان أكثر مرونة في CPS.
مقدمة
تسلط مقدمة الورقة الضوء على التحديات المتزايدة في مجال الأمن السيبراني التي تواجهها البنى التحتية الحيوية (CIs) بسبب اعتمادها على الأنظمة السيبرانية الفيزيائية المترابطة (CPS). تدمج هذه الأنظمة بين المكونات الرقمية والفيزيائية، مما يجعلها عرضة للهجمات السيبرانية التي يمكن أن تعطل العمليات الفيزيائية، كما يتضح من الحوادث الأخيرة التي استهدفت أنظمة المياه في دول مختلفة. تدابير الأمان التقليدية، التي غالبًا ما تركز على مصادر بيانات فردية، تفشل في حماية هذه النظم البيئية المعقدة بشكل كافٍ. يجادل المؤلفون بضرورة دمج كل من بيانات الشبكة والبيانات الفيزيائية لتعزيز قدرات الكشف عن الشذوذ، لا سيما في تحديد الهجمات الدقيقة والمنسقة التي قد تمر دون أن تُلاحظ عند تحليل البيانات بشكل معزول.
لمعالجة هذه التحديات، تقترح الورقة مشفرًا عدائيًا متقدمًا يعتمد على الانتباه مصممًا للكشف غير الخاضع للإشراف عن الشذوذ الذي يدمج بيانات المستشعر والشبكة. يستخدم هذا النموذج آلية انتباه مزدوجة لالتقاط الاعتماديات بين نوعي البيانات، مما يحسن الكشف عن التهديدات ذات الملاحظة المنخفضة، مثل هجمات اليوم الصفري. يؤكد المؤلفون على أهمية نهج متعدد الأبعاد للكشف عن الشذوذ، مما يسمح بفهم أكثر شمولاً لعمليات النظام ويعزز حساسية النموذج تجاه الانحرافات التي تشير إلى التهديدات السيبرانية. توضح الورقة مساهماتها، بما في ذلك بنية تعلم عميقة جديدة، وإطار عمل مشفر عدائي لتعلم التمثيلات القوية، ومنهجية معالجة مسبقة قابلة للتكرار تتيح قدرات الكشف في الوقت القريب.
طرق
توضح هذه القسم تطبيق منهجية بحث علوم التصميم (DSRM) في سياق نظم المعلومات، مع التأكيد على نهجها الاستباقي في تطوير وتقييم القطع الأثرية المبتكرة. على عكس المنهجيات التقليدية التي تركز على الملاحظة، تركز DSRM على معالجة المشكلات الواقعية من خلال تصميم وتنقيح النماذج والأطر والأنظمة. تتبع المنهجية عملية متعددة المراحل تبدأ بتحديد المشكلة والدافع، وتنتقل عبر تصميم وتطوير القطعة الأثرية، وتنتهي بتقييم فعاليتها. تتيح هذه العملية التكرارية تحسينًا مستمرًا للقطعة الأثرية، مما يضمن تلبيتها للاحتياجات العملية والمعايير الأكاديمية.
في معالجة تعقيدات دمج الأنظمة الفيزيائية مع الشبكات الرقمية في البنية التحتية الحيوية، تستخدم البحث DSRM لإنشاء قطعة أثرية قادرة على تحديد التهديدات السيبرانية الفيزيائية. تلتقط هذه الطريقة التفاعلات المعقدة بين تدفقات البيانات الفيزيائية والشبكية عالية التردد، والتي غالبًا ما تتجاهلها الطرق التقليدية. تؤكد المنهجية على التصميم المنهجي والتنفيذ والتحقق، مما يؤدي إلى نموذج شامل للكشف عن الشذوذ يتكيف مع التحديات المتطورة في مجال الأمن السيبراني. بالإضافة إلى ذلك، يعزز دمج آليات الانتباه ومشفرات Autoencoders العدائية (AAEs) دقة النموذج وموثوقيته، لا سيما في الكشف عن الشذوذ، مما يوفر حلاً استباقيًا للطبيعة الديناميكية للتهديدات السيبرانية في الأنظمة الصناعية.
نتائج
في هذا القسم، يقدم المؤلفون نتائج نموذج التعلم الآلي (ML) المصمم للكشف عن الشذوذ في أنظمة التحكم الصناعية، باستخدام نهج غير خاضع للإشراف. تم تطوير النموذج على معالج Intel Xeon Silver 4310 واستخدم TensorFlow وKeras لمهام التعلم العميق. تم تقييم الأداء باستخدام مجموعة بيانات SWAT، التي تشمل كل من السيناريوهات الطبيعية والهجومية، مع التركيز على التمييز بدقة بين بيانات التشغيل العادية والشذوذ بناءً على أخطاء إعادة البناء. تم استخدام درجة الشذوذ، المحسوبة كمتوسط الخطأ التربيعي (MSE) بين البيانات الأصلية والمعاد بناؤها، لتحديد عتبة الكشف التي حققت معدل تصنيف شذوذ بنسبة 9%، متماشية بشكل وثيق مع الخصائص الأصلية لمجموعة البيانات.
