[논문 리뷰] RNN-based Early Cyber-Attack Detection for the Tennessee Eastman Process

Pavel Filonov, Fedor Kitashov외 1명|arXiv (Cornell University)|2017. 09. 07.

Fault Detection and Control Systems참고 문헌 9인용 수 56

한 줄 요약

이 논문은 GRU 셀을 활용한 RNN 기반 예측 방법을 개발하여 Tennessee Eastman Process 데이터셋의 사이버 공격으로 인한 이상치를 탐지하고, NAB 지표로 평가하며 DPCA와 비교한다. 이 방법은 다양한 모드와 공격 유형에서 조기 탐지를 목표로 한다.

ABSTRACT

An RNN-based forecasting approach is used to early detect anomalies in industrial multivariate time series data from a simulated Tennessee Eastman Process (TEP) with many cyber-attacks. This work continues a previously proposed LSTM-based approach to the fault detection in simpler data. It is considered necessary to adapt the RNN network to deal with data containing stochastic, stationary, transitive and a rich variety of anomalous behaviours. There is particular focus on early detection with special NAB-metric. A comparison with the DPCA approach is provided. The generated data set is made publicly available.

연구 동기 및 목표

• 현실적인 공정 모델에서 산업용 다변량 시계열의 사이버 공격에 대한 강건한 이상 탐지의 동기를 부여한다.
• TEp에서 확률적, 정상적, 과도적 및 다양한 이상 행동을 처리하도록 RNN 예측을 조정한다.
• NAB 지표를 사용한 조기 이상 탐지 enable 및 실용적 성능 평가를 수행한다.
• 연구용으로 정상 및 공격 시나리오가 라벨링된 공공 TEp 데이터셋을 제공한다.

제안 방법

• TEP 데이터셋의 다변량 시계열을 예측하기 위해 2층 스택형 GRU RNN(층당 64 셀) 사용.
• RMSProp를 이용한 MSE 손실로 학습; 입력 창(window)과 예측 창이 동일하며, 은닉층에서 ReLU 활성화 및 선형 출력 활성화.
• 입력을 정규화하고 MSE를 통한 예측 오차를 계산하여 지수이동평균으로 스무딩하며, 학습 데이터에서 임계치를 사용해 이상을 탐지한다.
• NAB 기반 평가 프레임워크를 채택하여 조기 탐지 품질과 이상 인식의 윈도잉을 평가한다.
• RNN 접근법과 DPCA를 비교하여 단일 모드의 한계와 DPCA의 과도 모드에서의 오탐(false positives)을 강조한다.

실험 결과

연구 질문

• RQ1 GRU 기반 예측 모델이 Tennessee Eastman Process 데이터셋의 광범위한 사이버 공격을 신뢰성 있게 탐지할 수 있는가?
• RQ2 NAB-지표가 다양한 공격 유형에서 연속 산업 시계열의 조기 이상 탐지 성능을 어떻게 포착하는가?
• RQ3 RNN 기반 방법과 DPCA 간 정확도, 오탐(false positives), 다중 공장 모드를 처리하는 능력 측면에서 차이가 있는가?
• RQ4 실제 공격 간격과 최대 NAB 점수를 얻기 위해 어떤 이상 창 설정이 가장 잘 맞는가?

주요 결과

방법(공격 시퀀스)	NAB-점수
Ideal detector	1.000
RNN (all)	0.373
DPCA (all)	0.086
RNN (except #23)	0.803
DPCA (except #23)	0.649

• stateless GRU 셀과 드롭아웃 없이 RNN은 TEp 데이터셋에서 확률적 방식, 정상성, 과도적 동작 및 이상 현상을 효과적으로 처리한다.
• NAB 기반 평가에서 RNN이 MEAS 및 SP 공격에 대해 DPCA보다 더 높은 점수를 달성하여 조기 탐지 개선을 시사한다.
• DPCA는 과도 모드에서 어려움을 겪고 많은 오탐을 생성하며, 모드별로 별도 모델이 필요해 실용성을 제한한다.
• MV 공격의 경우, plant dynamics에서의 더 긴 공격 후 이상 영향으로 탐지가 지연된다.
• 저자들은 연구용으로 정상 및 공격 시나리오가 포함된 공공 TEp 데이터셋을 제공한다.