Рассматривается актуальная проблема обеспечения информационной безопасности критической информационной инфраструктуры (КИИ) в условиях качественной эволюции киберугроз и массового перехода злоумышленников к скрытым атакам типа «Living-off-the-Land» (LotL). Ввиду того, что подобные атаки реализуются через легитимные инструменты администрирования, классические индикаторы компрометации (IOC) теряют свою эффективность, а традиционные системы мониторинга генерируют избыточное количество ложных тревог, провоцируя эффект «усталости от алертов». Для решения данной проблемы в работе предложена методика контекстуальной валидации поведенческих индикаторов (IOB) в сетях АСУ ТП. Основным научным результатом является разработанный алгоритм «обратного обогащения», который использует детерминированную природу технологического процесса в качестве строгого априорного фильтра. Алгоритм осуществляет верификацию каждого управляющего воздействия путём прогнозирования следующего состояния системы с помощью математической модели в пространстве состояний и проверки его принадлежности к формализованному множеству безопасных значений . Дополнительно учитывается организационный контекст , включающий регламенты смен и окна техобслуживания. В отличие от вероятностных подходов машинного обучения, данный метод даёт строгий бинарный критерий допустимости команды. Эффективность предложенного подхода подтверждена результатами моделирования на базе верифицированного датасета академического стенда водоочистки SWaT. Внедрение физического и организационного фильтров позволило снизить коэффициент ложных срабатываний (FPRR) на 97,7 % и успешно выявить 1021 из 1035 внедрённых скрытых деструктивных воздействий. Вычислительная задержка алгоритма составила в среднем 1,4 мс, что полностью удовлетворяет строгим требованиям систем реального времени. Предложенный метод не требует замены устаревшего оборудования и обеспечивает точную атрибуцию киберинцидентов на основе законов физики производственного цикла
