💻 computer science

On the Challenges of Holistic Intrusion Detection in ICS

Este trabajo presenta los desafíos encontrados durante la investigación de un sistema de detección de intrusiones holístico para sistemas de control industrial (ICS), con el objetivo de cubrir todas sus dimensiones y fomentar el debate y la investigación futura.

Autores originales: Stefan Lenz, Julia Raab, Benedikt Holzbach, Deniz Köller, Sotiris Michaelides, Martin Henze

Publicado 2026-04-24

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Stefan Lenz, Julia Raab, Benedikt Holzbach, Deniz Köller, Sotiris Michaelides, Martin Henze

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que una fábrica inteligente (lo que los expertos llaman "Sistema de Control Industrial" o ICS) es como un gigante mecánico que fabrica cosas vitales, como agua potable o electricidad. Este gigante tiene dos partes principales:

Su cuerpo físico: Las tuberías, las válvulas y los tanques que se mueven y cambian.
Su sistema nervioso: Los cables y señales de radio que le dicen al cuerpo qué hacer.

El problema es que los hackers hoy en día no solo quieren hackear el "sistema nervioso" (los datos), sino que también quieren dañar el "cuerpo" para causar un desastre.

Los autores de este paper (un equipo de investigadores alemanes) están intentando crear un guardia de seguridad "holístico". Imagina que en lugar de tener un guardia mirando solo los cables y otro mirando solo las tuberías, quieren un solo superguardia que pueda ver y entender todo al mismo tiempo.

Sin embargo, al intentar construir a este "superguardia", se encontraron con tres grandes obstáculos. Aquí te los explico con analogías sencillas:

1. El problema de la "Traducción" (Discretización)

El cuerpo de la fábrica (temperatura, nivel de agua) habla un idioma continuo, como una canción que sube y baja de volumen suavemente. Pero la computadora del guardia solo entiende "etiquetas" o "palabras" fijas (como: "Agua alta", "Agua baja").

La analogía: Imagina que intentas describir un paisaje pintado con acuarelas (donde los colores se mezclan suavemente) usando solo un kit de 10 lápices de colores fijos. ¿Qué color eliges para el degradado entre el azul y el verde?
El desafío: Los investigadores probaron muchas formas de "traducir" esos datos continuos a etiquetas. Descubrieron que no existe una traducción perfecta. La mejor forma de traducir depende de qué quieras medir: si quieres atrapar a todos los ladrones (incluso si te equivocas un poco) o si quieres evitar acusar a inocentes. No hay una solución mágica que funcione para todo.

2. El problema del "Cerebro Negro" (Parametrización)

Para que el guardia funcione, a veces hay que darle reglas manuales (como "si la temperatura sube 5 grados en 1 segundo, es sospechoso"). Esto es difícil porque requiere expertos que conozcan la fábrica a la perfección.

La analogía: Pensaron en usar una Inteligencia Artificial (IA) súper avanzada (como un modelo de lenguaje gigante) que no necesita reglas manuales, sino que "aprende" por sí sola. Es como contratar a un genio que no necesita instrucciones.
El desafío: Resultó que este "genio" era demasiado pesado.
1. Necesitaba una computadora tan potente que casi se quemó el laboratorio (demasiado consumo de energía).
2. Al intentar vigilar toda la fábrica de golpe, el genio se abrumaba y empezaba a gritar "¡ALERTA!" todo el tiempo, incluso cuando todo estaba bien.
3. Peor aún, cuando gritaba, nadie podía entender por qué lo hacía. Era una "caja negra": no podían ver su razonamiento, lo que hacía imposible saber si era una falsa alarma o un ataque real.

3. El problema del "Clima Cambiante" (Datos de Entrenamiento)

Para entrenar a un guardia, necesitas mostrarle miles de horas de "comportamiento normal". Pero las fábricas modernas usan cada vez más conexiones inalámbricas (Wi-Fi) en lugar de cables.

