Medoid Prototype Alignment for Cross-Plant Unknown Attack Detection in Industrial Control Systems

1. Probleemstelling

Het artikel behandelt de kritieke uitdaging van het implementeren van Inbraakdetectiesystemen (IDS) in verschillende Industriële Besturingssystemen (ICS) installaties.

• Domeinverschuiving: ICS-verkeer is sterk locatie-afhankelijk door verschillen in sensoren, protocollen en besturingsprocessen. Een model dat is getraind op één installatie (Bron) faalt vaak bij implementatie op een andere (Doel).
• Data-schaarste en Onbekende Aanvallen: Het verzamelen van gelabelde aanvalgegevens is duur en riskant in productieomgevingen. Bovendien staan doelinstallaties vaak voor "onbekende aanvallen" (aanvallen die niet tijdens de training zijn gezien), waardoor standaard toezichthoudend leren inefficiënt is.
• Beperkingen van Bestaande Methoden: Huidige transfer learning-benaderingen vertrouwen vaak op globale kenmerkuitlijning (het uitlijnen van alle bron- en doelsteekproeven). In ICS-omgevingen, die burst-achtige communicatie, ruis en structurele onbalans bevatten, kan deze ongedifferentieerde uitlijning lokale patronen verdoezelen en leiden tot onstabiele detectie.

2. Methodologie: Medoid Prototype Alignment (MPA)

Het voorgestelde kader herformuleert cross-plant detectie als een prototype-gestuurd adaptatie probleem. In plaats van individuele datapunten uit te lijnen, worden robuuste structurele samenvattingen (prototypen) van de operationele regio's uitgelijnd. De pijplijn bestaat uit vier hoofdfasen:

A. Constructie van Gedeelde Representatie

Omdat bron- en doeldomeinen mogelijk verschillende kenmerkdimensies hebben ($d_s \neq d_t$), standaardiseert de methode eerst de verkeerskenmerken onafhankelijk. Vervolgens wordt Principal Component Analysis (PCA) gebruikt om beide domeinen te projecteren in een gedeelde, laagdimensionale representatieruimte ($Z_s$ en $Z_t$). Dit creëert een uniforme basis voor vergelijking.

B. Extractie van Medoid-prototypen

In plaats van clustercentroïden (gemiddelden) te gebruiken, die gevoelig zijn voor uitschieters, maakt de methode gebruik van K-Medoids clustering op de PCA-geprojecteerde data.

• Medoïden: Dit zijn werkelijke observaties uit de dataset die de dissimilariteit binnen het cluster minimaliseren.
• Voordeel: Medoïden vertegenwoordigen fysiek betekenisvolle operationele punten en zijn robuuster tegen ruis en zeldzame verstoringen die voorkomen in industrieel verkeer, in vergelijking met op gemiddelde gebaseerde centra.
• Het resultaat is een set bronprototypen ($P_s$) en doelprototypen ($P_t$).

C. Prototype-gekalibreerde Adaptatie

De kernleerdoelstelling omvat een representatie-encoder ($f_\theta$) en een classifier ($g_\phi$). De methode definieert drie verliescomponenten:

1. Prototype Alignment Loss ($L_{proto}$): Berekent een zachte correspondentie tussen doelprototypen en bronprototypen met behulp van een softmax-ähnelijkheid gebaseerd op Euclidische afstand. Het minimaliseert de afstand tussen een doelprototype en zijn gewogen bronprototypen.
2. Supervised Classification Loss ($L_{sup}$): Zorgt ervoor dat het model zijn discriminatievermogen behoudt op het gelabelde brondomein.
3. Entropy Regularization ($L_{ent}$): Moedigt zelfverzekerde voorspellingen aan op het ongelabelde doeldomein door de voorspellingsentropie te minimaliseren.

Het totale doel is: $L = L_{sup} + \alpha L_{proto} + \beta L_{ent}$.

3. Belangrijkste Bijdragen

1. Nieuwe Probleemformulering: Verplaatst het paradigma van directe globale instantie-matching naar prototype-niveau transfer, met nadruk op de overdracht van lokale structurele samenvattingen.
2. Kaderontwerp: Stelt een specifieke architectuur voor die PCA-compressie, K-Medoids-extractie en prototype-gekalibreerde domeinadaptatie combineert. Dit ontwerp is op maat gemaakt voor heterogene, ruizige en label-schaarse industriële omgevingen.
3. Empirische Strenge: Herontwerpt de evaluatie om zich te richten op gemiddelde cross-taakprestaties, directionele transfergedrag (asymmetrie) en worst-case robuustheid, waardoor een realistischer beeld van implementatiebetrouwbaarheid wordt geboden dan enkel taak-accuraatheid.

4. Experimentele Resultaten

De methode werd geëvalueerd op twee verschillende industriële systemen: een Aardgasbesturingssysteem (G) en een Wateropslagtanksysteem (W). Vier cross-domein onbekende aanval transfer-taken werden getest (bijvoorbeeld DoS-aanvallen van Gas- naar Watersystemen).

• Prestatiemetingen:
  • MPA behaalde een gemiddelde Accuraatheid van 0,843 en een F1-score van 0,838.
  • Het presteerde aanzienlijk beter dan baselines (ANN, SVM, RF, KNN, NBM). Bijvoorbeeld, vergeleken met de sterkste baseline (ANN), verbeterde MPA de gemiddelde accuraatheid met 62,8% en de F1-score met 109,4%.
• Robuustheid:
  • Lage Spreiding: MPA toonde de laagste variatiecoëfficiënt (CV) en de kleinste "composiete directionele kloof", wat wijst op consistente prestaties ongeacht de transferrichting (Gas→Water vs. Water→Gas).
  • Worst-case Stabiliteit: Zelfs op de moeilijkste transfer-taak behield MPA een minimale accuraatheid van 0,81 en een F1-score van 0,80, terwijl baselines aanzienlijk daalden (bijvoorbeeld daalde ANN naar 0,50 accuraatheid).
• Transfer Asymmetrie: De studie bevestigde dat transfer asymmetrisch is; het gebruik van het Gassysteem als bron leverde over het algemeen betere resultaten op dan het Watersysteem vanwege rijkere besturingssemantiek. MPA minimaliseerde echter de prestatiedaling in moeilijke omgekeerde transfer-instellingen.

5. Betekenis en Conclusie

Het artikel toont aan dat Medoid Prototype Alignment een praktische en robuuste oplossing is voor cross-plant inbraakdetectie.

• Stabiliteit boven Dichtheid: Door compacte medoid-samenvattingen uit te lijnen in plaats van dichte steekproefsets, vermijdt de methode de ruis en instabiliteit die inherent zijn aan globale uitlijning voor industriële data.
• Implementatieklaarheid: De hoge worst-case prestaties en lage variantie suggereren dat MPA geschikt is voor real-world implementatie waar betrouwbaarheid onder domeinverschuiving kritiek is.
• Toekomstige Richtingen: De auteurs suggereren deze aanpak uit te breiden naar open-set labeling, online adaptatie en real-time monitoring.

Kortom, dit werk biedt een structureel onderbouwde alternatief voor conventionele domeinadaptatie en bewijst dat het benutten van robuuste lokale operationele structuren (via medoïden) superieur is voor het hanteren van heterogeniteit en schaarste aan labels in industriële cybersecurity.