АЛГОРИТМ КОНТЕКСТУАЛЬНОЙ ВАЛИДАЦИИ ПОВЕДЕНЧЕСКИХ ИНДИКАТОРОВ (IOB) ДЛЯ ДЕТЕКТИРОВАНИЯ СКРЫТЫХ АТАК В АСУ ТП
Аннотация
Рассматривается актуальная проблема обеспечения информационной безопасности критической информационной инфраструктуры (КИИ) в условиях качественной эволюции киберугроз и массового перехода злоумышленников к скрытым атакам типа «Living-off-the-Land» (LotL). Ввиду того, что подобные атаки реализуются через легитимные инструменты администрирования, классические индикаторы компрометации (IOC) теряют свою эффективность, а традиционные системы мониторинга генерируют избыточное количество ложных тревог, провоцируя эффект «усталости от алертов». Для решения данной проблемы в работе предложена методика контекстуальной валидации поведенческих индикаторов (IOB) в сетях АСУ ТП. Основным научным результатом является разработанный алгоритм «обратного обогащения», который использует детерминированную природу технологического процесса в качестве строгого априорного фильтра. Алгоритм осуществляет верификацию каждого управляющего воздействия путём прогнозирования следующего состояния системы с помощью математической модели в пространстве состояний и проверки его принадлежности к формализованному множеству безопасных значений . Дополнительно учитывается организационный контекст , включающий регламенты смен и окна техобслуживания. В отличие от вероятностных подходов машинного обучения, данный метод даёт строгий бинарный критерий допустимости команды. Эффективность предложенного подхода подтверждена результатами моделирования на базе верифицированного датасета академического стенда водоочистки SWaT. Внедрение физического и организационного фильтров позволило снизить коэффициент ложных срабатываний (FPRR) на 97,7 % и успешно выявить 1021 из 1035 внедрённых скрытых деструктивных воздействий. Вычислительная задержка алгоритма составила в среднем 1,4 мс, что полностью удовлетворяет строгим требованиям систем реального времени. Предложенный метод не требует замены устаревшего оборудования и обеспечивает точную атрибуцию киберинцидентов на основе законов физики производственного цикла
Список литературы
1. Ongun T., Stokes J., Bar Or J. Living-Off-The-Land Command Detection Using Active Learning, RAID, 2021, pp. 442-455. DOI: 10.48550/arXiv.2111.15039.
2. Ning R., Bu W., Yang J., Duan S. A Survey of Detection Methods Research on Living-Off-The-Land Techniques, 2023 IEEE International Conference on Sensors, Electronics and Computer Engineering (ICSECE), 2023, pp. 159-164. DOI: 10.1109/ICSECE58870.2023.10263445.
3. Kelley K. Indicators of Compromise (IoCs) and Their Role in Attack Defence (RFC 9424), Internet Engineering Task Force, 2023. DOI: 10.17487/RFC9424.
4. Asiri M., Saxena N., Burnap P. Investigating Usable Indicators against Cyber-Attacks in Industrial Con-trol Systems, USENIX Symposium on Usable Privacy and Security (SOUPS), 2021.
5. Alahmadi B.A., Axon L., Martinovic I. 99% False Positives: A Qualitative Study of SOC Analysts’ Per-spectives on Security Alarms, 31st USENIX Security Symposium, 2022, pp. 2783-2800.
6. Asiri M., Arunasalam A., Saxena N., Celik Z.B. Frontline responders: Rethinking indicators of compro-mise for industrial control system security, Computers & Security, 2025, Vol. 154, pp. 104421. DOI: 10.1016/j.cose.2025.104421.
7. Atarskaya E.A., Vul'fin A.M., Uzbekova L.Ya. Sistema obnaruzheniya anomaliy sostoyaniya kiberfizi-cheskikh ob"ektov v zadache obespecheniya informatsionnoy bezopasnosti [System for detecting anomalies in the state of cyber-physical objects in the task of ensuring information security], Vestnik UGATU [Vestnik USATU], 2023, Vol. 27, No. 2, pp. 98-107.
8. Lyu S., Wang K., Zhang L., Wang B. Process-Oriented heterogeneous graph learning in GNN-Based ICS anomalous pattern recognition, Pattern Recognition, 2023, Vol. 141, Article 109661. DOI: 10.1016/j.patcog.2023.109661.
9. Erba A., Taormina R., Galelli S. et al. No Need to Know Physics: Resilience of Process-based Model-free Anomaly Detection for Industrial Control Systems, ACM ACSAC, 2020. DOI: 10.1145/3427228.3427261.