La analogía: Imagina que entrenas a un guardia para detectar ruidos extraños en una casa con paredes de piedra (cableado estable). Todo es predecible. Pero un día, decides poner ventanas abiertas (conexión inalámbrica). De repente, el viento (ruido) entra y hace sonar las ventanas.
El desafío: El guardia, entrenado solo con "paredes de piedra", pensará que el viento es un ladrón y sonará la alarma constantemente. O peor, un hacker podría disfrazarse de viento y entrar sin que el guardia lo note.
- Las conexiones inalámbricas son inestables: a veces van perfectas, a veces tienen interferencias. Si el guardia no sabe que el "ruido" es solo mala señal y no un ataque, fallará.

Conclusión: ¿Qué nos dicen los autores?

El mensaje final es que crear un solo sistema de seguridad que vea todo (físico y digital) es muy difícil.

No es como poner una cámara más; es como intentar enseñar a un humano a entender dos idiomas complejos al mismo tiempo, con reglas que cambian y sin poder explicarle por qué toma sus decisiones.

El gran aprendizaje:
Para proteger las fábricas del futuro, no podemos usar métodos rígidos. Necesitamos desarrollar guardias de seguridad que sean flexibles y adaptables, capaces de entender que el "ruido" de una conexión inalámbrica no siempre es un ataque, y que puedan aprender sin necesitar que un experto les diga cada regla del mundo.

Es un trabajo en progreso, pero entender estos obstáculos es el primer paso para construir fábricas más seguras.

Resumen Técnico: Desafíos de la Detección de Intrusiones Holística en ICS

1. Planteamiento del Problema

Los Sistemas de Control Industrial (ICS) son cada vez más vulnerables a ataques sofisticados que no solo comprometen la red, sino que también manipulan el proceso físico, lo que puede resultar en impactos catastróficos.

Limitación de los enfoques actuales: Los Sistemas de Detección de Intrusiones Industriales (IIDS) tradicionales suelen centrarse en características aisladas (por ejemplo, solo tiempos de paquetes o solo estados del proceso). Esto obliga a desplegar múltiples sistemas en paralelo, lo que complica la operación y puede llevar a que se pierdan las interacciones críticas entre las dimensiones de red y física.
La necesidad de un enfoque holístico: Los autores argumentan que una detección efectiva debe cubrir simultáneamente todas las dimensiones del ICS (comportamiento de red y estado del proceso físico) en un único modelo unificado.
El desafío: Intentar crear un modelo holístico único ha revelado obstáculos significativos en la investigación, específicamente en la discretización de estados, la parametrización y la obtención de datos de entrenamiento adecuados.

2. Metodología y Enfoque de Investigación

El equipo de investigación (RWTH Aachen University y Fraunhofer FKIE) buscó desarrollar un IIDS holístico que modelara el comportamiento benigno completo de un ICS en lugar de combinar detectores unidimensionales. Para ello, exploraron y evaluaron tres enfoques principales, documentando los desafíos encontrados en cada uno:

Minería de Procesos (Process Mining): Se utilizó para modelar tanto el estado físico como el tráfico de red. Dado que la minería de procesos requiere etiquetas discretas, se investigaron diversos métodos para convertir datos continuos (temperaturas, niveles de llenado) en etiquetas discretas.
Modelos de "Caja Negra" (LLMs): Se exploró el uso de Modelos de Lenguaje Grande (LLMs) para evitar la necesidad de parametrización manual, confiando en su capacidad de razonamiento para detectar anomalías sin configuración explícita.
Simulación de Entornos Dinámicos: Se construyó un entorno de simulación de ICS capaz de cambiar el medio de comunicación (cableado vs. inalámbrico) sin alterar el comportamiento del proceso físico, para evaluar cómo la variabilidad de la red afecta a los detectores basados en tiempos.

3. Contribuciones Clave y Desafíos Identificados

El artículo no presenta un sistema finalizado, sino un análisis crítico de las barreras para la viabilidad práctica de los IIDS holísticos. Se identifican tres desafíos principales:

A. Desafío 1: Discretización de Estados del Proceso

Problema: La minería de procesos requiere convertir datos continuos en etiquetas discretas (bins). La calidad de estas etiquetas depende fuertemente de la distribución de los datos subyacentes.
Hallazgos: Se compararon múltiples métodos de discretización (Jenkspy, kMeans, Cuantiles). Los resultados mostraron que no existe un método "óptimo" universal. El mejor algoritmo depende de la métrica de rendimiento que se priorice (precisión, recall, F0.1, etc.). Incluso con conjuntos de datos de referencia, la selección es no trivial y depende del contexto específico del ICS.

