Medoid Prototype Alignment for Cross-Plant Unknown Attack Detection in Industrial Control Systems

1. Énoncé du problème

L'article aborde le défi critique du déploiement de systèmes de détection d'intrusion (IDS) à travers différentes usines de systèmes de contrôle industriels (ICS).

• Décalage de domaine : Le trafic ICS est fortement dépendant du site en raison des différences de capteurs, de protocoles et de processus de contrôle. Un modèle entraîné sur une usine (Source) échoue souvent lorsqu'il est déployé sur une autre (Cible).
• Rareté des données et attaques inconnues : La collecte de données d'attaque étiquetées est coûteuse et risquée dans les environnements de production. De plus, les usines cibles font souvent face à des « attaques inconnues » (attaques non rencontrées lors de l'entraînement), rendant l'apprentissage supervisé standard inefficace.
• Limites des méthodes existantes : Les approches actuelles d'apprentissage par transfert reposent souvent sur un alignement global des caractéristiques (alignement de tous les échantillons source et cible). Dans les environnements ICS, qui contiennent des communications par rafales, du bruit et des déséquilibres structurels, cet alignement indiscriminé peut obscurcir les motifs locaux et conduire à une détection instable.

2. Méthodologie : Alignement des prototypes médoides (MPA)

Le cadre proposé reformule la détection inter-usines comme un problème d'adaptation guidée par les prototypes. Au lieu d'aligner des points de données individuels, il aligne des résumés structurels robustes (prototypes) des régions opérationnelles. Le pipeline se compose de quatre étapes principales :

A. Construction d'une représentation partagée

Puisque les domaines source et cible peuvent avoir des dimensions de caractéristiques différentes ($d_s \neq d_t$), la méthode standardise d'abord les caractéristiques du trafic indépendamment. Elle utilise ensuite l'Analyse en Composantes Principales (PCA) pour projeter les deux domaines dans un espace de représentation partagé et de faible dimension ($Z_s$ et $Z_t$). Cela crée une base uniforme pour la comparaison.

B. Extraction de prototypes médoides

Plutôt que d'utiliser des centroïdes de clusters (moyennes), qui sont sensibles aux valeurs aberrantes, la méthode emploie un clustering K-Medoids sur les données projetées par PCA.

• Médoides : Ce sont des observations réelles du jeu de données qui minimisent la dissimilarité intra-cluster.
• Avantage : Les médoides représentent des points de fonctionnement physiquement significatifs et sont plus robustes au bruit et aux perturbations rares, courants dans le trafic industriel, par rapport aux centres basés sur la moyenne.
• Le résultat est un ensemble de prototypes source ($P_s$) et de prototypes cible ($P_t$).

C. Adaptation calibrée par les prototypes

L'objectif d'apprentissage central implique un encodeur de représentation ($f_\theta$) et un classifieur ($g_\phi$). La méthode définit trois composantes de perte :

1. Perte d'alignement des prototypes ($L_{proto}$) : Calcule une correspondance douce entre les prototypes cibles et les prototypes source en utilisant une similarité softmax basée sur la distance euclidienne. Elle minimise la distance entre un prototype cible et ses prototypes source pondérés.
2. Perte de classification supervisée ($L_{sup}$) : Garantit que le modèle conserve son pouvoir discriminant sur le domaine source étiqueté.
3. Régularisation par entropie ($L_{ent}$) : Favorise des prédictions confiantes sur le domaine cible non étiqueté en minimisant l'entropie de prédiction.

L'objectif total est : $L = L_{sup} + \alpha L_{proto} + \beta L_{ent}$.

3. Contributions clés

1. Formulation novatrice du problème : Déplace le paradigme de la correspondance globale directe d'instances vers un transfert au niveau des prototypes, mettant l'accent sur le transfert de résumés structurels locaux.
2. Conception du cadre : Propose une architecture spécifique combinant la compression par PCA, l'extraction K-Medoids et l'adaptation de domaine calibrée par les prototypes. Cette conception est adaptée aux environnements industriels hétérogènes, bruyants et pauvres en étiquettes.
3. Rigueur empirique : Redéfinit l'évaluation pour se concentrer sur la performance moyenne inter-tâches, le comportement de transfert directionnel (asymétrie) et la robustesse dans le pire des cas, offrant une vision plus réaliste de la fiabilité du déploiement que la précision d'une seule tâche.

4. Résultats expérimentaux

La méthode a été évaluée sur deux systèmes industriels distincts : un système de contrôle du gaz naturel (G) et un système de réservoir de stockage d'eau (W). Quatre tâches de transfert d'attaques inconnues inter-domaines ont été testées (par exemple, des attaques DoS du système Gaz vers le système Eau).

• Métriques de performance :
  • MPA a atteint une précision (Accuracy) moyenne de 0,843 et un score F1 de 0,838.
  • Il a considérablement surpassé les lignes de base (ANN, SVM, RF, KNN, NBM). Par exemple, par rapport à la ligne de base la plus performante (ANN), MPA a amélioré la précision moyenne de 62,8 % et le score F1 de 109,4 %.
• Robustesse :
  • Faible dispersion : MPA a montré le coefficient de variation (CV) le plus faible et le plus petit « écart directionnel composite », indiquant une performance constante quelle que soit la direction du transfert (Gaz→Eau vs Eau→Gaz).
  • Stabilité dans le pire des cas : Même sur la tâche de transfert la plus difficile, MPA a maintenu une précision minimale de 0,81 et un score F1 de 0,80, tandis que les lignes de base chutaient considérablement (par exemple, ANN est tombé à 0,50 de précision).
• Asymétrie du transfert : L'étude a confirmé que le transfert est asymétrique ; l'utilisation du système Gaz comme source a généralement donné de meilleurs résultats que le système Eau en raison de sémantiques de contrôle plus riches. Cependant, MPA a minimisé la baisse de performance dans les paramètres de transfert inverse difficiles.

5. Importance et conclusion

L'article démontre que l'Alignement des prototypes médoides est une solution pratique et robuste pour la détection d'intrusion inter-usines.

• Stabilité plutôt que densité : En alignant des résumés compacts de médoides plutôt que des ensembles d'échantillons denses, la méthode évite le bruit et l'instabilité inhérents à l'alignement global pour les données industrielles.
• Prêt pour le déploiement : La haute performance dans le pire des cas et la faible variance suggèrent que MPA est adapté au déploiement dans le monde réel où la fiabilité face au décalage de domaine est critique.
• Perspectives futures : Les auteurs suggèrent d'étendre cette approche à l'étiquetage en ensemble ouvert, à l'adaptation en ligne et à la surveillance en temps réel.

En résumé, ce travail fournit une alternative structurellement fondée à l'adaptation de domaine conventionnelle, prouvant que l'exploitation de structures opérationnelles locales robustes (via les médoides) est supérieure pour gérer l'hétérogénéité et la rareté des étiquettes dans la cybersécurité industrielle.