Medoid Prototype Alignment for Cross-Plant Unknown Attack Detection in Industrial Control Systems

1. Planteamiento del Problema

El artículo aborda el desafío crítico de desplegar Sistemas de Detección de Intrusos (IDS) en diferentes plantas de Sistemas de Control Industrial (ICS).

• Desplazamiento de Dominio: El tráfico de ICS es altamente dependiente del sitio debido a diferencias en sensores, protocolos y procesos de control. Un modelo entrenado en una planta (Fuente) a menudo falla al desplegarse en otra (Objetivo).
• Escasez de Datos y Ataques Desconocidos: Recopilar datos de ataques etiquetados es costoso y riesgoso en entornos de producción. Además, las plantas objetivo a menudo enfrentan "ataques desconocidos" (ataques no vistos durante el entrenamiento), lo que hace ineficaz el aprendizaje supervisado estándar.
• Limitaciones de los Métodos Existentes: Los enfoques actuales de aprendizaje por transferencia a menudo dependen de la alineación global de características (alineando todas las muestras de origen y destino). En entornos de ICS, que contienen comunicación intermitente, ruido e desequilibrios estructurales, esta alineación indiscriminada puede oscurecer patrones locales y llevar a una detección inestable.

2. Metodología: Alineación de Prototipos Medoides (MPA)

El marco propuesto reformula la detección entre plantas como un problema de adaptación guiada por prototipos. En lugar de alinear puntos de datos individuales, alinea resúmenes estructurales robustos (prototipos) de las regiones operativas. La tubería consta de cuatro etapas principales:

A. Construcción de Representación Compartida

Dado que los dominios de origen y destino pueden tener dimensiones de características diferentes ($d_s \neq d_t$), el método estandariza primero las características de tráfico de forma independiente. Luego utiliza Análisis de Componentes Principales (PCA) para proyectar ambos dominios en un espacio de representación compartido y de baja dimensión ($Z_s$ y $Z_t$). Esto crea una base uniforme para la comparación.

B. Extracción de Prototipos Medoides

En lugar de usar centroides de clúster (medias), que son sensibles a valores atípicos, el método emplea clustering K-Medoides sobre los datos proyectados por PCA.

• Medoides: Son observaciones reales del conjunto de datos que minimizan la disimilitud dentro del clúster.
• Ventaja: Los medoides representan puntos operativos físicamente significativos y son más robustos al ruido y a perturbaciones raras comunes en el tráfico industrial en comparación con los centros basados en medias.
• El resultado es un conjunto de prototipos de origen ($P_s$) y prototipos de destino ($P_t$).

C. Adaptación Calibrada por Prototipos

El objetivo de aprendizaje central implica un codificador de representación ($f_\theta$) y un clasificador ($g_\phi$). El método define tres componentes de pérdida:

1. Pérdida de Alineación de Prototipos ($L_{proto}$): Calcula una correspondencia suave entre los prototipos de destino y los prototipos de origen utilizando una similitud softmax basada en la distancia euclidiana. Minimiza la distancia entre un prototipo de destino y sus prototipos de origen ponderados.
2. Pérdida de Clasificación Supervisada ($L_{sup}$): Asegura que el modelo mantenga el poder discriminativo en el dominio de origen etiquetado.
3. Regularización de Entropía ($L_{ent}$): Fomenta predicciones confiables en el dominio de destino no etiquetado minimizando la entropía de la predicción.

El objetivo total es: $L = L_{sup} + \alpha L_{proto} + \beta L_{ent}$.

3. Contribuciones Clave

1. Formulación Novel del Problema: Cambia el paradigma de la coincidencia global directa de instancias a la transferencia a nivel de prototipo, enfatizando la transferencia de resúmenes estructurales locales.
2. Diseño del Marco: Propone una arquitectura específica que combina compresión PCA, extracción K-Medoides y adaptación de dominio calibrada por prototipos. Este diseño está adaptado para entornos industriales heterogéneos, ruidosos y con escasez de etiquetas.
3. Rigor Empírico: Rediseña la evaluación para centrarse en el rendimiento promedio entre tareas, el comportamiento de transferencia direccional (asimetría) y la robustez en el peor de los casos, proporcionando una visión más realista de la fiabilidad del despliegue que la precisión de una sola tarea.

4. Resultados Experimentales

El método se evaluó en dos sistemas industriales distintos: un Sistema de Control de Gas Natural (G) y un Sistema de Tanque de Almacenamiento de Agua (W). Se probaron cuatro tareas de transferencia de ataques desconocidos entre dominios (por ejemplo, ataques DoS desde sistemas de Gas a sistemas de Agua).

• Métricas de Rendimiento:
  • MPA logró una Precisión promedio de 0.843 y una Puntuación F1 de 0.838.
  • Superó significativamente a las líneas base (ANN, SVM, RF, KNN, NBM). Por ejemplo, en comparación con la línea base más fuerte (ANN), MPA mejoró la precisión promedio en un 62.8% y la puntuación F1 en un 109.4%.
• Robustez:
  • Baja Dispersión: MPA mostró el coeficiente de variación (CV) más bajo y la menor "brecha direccional compuesta", indicando un rendimiento consistente independientemente de la dirección de transferencia (Gas→Agua vs. Agua→Gas).
  • Estabilidad en el Peor de los Casos: Incluso en la tarea de transferencia más difícil, MPA mantuvo una precisión mínima de 0.81 y una puntuación F1 de 0.80, mientras que las líneas base cayeron significativamente (por ejemplo, ANN cayó a una precisión de 0.50).
• Asimetría de Transferencia: El estudio confirmó que la transferencia es asimétrica; usar el sistema de Gas como fuente generalmente arrojó mejores resultados que el sistema de Agua debido a una semántica de control más rica. Sin embargo, MPA minimizó la caída de rendimiento en configuraciones de transferencia inversa difíciles.

5. Significado y Conclusión

El artículo demuestra que la Alineación de Prototipos Medoides es una solución práctica y robusta para la detección de intrusos entre plantas.

• Estabilidad sobre Densidad: Al alinear resúmenes compactos de medoides en lugar de conjuntos de muestras densos, el método evita el ruido y la inestabilidad inherentes a la alineación global para datos industriales.
• Listo para el Despliegue: El alto rendimiento en el peor de los casos y la baja varianza sugieren que MPA es adecuado para el despliegue en el mundo real, donde la fiabilidad bajo desplazamiento de dominio es crítica.
• Direcciones Futuras: Los autores sugieren extender este enfoque al etiquetado de conjuntos abiertos, la adaptación en línea y la monitorización en tiempo real.

En resumen, este trabajo proporciona una alternativa estructuralmente fundamentada a la adaptación de dominio convencional, demostrando que aprovechar estructuras operativas locales robustas (a través de medoides) es superior para manejar la heterogeneidad y la escasez de etiquetas en la ciberseguridad industrial.