💻 computer science

A Transfer Learning Approach to Unveil the Role of Windows Common Configuration Enumerations in IEC 62443 Compliance

Dit artikel presenteert een transfer learning-methode die Windows Common Configuration Enumerations (CCE's) koppelt aan IEC 62443-3-3-eisen door gebruik te maken van gelabelde Linux-datasets, waardoor geautomatiseerde compliance-checks en analyse van cross-platform overeenkomsten mogelijk worden.

Oorspronkelijke auteurs: Miguel Bicudo, Estevão Rabello, Daniel Menasché, Paulo Segal, Claudio Segal, Anton Kocheturov, Priyanjan Sharma

Gepubliceerd 2026-02-17

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Miguel Bicudo, Estevão Rabello, Daniel Menasché, Paulo Segal, Claudio Segal, Anton Kocheturov, Priyanjan Sharma

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorm, oud kasteel moet beveiligen. Dit kasteel is een industriële besturingssysteem (zoals die gebruikt worden in fabrieken, energiecentrales of waterzuiveringsinstallaties). In dit kasteel wonen heel verschillende soorten "bewoners": sommige zijn strenge, efficiënte Duitsers (Linux-systemen), andere zijn creatieve, maar soms rommelige Amerikanen (Windows-systemen), en er zijn ook nog wat mysterieuze, oude bewoners (propriëtaire systemen).

Om dit kasteel veilig te houden, bestaat er een grote, strenge regelboek genaamd IEC 62443. Dit boek zegt: "Alle deuren moeten op slot," "Geen vreemden binnen," en "Houd een dagboek bij van wie er binnenkomt."

Het probleem? Het regelboek is geschreven in een abstracte taal. Het zegt wat je moet doen, maar niet precies hoe je dat doet op elke specifieke computer. En dat is lastig, want de "Duitse" Linux-computers en de "Amerikaanse" Windows-computers spreken een heel andere taal als het gaat om instellingen.

Hier komt dit onderzoek van Miguel en zijn team om de hoek kijken. Ze hebben een slimme oplossing bedacht, die we kunnen vergelijken met vertalen via een tussenpersoon.

Het Probleem: De Taalbarrière

In de wereld van industriële beveiliging weten we precies welke instellingen op een Linux-computer voldoen aan het regelboek. Maar voor Windows ontbrak die lijst. Het was alsof je een recept had voor een Duitse worst, maar je wilde weten welke ingrediënten je nodig hebt voor een Amerikaanse hamburger om aan dezelfde smaakvereisten te voldoen. Je had geen lijstje.

De Oplossing: Slimme Vertaling (Transfer Learning)

De onderzoekers hebben een slimme truc bedacht, een soort digitale tolk die we "Transfer Learning" noemen.

De Bron: Ze begonnen met de lijst van Linux-instellingen die al bekend en goedgekeurd waren.
De Vertaling: Ze gebruikten een kunstmatige intelligentie (een soort super-intelligente vertaler) om te kijken welke Windows-instellingen het meest lijken op de Linux-instellingen.
- Analogie: Stel je voor dat je een woordenboek hebt. Als het Linux-woord "deur" (een beveiligingsinstelling) vaak voorkomt in een zin over "slot", zoekt de AI in het Windows-woordenboek naar woorden die op "slot" lijken, zoals "vergrendeling" of "toegangspolitiek".
De Bruid: Ze hebben een enorme lijst gemaakt van Windows-instellingen (CCE's) en deze gekoppeld aan de regels uit het IEC 62443-boek.

De "Kwaliteitscontrole": De Menselijke Check

De AI is slim, maar niet perfect. Soms denkt de AI dat twee dingen hetzelfde zijn, terwijl ze dat niet zijn.

Analogie: Het is alsof je een robot hebt die alle deuren in het kasteel controleert. De robot zegt: "Deze deur is veilig." Maar een mens moet nog even kijken: "Ja, maar is het slot ook echt stevig?"
In dit onderzoek hebben twee experts en zelfs een andere AI (Gemini) de lijst van de eerste robot nagelopen. Ze hebben gekeken of de koppelingen logisch waren. Wat niet klopte, werd weggegooid. Wat twijfelachtig was, werd gemarkeerd.

Wat hebben ze ontdekt?