10. Müller N., Ziras C., Heussen K. Assessment of Cyber-Physical Intrusion Detection and Classification for Industrial Control Systems, IEEE International Conference on Communications, Control, and Com-puting Technologies for Smart Grids (SmartGridComm), 2022. DOI: 10.1109/SmartGridComm52983.2022.9961010.
11. Yahya M., Sharaf N., Rrushi J. et al. Physics Reasoning for Intrusion Detection in Industrial Networks, 2nd IEEE International Conference on Trust, Privacy and Security in Intelligent Systems and Applica-tions (TPS-ISA), 2020. DOI: 10.1109/TPS-ISA50397.2020.00043.
12. Aftabi N., Li D., Ramanan P. A Variational Autoencoder Framework for Robust, Physics-Informed Cyberattack Recognition in Industrial Cyber-Physical Systems, arXiv:2310.06948, 2023. DOI: 10.48550/arXiv.2310.06948.
13. Ike M., Phan K., Sadoski K. et al. SCAPHY: Detecting Modern ICS Attacks by Correlating Behaviors in SCADA and PHYsical, Proc. IEEE Symposium on Security and Privacy (SP), 2023, pp. 362-379. DOI: 10.1109/SP46215.2023.00067.
14. Basan E., Basan A., Nekrasov A., Fidge C., Ishchukova E., Basyuk A., Lesnikov A. Trusted Operation of Cyber-Physical Processes Based on Assessment of the System’s State and Operating Mode, Sensors, 2023, Vol. 23, No. 4, pp. 1996. DOI: 10.3390/s23041996.
15. Ahmed I., Obermeier S., Naedele M. et al. SCADA systems: Challenges for forensic investigators, Computer, 2012, Vol. 45, No. 12, pp. 44-51. DOI: 10.1109/MC.2012.325.
16. Kabasele Ndonda G., Sadre R. Exploiting the Temporal Behavior of State Transitions for Intrusion De-tection in ICS/SCADA, IEEE Access, 2022, Vol. 10, pp. 41535-41554. DOI: 10.1109/ACCESS.2022.3168864.
17. Asiri M., Saxena N., Gjomemo R., Burnap P. Understanding Indicators of Compromise against Cyber-attacks in Industrial Control Systems: A Security Perspective, ACM Transactions on Cyber-Physical Systems, 2023, Vol. 7, No. 2. DOI: 10.1145/3565972.
18. Abramov E.S., Belov N.E. Klassifikatsiya i otsenka kachestva istochnikov indikatorov komprometatsii [Classification and quality assessment of sources of indicators of compromise], Sistemnyy sintez i pri-kladnaya sinergetika: Sb. nauchnykh trudov XII Vseros. nauch. konf. [System Synthesis and Applied Synergetics: Proceedings of the XII All-Russian Scientific Conference]. Rostov-on-Don; Taganrog: YuFU, 2024, pp. 392-395.
19. Tumanov D.A., Abramov E.S. Poisk i skoring istochnikov indikatorov komprometatsii po industriyam [Search and scoring of sources of indicators of compromise by industry], Inzhenernyy vestnik Dona [Engineering Journal of Don], 2024, No. 8 (116).
20. Azzam M., Pasquale L., Provan G. et al. Forensic readiness of industrial control systems under stealthy attacks, Computers & Security, 2023, Vol. 125, pp. 103010. DOI: 10.1016/j.cose.2022.103010.
21. Radvanovsky R., Brodsky J. SCADA/Control Systems Security. Boca Raton: CRC Press, 2013, 330 p. – DOI: 10.1201/b19545.
22. Kotenko I.V., Khmyrov S.S. Model' komprometatsii ob"ektov kriticheskoy informatsionnoy infra-struktury [Model of compromise of critical information infrastructure objects], Aktual'nye problemy in-fotelekommunikatsiy v nauke i obrazovanii (APINO 2022) [Actual Problems of Infotelecommunications in Science and Education (APINO 2022)]. Saint Petersburg., 2022, Vol. 1, pp. 614-619.
23. Knowles W., Prince D., Hutchison D. et al. A survey of cyber security management in industrial control systems, International Journal of Critical Infrastructure Protection, 2015, Vol. 9, pp. 52-80. DOI: 10.1016/j.ijcip.2015.02.002.
24. Mathur A.P. SWaT: a water treatment testbed for research and training on ICS security, 2016 Interna-tional Workshop on Cyber-physical Systems for Smart Water Networks (CySWater). IEEE, 2016,
pp. 31-36. DOI: 10.1109/CySWater.2016.7469060.
25. Goh J. A dataset to support research in the design of secure water treatment systems, Critical Infor-mation Infrastructures Security: 11th International Conference, CRITIS 2016. Springer, 2017, pp. 88-99. DOI: 10.1007/978-3-319-71368-7_8.