أظهر النموذج قدرة قوية على الكشف عن سيناريوهات الهجوم المختلفة، حيث نجح في تحديد 24 من أصل 26 هجومًا ذا صلة. يبرز المؤلفون حساسية النموذج تجاه التغيرات المفاجئة في قراءات المستشعر، فضلاً عن قدرته على الكشف عن الانحرافات التدريجية عن السلوك الطبيعي. من الجدير بالذكر أن أداء النموذج تم التحقق منه من خلال تصورات أخطاء إعادة البناء، التي أشارت إلى أن نقاط الخطأ العالية تتوافق مع الشذوذ المكتشف. تؤكد النتائج على أهمية تضمين مجموعة ميزات شاملة في النموذج، حيث أن الاحتفاظ بجميع الميزات الـ 115 عزز من قوته التمييزية، على عكس الدراسات السابقة التي اقترحت استبعاد الميزات. بشكل عام، توضح النتائج فعالية النموذج في تحديد كل من التهديدات الفورية والدقيقة في سياق غير خاضع للإشراف بالكامل، مما يساهم في تقديم رؤى قيمة حول الأمن السيبراني للبنى التحتية الحيوية.
نقاش
في قسم النقاش، تتناول الورقة دمج مشفرات Variational Autoencoders (VAE) وشبكات Long Short-Term Memory (LSTM) ومشفرات Autoencoders العدائية (AAE) لتعزيز الكشف عن الشذوذ في أنظمة البنية التحتية الحيوية. تستخدم VAEs متغيرات كامنة احتمالية لنمذجة توزيعات البيانات المعقدة، بينما تدير LSTMs بفعالية الاعتماديات طويلة الأجل في البيانات التسلسلية، مما يجعلها مناسبة لتحليل معلومات السلاسل الزمنية مثل سجلات الأمن السيبراني. يسمح الجمع بين هذه النماذج بتحديد الشذوذ من خلال الكشف عن الانحرافات عن التسلسلات الطبيعية المتعلمة، وهو أمر حاسم للكشف المبكر عن الانتهاكات الأمنية المحتملة.
تسلط الورقة الضوء أيضًا على دور آليات الانتباه وتقنيات الدمج في تحسين أداء النموذج. تمكّن آليات الانتباه النموذج من التركيز على فترات بيانات معينة قد تشير إلى أنماط غير عادية، بينما تدمج تقنيات الدمج البيانات متعددة الأبعاد—مثل مدخلات المستشعر وحركة مرور الشبكة—لتوفير رؤية شاملة لسلوك النظام. يعزز هذا النهج متعدد الأبعاد قدرة النموذج على الكشف عن التهديدات السيبرانية المتطورة التي قد لا تكون واضحة عند تحليل أنواع البيانات بشكل معزول. بشكل عام، يهدف الإطار المقترح إلى الاستفادة من نقاط القوة لكل مكون لإنشاء نظام قوي للكشف عن الشذوذ في الأنظمة السيبرانية الفيزيائية، مع معالجة الطبيعة المتطورة للتهديدات السيبرانية.
DOI: https://doi.org/10.1007/s10791-026-10064-6
Publication Date: 2026-03-30
Author(s): Andrea Pinto et al.
Primary Topic: Network Security and Intrusion Detection
Overview
The research paper addresses the vulnerabilities of Cyber-Physical Systems (CPS) in critical infrastructure, highlighting the inadequacies of traditional security systems that primarily focus on network traffic while overlooking valuable contextual data from physical sensors. To bridge this security gap, the authors propose an innovative unsupervised multimodal framework that integrates data from both physical and digital sources for comprehensive anomaly detection. The architecture employs pre-trained Variational Autoencoder-Long Short-Term Memory (VAE-LSTM) networks to capture temporal dependencies, enhanced by a dual cross-attention mechanism for effective fusion of latent representations. Additionally, the model incorporates adversarial training to improve detection of subtle threats, achieving an Area Under the Curve (AUC) of 0.87 on the SWAT dataset, successfully identifying 24 out of 26 attack scenarios.
In conclusion, the study emphasizes the necessity of transitioning from isolated unimodal analyses to a holistic multimodal fusion approach for securing critical infrastructures. The proposed framework not only enhances anomaly detection by integrating physical process data with network traffic but also represents a significant architectural shift towards context-aware cyber-physical security. By leveraging advanced techniques such as VAE-LSTM encoders, dual cross-attention mechanisms, and Adversarial Autoencoders (AAE), the model effectively learns the intricate relationships between cyber commands and physical events, paving the way for more resilient security solutions in CPS.