Toen ze de lijst voor Windows hadden afgerond, zagen ze een interessant patroon:

Windows is een "beleid-manager": De Windows-instellingen die het meest voorkomen, gaan vooral over het afdwingen van regels (bijvoorbeeld: "Wachtwoorden moeten sterk zijn" of "Logboeken moeten aan staan").
Verschil met Linux: Linux-instellingen gaan vaak over het beheer van specifieke diensten en bestanden. Windows doet dit meer via centrale beleidsregels.
De conclusie: Voor Windows is het makkelijker om automatisch te controleren of je aan de regels voldoet, omdat de instellingen heel duidelijk zijn (aan/uit, ingeschakeld/uitgeschakeld).

Waarom is dit belangrijk?

Voorheen moesten beveiligingsexperts handmatig duizenden computers controleren om te zien of ze voldeden aan de regels. Dat was als het controleren van elke steen in een muur met een loep.

Met deze nieuwe methode kunnen ze nu:

Automatisch controleren: Software kan nu automatisch zien of een Windows-computer veilig is, zonder dat een mens elke regel hoeft te lezen.
De brug slaan: Ze hebben de abstracte regels uit het boek vertaald naar concrete, werkende instellingen.
Veiligheid voor iedereen: Of het nu een Linux-systeem of een Windows-systeem is, nu weten we precies hoe we ze veilig moeten houden volgens dezelfde internationale standaard.

Kort samengevat:
De onderzoekers hebben een slimme vertaler gebouwd die de beveiligingsregels voor Linux-systemen heeft gebruikt om een handleiding te schrijven voor Windows-systemen. Ze hebben deze handleiding nagekeken door mensen en andere computers, en nu weten fabrieksbeheerders eindelijk precies welke knoppen ze op hun Windows-computers moeten indrukken om veilig te zijn.

Probleemstelling

Industriële besturingssystemen (ICS) opereren in uiterst heterogene omgevingen waarin Linux, propriëtaire real-time besturingssystemen en Windows naast elkaar bestaan. Hoewel de IEC 62443-3-3-standaard een uitgebreid raamwerk biedt voor de beveiliging van deze systemen, blijft het vertalen van abstracte beveiligingseisen naar concrete configuratiecontroles een grote uitdaging, met name voor Windows-platforms.

Bestaande studies en datasets richten zich voornamelijk op Linux-systemen. Er is een gebrek aan systematische benaderingen om IEC 62443-3-3-eisen te mappen en te valideren voor Windows-omgevingen. Dit creëert een lacune in de geautomatiseerde nalevingsverificatie voor kritieke OT-omgevingen (Operational Technology), waar Windows vaak wordt gebruikt voor HMI's (Human Machine Interfaces) en SCADA-functies.

Methodologie: Transfer Learning

De auteurs stellen een transfer learning-methodologie voor om de kennis van gelabelde Linux-datasets over te dragen naar Windows-configuraties. Het doel is om de relatie tussen Common Configuration Enumerations (CCEs) voor Windows en de System Security Requirements (SRs) van IEC 62443-3-3 te leggen.

Het proces verloopt als volgt:

Data-uitgangspunt:
- Bron: SUSE Linux CCE-datasets, die reeds gelabeld zijn met IEC 62443-3-3-eisen.
- Doel: Windows CCE-datasets, die deze labels missen.
- De datasets worden geconverteerd van tabellen naar JSON-structuur.
Vectorisatie en Embeddings:
- De configuratiebeschrijvingen worden omgezet naar semantische vectoren (embeddings) met behulp van het voorgeprogrammeerde model all-mpnet-base-v2 (een Sentence Transformer van HuggingFace). Dit resulteert in 768-dimensionale ruimtes waarin semantische gelijkenis correspondeert met geometrische nabijheid.
Afstandsberekening en Gewichten:
- Er wordt een afstandsmatrix berekend tussen Windows-configuraties ( $i$ ) en SUSE-configuraties ( $j$ ) in de embedding-ruimte.
- Een gewichtsschema wordt toegepast waarbij de invloed van een bron-configuratie afneemt naarmate de afstand toeneemt. De formule voor het gewicht is $w_{ij} = 1 / (d_{ij} + \varepsilon)$ .
- Om de variabiliteit te vergroten en de dominantie van terugkerende eisen te verminderen, wordt een machtstransformatie toegepast op de afstandsmetriek: $w_{ij}^{(p)} = w_{ij}^p$ . De parameter $p$ wordt getuned (in dit geval $p=5.5$ voor cosine-afstand) om een optimale diversiteit in de mapping te bereiken.
Transfer en Selectie:
- De SR-labels van SUSE worden "overgedragen" naar Windows-configuraties op basis van de berekende gewichten.
- Er wordt een selectieregel toegepast: alleen de top- $K$ (hier $K=10$ ) hoogst gerangschikte eisen worden behouden, mits ze een drempelwaarde ( $\tau = 0.68$ ) overschrijden.
Validatie:
- Het gegenereerde dataset van 3020 relaties (612 Windows CCEs x max 10 SRs) wordt handmatig gevalideerd door de auteurs.
- De resultaten worden vergeleken met een Large Language Model (Gemini 2.5 Flash) om de consistentie te verifiëren. Er is een hoge overeenkomst gevonden (95,6%), waarbij de meeste onzekerheid voorkomt bij "misschien"-labels.