B. Desafío 2: Parametrización y Complejidad Computacional

Problema: Los modelos holísticos tradicionales requieren parámetros manuales (ej. longitud del ciclo de paquetes) que exigen conocimiento experto. Se intentó resolver esto con LLMs (enfoque "sin parámetros").
Hallazgos:
- Recursos: Los LLMs requieren recursos computacionales masivos (superando la capacidad de nodos de clúster de 96GB VRAM en pruebas con el dataset SWaT).
- Rendimiento: Al reducir el alcance a subprocesos individuales para ahorrar recursos, el detector generó alertas casi constantes, volviéndose inútil para distinguir ataques reales (excepto en procesos con baja varianza).
- Interpretabilidad: La naturaleza de "caja negra" de los LLMs impide entender el razonamiento detrás de las alertas, dificultando la distinción entre falsas alarmas y ataques reales.

C. Desafío 3: Calidad de los Datos de Entrenamiento en Entornos Dinámicos

Problema: La adopción de tecnologías modernas, como la comunicación inalámbrica, introduce variabilidad que los IIDS tradicionales (basados en tiempos deterministas) no pueden manejar.
Hallazgos:
- En canales inalámbricos bajo perturbación, la varianza en los tiempos de llegada de paquetes (inter-arrival times) aumenta drásticamente, aunque la media sea similar a la de canales cableados.
- Los detectores basados en tiempos fijos interpretan esta variabilidad legítima como un ataque, generando falsas alarmas.
- Esto demuestra que los modelos estáticos no pueden reflejar el comportamiento real de ICS dinámicos, lo que lleva a fallos de detección o alarmas innecesarias.

4. Resultados Cuantitativos y Cualitativos

Tabla 1 (Discretización): Muestra que diferentes algoritmos (Jenkspy, kMeans, Quantiles) producen métricas de rendimiento radicalmente diferentes. Por ejemplo, "Quantiles" obtuvo una precisión del 0.71 pero un Recall de 0.00, mientras que otros métodos equilibraron mejor las métricas pero con valores absolutos bajos. Esto confirma que la elección del método de discretización es crítica y dependiente del objetivo.
Tabla 2 (Comunicación): Ilustra que, aunque un canal inalámbrico en condiciones perfectas puede igualar a uno cableado, un canal con perturbaciones ("Wireless−") tiene una desviación estándar ( $\sigma$ ) significativamente mayor. Esto invalida los umbrales de tiempo fijos utilizados por los IIDS actuales.
Evaluación de LLMs: Se concluyó que, a pesar de su promesa teórica, los LLMs no son viables actualmente para IIDS holísticos debido a su ineficiencia computacional y falta de interpretabilidad.

5. Significado e Impacto

Este trabajo es fundamental porque cambia el enfoque de "cómo construir un detector perfecto" a "qué obstáculos impiden la construcción de un detector holístico viable".

Crítica a la investigación actual: Señala que la investigación de IIDS a menudo asume entornos estáticos y deterministas que no reflejan la realidad de los ICS modernos (especialmente con el auge del 5G/6G y el IoT industrial).
Dirección futura: El artículo aboga por el desarrollo de mecanismos de detección más dinámicos que puedan adaptarse a cambios en el entorno de comunicación y en el comportamiento del proceso físico sin requerir reentrenamiento constante o parámetros manuales rígidos.
Relevancia: Identifica oportunidades de investigación en la creación de modelos que puedan manejar la incertidumbre y la variabilidad inherente a los sistemas industriales modernos, en lugar de buscar modelos rígidos basados en datos históricos estáticos.

En conclusión, los autores demuestran que, aunque la detección holística es teóricamente superior, su implementación práctica está frenada por la complejidad de la discretización de datos, la ineficiencia de los modelos de caja negra y la incapacidad de los sistemas actuales para adaptarse a la dinámica de las redes inalámbricas industriales.