[論文レビュー] Anomaly Detection for Industrial Control Systems Using Sequence-to-Sequence Neural Networks

Jonguk Kim, Jeong-Han Yun+1 more|arXiv (Cornell University)|Nov 12, 2019

Anomaly Detection Techniques and Applications参考文献 20被引用数 11

ひとこと要約

本論文は、正常な運用データのみを用いて産業制御システム（ICS）における異常検出のための、アテンションを備えたシーケンス・ツー・シーケンス（seq2seq）ニューラルネットワークを提案する。モデルは時系列的依存関係を学習し、将来のセンサーやアクチュエータの値を予測する。予測値との乖離がしきい値を超えると異常と判定される。SWaTデータセットにおいて、攻撃検出率は80.6％（36件中29件）、攻撃ポイント検出率は47.2％（53点中25点）を達成し、誤検出および誤検出の詳細な分析が行われた。

ABSTRACT

This study proposes an anomaly detection method for operational data of industrial control systems (ICSs). Sequence-to-sequence neural networks were applied to train and predict ICS operational data and interpret their time-series characteristic. The proposed method requires only a normal dataset to understand ICS's normal state and detect outliers. This method was evaluated with SWaT (secure water treatment) dataset, and 29 out of 36 attacks were detected. The reported method also detects the attack points, and 25 out of 53 points were detected. This study provides a detailed analysis of false positives and false negatives of the experimental results.

研究の動機と目的

• 制御論理や攻撃シグネチャの入手が困難な状況におけるICSにおける異常検出の課題に対処すること。
• 正常運用データにのみ依存するデータ駆動型の異常検出手法を構築すること。
• ICS環境における攻撃およびその特定の攻撃ポイントの両方を検出可能にする。
• システム動作の文脈における予測誤差と異常スコアの分析により、誤報を低減すること。

提案手法

• ICS時系列データの時系列的依存関係をモデル化するために、アテンション機構を備えたシーケンス・ツー・シーケンスニューラルネットワークを採用する。
• 100秒のスライディングウインドウを用いて順序的な文脈を捉え、1秒のステップサイズを設定する。
• min-max正規化（0〜1）を適用し、データ分布を保持するとともにLSTMの活性化関数の効果を高める。
• 正常運用データにのみモデルを学習させることで、正常状態を暗黙的に学習する。
• 推論フェーズでは、実測値と予測値の間の予測誤差を計算する。
• 予測誤差にしきい値ベースの意思決定ルールを適用し、異常アラートを発動する。

実験結果

リサーチクエスチョン

• RQ1 正常ICSデータにのみ学習させたseq2seqモデルは、SWaTデータセットにおける既知の攻撃を検出できるか？
• RQ2 攻撃シーケンス内における個々の攻撃ポイントの検出効果はいかほどか？
• RQ3 検出結果における誤検出および誤検出の原因とパターンは何か？
• RQ4 標準RNNと比較して、アテンション機構は予測精度および異常検出感度をどのように向上させるか？

主な発見

• モデルはSWaTデータセットにおいて36件中29件の攻撃を検出し、80.6％の攻撃検出率を達成した。
• 53点中25点の攻撃ポイントを特定し、特定攻撃イベントの検出率は47.2％であった。
• 誤検出の主な原因は、学習データに存在しなかったP-201およびP-205のようなアクチュエータの予期せぬが安定した変化であった。
• プロセス1では5件の真の誤検出、プロセス2では4件の誤検出が生じ、主にP-201およびP-205の挙動と関連していた。
• プロセス4の誤検出は、プロセス5の攻撃37に起因しており、プロセス間の感度が示された。
• AIT-201およびAIT-203の予測誤差は、誤検出後に上昇した。これは、攻撃後に新たな安定した運用状態がモデルに学習された可能性を示唆している。