Medoid Prototype Alignment for Cross-Plant Unknown Attack Detection in Industrial Control Systems

إليك ملخص تقني مفصل للورقة البحثية بعنوان "محاذاة النماذج الأولية للميدويد للكشف عن الهجمات المجهولة عبر المصانع في أنظمة التحكم الصناعية."

1. بيان المشكلة

تتناول الورقة التحدي الحرج المتمثل في نشر أنظمة كشف التسلل (IDS) عبر مصانع مختلفة لأنظمة التحكم الصناعي (ICS).

• انزياح النطاق (Domain Shift): حركة مرور بيانات أنظمة التحكم الصناعي تعتمد بشكل كبير على الموقع بسبب الاختلافات في المستشعرات، والبروتوكولات، وعمليات التحكم. لذا، فإن النموذج الذي يتم تدريبه في مصنع واحد (المصدر) غالباً ما يفشل عند نشره في مصنع آخر (الهدف).
• ندرة البيانات والهجمات المجهولة: يعد جمع بيانات الهجمات المصنفة أمراً مكلفاً ومحفوفاً بالمخاطر في بيئات الإنتاج. علاوة على ذلك، تواجه المصانع المستهدفة غالباً "هجمات مجهولة" (هجمات لم تُشاهد أثناء التدريب)، مما يجعل التعلم الخاضع للإشراف التقليدي غير فعال.
• قصور الطرق الحالية: تعتمد مناهج تعلم النقل الحالية غالباً على المحاذاة الميزية العالمية (محاذاة جميع عينات المصدر والهدف). وفي بيئات أنظمة التحكم الصناعية، التي تحتوي على اتصالات متقطعة وضوضاء واختلالات هيكلية، يمكن لهذه المحاذاة العشوائية أن تحجب الأنماط المحلية وتؤدي إلى عدم استقرار الكشف.

2. المنهجية: محاذاة النماذج الأولية للميدويد (MPA)

يعيد الإطار المقترح صياغة الكشف عبر المصانع كمسألة تكيف موجه بالنماذج الأولية. فبدلاً من محاذاة النقاط الفردية للبيانات، تقوم المنهجية بمحاذاة الملخصات الهيكلية القوية (النماذج الأولية) للمناطق التشغيلية. يتكون المسار من أربع مراحل رئيسية:

أ. بناء التمثيل المشترك

بما أن نطاقات المصدر والهدف قد تختلف في أبعاد الميزات ($d_s \neq d_t$)، تقوم الطريقة أولاً بتوحيد ميزات حركة المرور بشكل مستقل. ثم تستخدم تحليل المكونات الرئيسية (PCA) لإسقاط كلا النطاقين في فضاء تمثيل مشترك منخفض الأبعاد ($Z_s$ و $Z_t$). وهذا يخلق أساساً موحداً للمقارنة.

ب. استخراج نماذج الميدويد الأولية

بدلاً من استخدام مراكز العناقيد (المتوسطات)، تستخدم الطريقة تجميع K-Medoids على البيانات المسقطة بواسطة PCA.

• الميدويدات (Medoids): هي ملاحظات فعلية من مجموعة البيانات تقلل من عدم التشابه داخل العنقود.
• الميزة: تمثل الميدويدات نقاط تشغيل ذات معنى فيزيائي وهي أكثر قوة تجاه الضوضاء والاضطرابات النادرة الشائعة في حركة المرور الصناعية مقارنة بالمراكز القائمة على المتوسطات.
• والنتيجة هي مجموعة من نماذج المصدر الأولية ($P_s$) ونماذج الهدف الأولية ($P_t$).

ج. التكيف المعاير بالنماذج الأولية

يتضمن هدف التعلم الجوهري مشفر تمثيل ($f_\theta$) ومصنف ($g_\phi$). وتحدد الطريقة ثلاثة مكونات للخسارة:

1. خسارة محاذاة النموذج الأولي ($L_{proto}$): تحسب ارتباطاً ناعماً بين نماذج الهدف ونماذج المصدر باستخدام تشابه "softmax" بناءً على المسافة الإقليدية. وهي تقلل المسافة بين نموذج أولي للهدف ونماذج المصدر المرجحة الخاصة به.
2. خسارة التصنيف الخاضعة للإشراف ($L_{sup}$): تضمن احتفاظ النموذج بالقدرة التمييزية في نطاق المصدر المصنف.
3. تنظيم الإنتروبيا ($L_{ent}$): يشجع التنبؤات الواثقة في نطاق الهدف غير المصنف من خلال تقليل إنتروبيا التنبؤ.

