خود رمزگذاری گراف زمانی و قابل تفسیر برای شناسایی حمله های در بازه، خارج از زمان در سیستم های کنترل صنعتی

بسیاری از حمله های سایبری فیزیکی به سیستم های کنترل صنعتی به طور ذاتی پنهان کارانه طراحی شده اند. این حمله ها هر قرائت سنسور را درون بازه ی عددی نرمال خود نگه می دارند و تنها از طریق زمان بندی خود را لو می دهند. برای نمونه، سطح یک تانک که در حالی که پمپ تغذیه خاموش است بالا می رود. تشخیصی که از یک تصویر لحظه ای منفرد یا صرفا از بزرگی مقدار سنسور استدلال می کنند، به طور ساختاری نسبت به این کلاس از حمله ها نابینا هستند. ما خود رمزگذار گراف زمانی را معرفی می کنیم؛ یک آشکارساز مبتنی بر بازسازی که یک رمزگذار زمانی بازگشتی در سطح هر گره را با یک رمزگذار توجه گرافی روی توپولوژی فرایند کارخانه ترکیب می کند و کل دنباله ی زمانی هر گره را بازسازی می کند به گونه ای که سیگنال ناهنجاری شیب و ترتیب رویدادها را دربر می گیرد و نه فقط مقدار لحظه ای را. سپس یک لایه ی مبتنی بر مقدار Shapley امتیاز ناهنجاری را به گرهای فیزیکی منفرد نسبت می دهد تا تحلیل ریشه ای رو به اپراتور فراهم شود. ما مدل را روی یک زیرمجموعه ی واقعی از داده ی SWaT ارزیابی می کنیم که شامل حمله ای مستند به شیر ورودی و سنسور سطح تانک LIT۱۰۱ است. تحت یک پروتکل ارزیابی عاری از نشت داده و بلوک طبقه بندی شده، مدل TGraphAE به دقت ۰.۹۱۹، فراخوانی ۰.۸۵۲، امتیاز F۱ برابر ۰.۸۸۴ و AUC-ROC برابر ۰.۹۱۵ و ویژگی ۰.۹۳۰ می رسد و از پایه های مقایسه ی Isolation Forest پیشی می گیرد در حالی که برتری اش عمدتا در فراخوانی متمرکز است. یک آزمایش حذفی که رمزگذار زمانی را برمی دارد فراخوانی را از ۰.۸۵۲ به ۰.۸۱۳ کاهش می دهد. لایه ی Shapley گره های مرحله ی آب خام (P۱ یعنی ۱۰۱، ۱۰۲) را به عنوان مشارکت کنندگان اصلی رتبه بندی می کند که با مسیر مستند حمله همخوانی دارد. از آنجا که ارزیابی ما بر یک حمله ی مستند منفرد و یک اجرای آموزشی منفرد استوار است، این نتایج را به عنوان یک مطالعه ی مقدماتی گزارش می کنیم.

کلیدواژه ها:

شناسایی ناهنجاری ، سیستم های کنترل صنعتی ، گراف زمانی ، خود رمزگذار ، تفسیر پذیری ، SWaT ، M۷۱۰۱ ، PCA-Residual