Clustering-Enhanced Domain Adaptation for Cross-Domain Intrusion Detection in Industrial Control Systems

Titolo

Adattamento del Dominio Potenziato dal Clustering per il Rilevamento delle Intrusioni Cross-Domain nei Sistemi di Controllo Industriale (ICS).

1. Il Problema

I Sistemi di Controllo Industriale (ICS) operano in ambienti dinamici dove le distribuzioni del traffico variano notevolmente tra diversi scenari (es. sistemi di gas naturale vs. sistemi di stoccaggio idrico). Le sfide principali per il rilevamento delle intrusioni in questi contesti sono:

• Scarsità di dati etichettati: Ottenere campioni di attacco etichettati nei sistemi target è difficile e costoso.
• Disallineamento delle distribuzioni (Domain Shift): I dati provenienti da ambienti diversi (dominio sorgente e dominio target) hanno caratteristiche statistiche, dimensioni delle feature e pattern di traffico differenti.
• Attacchi sconosciuti: I modelli tradizionali falliscono nel riconoscere nuovi tipi di attacchi o comportamenti anomali introdotti da nuove apparecchiature o vulnerabilità.
• Limiti del Transfer Learning diretto: Applicare tecniche di transfer learning standard è problematico a causa di rumore, outlier e pattern di attacco complessi tipici dei dati industriali, che rendono difficile stimare una corrispondenza affidabile tra i domini.

2. Metodologia Proposta

L'autore propone un framework di Adattamento del Dominio Potenziato dal Clustering, composto da due componenti strettamente accoppiate:

A. Modulo di Transfer Learning basato sulle Feature

• Allineamento delle Feature: Utilizza una trasformazione spettrale per proiettare i domini sorgente e target in uno spazio latente condiviso.
• Obiettivo: Ridurre iterativamente la discrepanza tra le istanze corrispondenti dei due domini mantenendo la struttura discriminativa necessaria per distinguere il traffico normale da quello malevolo.
• Meccanismo: Minimizza una funzione di perdita che include la perdita di classificazione sul dominio sorgente e una perdita di adattamento del dominio che riduce la distanza tra campioni strutturalmente corrispondenti.

B. Strategia di Potenziamento tramite Clustering

Per migliorare l'affidabilità dell'allineamento e gestire il rumore, viene introdotta una fase preliminare di clustering:

1. Omogeneizzazione delle Feature (PCA): Poiché i domini possono avere dimensioni delle feature diverse ($d_s \neq d_t$), viene applicata l'Analisi delle Componenti Principali (PCA) per proiettare entrambi i domini in uno spazio isomorfo comune a dimensione ridotta.
2. Clustering K-Medoids: Vengono applicati algoritmi di clustering (K-Medoids) su entrambi i domini.
   • Perché K-Medoids? A differenza del K-Means, K-Medoids seleziona campioni reali come centri (medoidi) invece della media aritmetica, rendendolo più robusto agli outlier e al rumore, caratteristiche comuni nei dati ICS.
3. Corrispondenza Strutturale: Viene calcolata una similarità a livello di cluster tra i medoidi dei cluster sorgente e target. Questo crea una corrispondenza strutturale "grezza" (coarse structural correspondence) che guida l'allineamento nello spazio latente.
4. Vantaggio: Invece di allineare globalmente tutti i campioni (rischiando errori dovuti a mismatch), il metodo allinea prima i cluster, fornendo un prior strutturale più stabile per l'adattamento.

3. Contributi Chiave

1. Analisi del Problema: Studio approfondito dell'impatto congiunto della scarsità di dati, della dinamicità ambientale e dello shift di dominio sulle prestazioni dei modelli di rilevamento tradizionali.
2. Nuovo Framework: Progettazione di un metodo che integra il transfer learning basato su feature con un potenziamento tramite clustering (K-Medoids) e omogeneizzazione tramite PCA.
3. Validazione Sperimentale: Dimostrazione empirica che l'approccio proposto migliora costantemente accuratezza, F-score e stabilità rispetto a modelli di base, specialmente nel rilevamento di attacchi sconosciuti in ambienti industriali dinamici.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su dataset reali provenienti da sistemi di controllo per gas naturale e serbatoi d'acqua, configurando quattro task cross-domain (trasferimento bidirezionale tra sistemi e tipi di attacco diversi).

• Confronto con Baseline: Il metodo proposto è stato confrontato con cinque modelli di riferimento (Random Forest, SVM, Naive Bayes, KNN, ANN).
• Miglioramenti in Accuratezza: Il framework ha mostrato un aumento dell'accuratezza fino al 49% rispetto ai modelli di base.
• Miglioramenti nell'F-Score: I guadagni nell'F-score sono stati ancora più significativi, indicando un migliore equilibrio tra precisione e recall (cruciale per ridurre falsi allarmi e mancate rilevazioni).
• Stabilità: Il metodo ha dimostrato una maggiore stabilità attraverso diverse direzioni di trasferimento e condizioni di inizializzazione.
• Impatto della Strategia di Clustering: Un'analisi di ablazione ha mostrato che l'aggiunta della strategia di potenziamento tramite clustering migliora ulteriormente l'accuratezza fino al 26% su task rappresentativi, riducendo la fluttuazione delle prestazioni.

5. Significato e Implicazioni

• Soluzione Pratica: Il framework offre una soluzione praticabile per mitigare la scarsità di dati etichettati e lo shift di dominio, problemi critici nella cybersecurity industriale reale.
• Robustezza: L'uso di K-Medoids e la corrispondenza strutturale a livello di cluster rende il sistema più robusto al rumore e agli outlier, tipici dei dati ICS.
• Generalizzazione: La capacità di rilevare attacchi sconosciuti in ambienti cross-domain suggerisce che combinare l'allineamento delle feature latenti con la guida strutturale del clustering è una direzione promettente per la ricerca futura sulla sicurezza industriale.
• Asimmetria del Trasferimento: Lo studio evidenzia che la direzione del trasferimento influisce sulle prestazioni; trasferire da un sistema con informazioni operative più ricche (es. gas) a uno meno ricco (es. acqua) è generalmente più efficace del contrario.

In conclusione, questo lavoro dimostra che integrare strutture di clustering nell'adattamento del dominio è essenziale per costruire rilevatori di intrusioni robusti e adattabili in ambienti industriali complessi e in continua evoluzione.