[論文レビュー] Detecting Cyberattacks in Industrial Control Systems Using Convolutional Neural Networks

Moshe Kravchik, Asaf Shabtai|arXiv (Cornell University)|Jun 21, 2018

Network Security and Intrusion Detection参考文献 15被引用数 8

ひとこと要約

本稿では、SWaT水処理テストベッドデータセットを用いて、産業制御システム（ICS）向けの1次元畳み込みニューラルネットワーク（CNN）ベースの異常検出手法を提案する。時間的依存性をモデル化し、予測誤差のずれを測定することで、低誤検出率で36件中32件のサイバー攻撃を検出でき、再帰型ネットワークよりも高速かつ正確であり、効率的でスケーラブルである。

ABSTRACT

This paper presents a study on detecting cyberattacks on industrial control systems (ICS) using unsupervised deep neural networks, specifically, convolutional neural networks. The study was performed on a SecureWater Treatment testbed (SWaT) dataset, which represents a scaled-down version of a real-world industrial water treatment plant. e suggest a method for anomaly detection based on measuring the statistical deviation of the predicted value from the observed value.We applied the proposed method by using a variety of deep neural networks architectures including different variants of convolutional and recurrent networks. The test dataset from SWaT included 36 different cyberattacks. The proposed method successfully detects the vast majority of the attacks with a low false positive rate thus improving on previous works based on this data set. The results of the study show that 1D convolutional networks can be successfully applied to anomaly detection in industrial control systems and outperform more complex recurrent networks while being much smaller and faster to train.

研究の動機と目的

• ラベル付き攻撃データに依存せずに、産業制御システム（ICS）におけるサイバー攻撃を検出する教師なし深層学習手法を開発すること。
• 多次元ICS時系列データにおける異常検出において、1次元畳み込みニューラルネットワーク（CNN）と再帰型ネットワーク（RNN）の有効性を比較評価すること。
• 1次微分と早期に配置された全結合層を用いることで、特徴表現を向上させ、検出性能を向上させること。
• 計算負荷を低減しつつ高い正確性を維持する、段階別に特化した異常検出モデルを可能にすること。
• 本手法の汎用性と、故障した機器の挙動などの悪意のない異常（非悪意的異常）の検出可能性を評価すること。

提案手法

• 本手法は、ICSプロセス内の個々のセンサーや制御変数ごとに時間方向に畳み込みを適用する1次元CNNアーキテクチャを採用する。
• 異常は、観測値と訓練済みモデルが生成する予測値の間の統計的ずれを測定することで検出する。
• モデルは正常な運用データ上で教師なしで訓練され、入力シーケンスの再構成を学習し、大きな再構成誤差を異常と特定する。
• 特徴表現の向上のため、入力特徴の1次微分を追加の入力チャネルとして導入し、動的傾向を捉える。
• 特徴空間の豊かさを高め、特徴間の依存関係を学習する能力を向上させるために、ネットワークの初期段階に全結合層を適用する。
• 順序データを処理するためのスライディングウィンドウ技術を用いることで、リアルタイムまたはニアリアルタイムの異常検出を実現する。

実験結果

リサーチクエスチョン

• RQ1 1次元畳み込みニューラルネットワークは、誤検出を最小限に抑えて、多次元ICS時系列データにおけるサイバー攻撃を効果的に検出できるか？
• RQ2 SWaTテストベッドにおける既知の攻撃を検出する際、1次元CNNの性能は、再帰型ニューラルネットワーク（例：LSTM）と比べてどうか？
• RQ3 入力特徴に1次微分を追加することで、ICSシステムにおける異常検出の正確性が向上するか？
• RQ4 全システムに1つのグローバルモデルを適用するのではなく、各プロセス段階ごとに別々のモデルを学習する方が効果的か？
• RQ5 提案手法は、サイバー攻撃以外の異常、例えば機器の故障やセンサーの不具合なども検出できるか？

主な発見

• 1次元CNNモデルは、SWaTデータセットの既知の36件のサイバー攻撃のうち32件を正常に検出し、検出率94.4％を達成した。
• 本手法は、全体のテストセットでわずか4件の誤検出にとどまり、低誤検出率を達成した。
• 1次元CNNは、サイズがはるかに小さいにもかかわらず、トレーニング速度と推論効率の両面で再帰型ネットワーク（例：LSTMベースのモデル）を上回った。
• 1次微分を入力特徴として追加することで、検出性能にわずかな向上が見られたが、2次微分などの高次微分ではさらなる向上は得られなかった。
• 各プロセス段階ごとに別々のモデルを学習する方が、1つの統合モデルを用いる場合よりも優れた検出結果をもたらした。これは、複雑さが低減され、段階固有のダイナミクスをよりよく捉えられたためと推測される。
• モデルは強力な汎用性を示した。システム構造や攻撃パターンに関する仮定を一切用いずに訓練されたため、多様なICS環境への応用可能性が示唆された。