Belangrijkste Bijdragen

Methodologie voor Labeling: Een nieuwe aanpak om een gelabeld CCE-dataset voor Windows te creëren door kennis over te dragen vanuit Linux, wat een eerste stap is naar geautomatiseerde compliance-checks voor Windows in ICS.
Gegenereerd Dataset: Een dataset van 446 Windows CCEs die gekoppeld zijn aan IEC 62443-3-3-eisen, inclusief menselijke validatie en LLM-verificatie.
Analyse van Nalevingslandschappen: Een diepgaande analyse van de prevalentie van eisen en de identificatie van clusters van eisen die vaak samen voorkomen (bijv. toegang tot controle en authenticatie versus systeemintegriteit).
Brug tussen Abstract en Concreet: Het inzichtelijk maken van hoe abstracte standaarden vertalen naar concrete Windows-configuraties (registerkeys, Groepsbeleidsobjecten, auditpol).

Resultaten en Inzichten

Dominante Thema's: De geaccepteerde mappings voor Windows worden gedomineerd door operationele controles. De meest voorkomende eisen zijn:
- SR 7.6: Handhaving van beveiligingsparameters (Security parameter enforcement).
- SR 5.2: Bescherming van netwerkgrenzen (Network boundary protection).
- SR 6.2 & 6.1: Continue monitoring, logging en auditloggeneratie.
Taalpatronen: De beschrijvingen van Windows CCEs zijn zeer voorschriftend en operationeel, met termen als enabled, disabled, policy, enforced en auditing. Dit contrasteert met Linux-datasets die vaker verwijzen naar packages, services en daemons.
Platformverschillen: Hoewel er semantische overeenkomsten zijn, zijn de onderliggende beveiligingsmodellen verschillend (Linux: modulaire bestandsrechten vs. Windows: gecentraliseerde beleidsregels en registers). De transfer learning benadering vereist daarom semantische aanpassing en menselijke validatie om fouten te voorkomen.
Validatie: Van de initiële 3060 gegenereerde relaties werden er 937 (31%) bevestigd als "Ja", 222 (7%) als "Misschien" en 1861 (61%) afgewezen. Dit toont aan dat de transfer learning een goede start biedt, maar dat menselijke expertise essentieel blijft voor nauwkeurigheid.

Betekenis en Impact

Dit onderzoek is van groot belang voor de industriële cybersecurity omdat het:

Automatisering mogelijk maakt: Het biedt een basis voor geautomatiseerde compliance-checks in Windows-omgevingen, wat handmatige audits vervangt of ondersteunt.
Traceerbaarheid verbetert: Het creëert een duidelijke link tussen abstracte standaardeisen en specifieke configuratie-instellingen.
Heterogene omgevingen adresseert: Het vult een kritieke kennislacune op voor Windows-systemen binnen gemengde ICS-omgevingen, wat essentieel is voor een holistische beveiligingsstrategie volgens IEC 62443.
Toekomstige integratie: De aanpak ebt de weg voor integratie in continue compliance-pipelines en afstemming met andere standaarden zoals NIST 800-82 en ISO/IEC 27001.

Kortom, het artikel demonstreert dat transfer learning een krachtig instrument is om de complexiteit van IEC 62443-compliance in Windows-omgevingen te ontrafelen, mits ondersteund door zorgvuldige validatie.