الهدف الإجمالي هو: $L = L_{sup} + \alpha L_{proto} + \beta L_{ent}$.

3. المساهمات الرئيسية

1. صياغة مبتكرة للمشكلة: نقلت النموذج من المطابقة المباشرة للعينات العالمية إلى النقل على مستوى النموذج الأولي، مع التأكيد على نقل الملخصات الهيكلية المحلية.
2. تصميم الإطار العملي: تقترح بنية تجمع بين ضغط PCA، واستخراج K-Medoids، والتكيف الموجه بالنماذج الأولية. هذا التصميم مصمم خصيصاً للبيئات الصناعية غير المتجانسة، والمشوبة بالضوضاء، والتي تعاني من ندرة الملصقات (Labels).
3. الصرامة التجريبية: أعادت تصميم التقييم للتركيز على متوسط الأداء عبر المهام، وسلوك النقل الاتجاهي (عدم التماثل)، وقوة الحالة الأسوأ، مما يوفر رؤية أكثر واقعية لموثوقية النشر مقارنة بدقة المهمة الواحدة.

4. النتائج التجريبية

تم تقييم الطريقة على نظامين صناعيين متميزين: نظام التحكم في الغاز الطبيعي (G) ونظام خزان تخزين المياه (W). تم اختبار أربع مهام نقل هجمات مجهولة عبر النطاقات (على سبيل المثال، هجمات DoS من أنظمة الغاز إلى أنظمة المياه).

• مقاييس الأداء:
  • حققت MPA متوسط دقة قدره 0.843 ودرجة F1 قدرها 0.838.
  • تفوقت بشكل كبير على النماذج المرجعية (ANN, SVM, RF, KNN, NBM). فعلى سبيل المثال، مقارنة بأقوى نموذج مرجعي (ANN)، حسنت MPA متوسط الدقة بنسبة 62.8% ودرجة F1 بنسبة 109.4%.
• القوة (Robustness):
  • انخفاض التشتت: أظهرت MPA أقل معامل تباين (CV) وأصغر "فجوة اتجاهية مركبة"، مما يشير إلى أداء ثابت بغض النظر عن اتجاه النقل (من الغاز إلى الماء أو من الماء إلى الغاز).
  • استقرار الحالة الأسوأ: حتى في أصعب مهمة نقل، حافظت MPA على حد أدنى من الدقة يبلغ 0.81 ودرجة F1 تبلغ 0.80، بينما انخفضت النماذج المرجعية بشكل كبير (على سبيل المثال، انخفضت دقة ANN إلى 0.50).
• عدم تماثل النقل: أكدت الدراسة أن النقل غير متماثل؛ حيث أن استخدام نظام الغاز كنظام مصدر يعطي عموماً نتائج أفضل من نظام المياه بسبب وجود دلالات تحكم أغنى. ومع ذلك، قللت MPA من انخفاض الأداء في حالات النقل العكسي الصعبة.

5. الأهمية والخاتمة

تثبت هذه الورقة أن محاذاة النماذج الأولية للميدويد هي حل عملي وقوي للكشف عن التسلل عبر المصانع.

• الاستقرار فوق الكثافة: من خلال محاذاة ملخصات الميدويد المدمجة بدلاً من مجموعات العينات الكثيفة، تتجنب الطريقة الضوضاء وعدم الاستقرار المتأصل في المحاذاة العالمية للبيانات الصناعية.
• الجاهزية للنشر: تشير درجة الأداء العالية في الحالة الأسوأ وانخفاض التباين إلى أن MPA مناسبة للنشر في العالم الحقيقي حيث تكون الموثوقية تحت انزياح النطاق أمراً بالغ الأهمية.
• الاتجاهات المستقبلية: يقترح المؤلفون توسيع هذا النهج ليشمل التصنيف مفتوح المجموعة (open-set labeling)، والتكيف عبر الإنترنت، والمراقبة في الوقت الفعلي.

باختصار، يقدم هذا العمل بديلاً قائماً على الهيكل للنماذج التقليدية لتكيف النطاق، ويثبت أن الاستفادة من الهياكل التشغيلية المحلية القوية (عبر الميدويدات) هي الأفضل للتعامل مع عدم تجانس وندرة الملصقات في الأمن السيبراني الصناعي.