Introduction
The introduction of the paper highlights the evolving cybersecurity challenges faced by critical infrastructures (CIs) due to their reliance on interconnected Cyber-Physical Systems (CPS). These systems integrate both digital and physical components, making them vulnerable to cyberattacks that can disrupt physical operations, as evidenced by recent incidents targeting water systems in various countries. Traditional security measures, which often focus on single data sources, fail to adequately protect these complex ecosystems. The authors argue for the necessity of incorporating both network and physical data to enhance anomaly detection capabilities, particularly in identifying subtle, coordinated attacks that may go unnoticed when analyzing data in isolation.
To address these challenges, the paper proposes an advanced attention-based adversarial autoencoder designed for unsupervised anomaly detection that fuses sensor and network data. This model employs a dual cross-attention mechanism to capture the interdependencies between the two data types, improving the detection of low-observability threats, such as zero-day attacks. The authors emphasize the importance of a multimodal approach to anomaly detection, which allows for a more comprehensive understanding of system operations and enhances the model’s sensitivity to deviations indicative of cyber threats. The paper outlines its contributions, including a novel deep learning architecture, an adversarial autoencoder framework for robust representation learning, and a reproducible preprocessing methodology that enables near real-time detection capabilities.
Methods
The section outlines the application of Design Science Research Methodology (DSRM) in the context of information systems, emphasizing its proactive approach to developing and evaluating innovative artifacts. Unlike traditional methodologies that focus on observation, DSRM is centered on addressing real-world problems through the design and refinement of models, frameworks, and systems. The methodology follows a multi-phase process that begins with problem identification and motivation, progresses through the design and development of the artifact, and culminates in evaluating its effectiveness. This iterative process allows for continuous enhancement of the artifact, ensuring it meets both practical needs and academic standards.
In addressing the complexities of integrating physical systems with digital networks in critical infrastructure, the research employs DSRM to create an artifact capable of identifying cyber-physical threats. This approach captures the intricate interactions between high-frequency physical and network data streams, which traditional methods often overlook. The methodology emphasizes systematic design, implementation, and validation, resulting in a comprehensive anomaly detection model that adapts to evolving cybersecurity challenges. Additionally, the incorporation of attention mechanisms and Adversarial Autoencoders (AAEs) enhances the model’s accuracy and robustness, particularly in anomaly detection, thereby providing a proactive solution to the dynamic nature of cyber threats in industrial systems.
Results
In this section, the authors present the results of their machine learning (ML) model designed for anomaly detection in industrial control systems, utilizing an unsupervised approach. The model was developed on an Intel Xeon Silver 4310 CPU and employed TensorFlow and Keras for deep learning tasks. The performance was evaluated using the SWAT dataset, which includes both normal and attack scenarios, with a focus on accurately distinguishing between normal operational data and anomalies based on reconstruction errors. The anomaly score, calculated as the mean squared error (MSE) between original and reconstructed data, was used to set a detection threshold that achieved a 9% anomaly classification rate, aligning closely with the dataset’s original characteristics.
The model demonstrated a robust ability to detect various attack scenarios, successfully identifying 24 out of 26 relevant attacks. The authors highlight the model’s sensitivity to abrupt changes in sensor readings, as well as its capability to detect gradual deviations from normal behavior. Notably, the model’s performance was validated through visualizations of reconstruction errors, which indicated that high error points corresponded to detected anomalies. The results underscore the importance of including a comprehensive feature set in the model, as retaining all 115 features enhanced its discriminative power, contrary to previous studies that suggested feature exclusion. Overall, the findings illustrate the model’s effectiveness in identifying both immediate and subtle threats in a fully unsupervised context, contributing valuable insights into cybersecurity for critical infrastructures.
Discussion
In the discussion section, the paper elaborates on the integration of Variational Autoencoders (VAE), Long Short-Term Memory (LSTM) networks, and Adversarial Autoencoders (AAE) to enhance anomaly detection in critical infrastructure systems. VAEs utilize probabilistic latent variables to model complex data distributions, while LSTMs effectively manage long-term dependencies in sequential data, making them suitable for analyzing time-series information such as cybersecurity logs. The combination of these models allows for the identification of anomalies by detecting deviations from learned normal sequences, which is crucial for early detection of potential security breaches.
The paper also highlights the role of attention mechanisms and fusion techniques in improving the model’s performance. Attention mechanisms enable the model to focus on specific data intervals that may indicate unusual patterns, while fusion techniques integrate multimodal data—such as sensor inputs and network traffic—to provide a comprehensive view of system behavior. This multimodal approach enhances the model’s ability to detect sophisticated cyber threats that may not be apparent when analyzing data types in isolation. Overall, the proposed framework aims to leverage the strengths of each component to create a robust system for anomaly detection in cyber-physical systems, addressing the evolving nature of cybersecurity threats.