Cyberattacks detection in industrial scenarios using Machine Learning and Deep Learning techniques

Abstract

En las últimas décadas, las fábricas han sufrido un gran cambio en la automatización, pasando de sistemas aislados a interconectados. Este cambio ha traído muchas ventajas, como el aumento de la producción o la gestión de fábricas en diferentes áreas geográficas. Sin embargo, la adopción de estándares abiertos y la apertura a Internet han provocado un incremento en el número de ataques que afectan a los Sistemas de Control Industrial.

Un enfoque prometedor para proteger las fábricas son los sistemas de detección de intrusiones basados ​en el paradigma de detección de anomalías, que se basa en modelar el comportamiento normal del sistema y detectar como anormal todo comportamiento fuera de lo normal. Este paradigma está mostrando grandes resultados cuando se implementa mediante técnicas de Machine Learning y Deep Learning.

Sin embargo, se necesitan algunos esfuerzos adicionales para implementar estas técnicas en un escenario industrial. La falta de conjuntos de datos industriales para entrenar y validar estos sistemas es un desafío importante. Además, se necesita una metodología común que considere las características específicas de los escenarios industriales para la detección de anomalías utilizando técnicas de Machine Learning y Deep Learning. Por último, las implicaciones que tienen las amenazas de ciberseguridad en la integridad física de los trabajadores y los activos son un aspecto clave que debe tenerse en cuenta.

El objetivo principal de esta tesis doctoral consiste en investigar técnicas de Machine Learning y Deep Learning para desarrollar sistemas de detección de anomalías que ayuden a detectar ciberataques en escenarios industriales. Este objetivo se puede dividir en seis subobjectivos: 1) Estudiar la literatura existente en materia de integridad física, ciberseguridad y su integración en escenarios industriales, 2) Diseñar un framework capaz de gestionar la ciberseguridad y la integridad física de forma unificada, 3) Estudiar el trabajo relevante en el campo de la generación de conjuntos de datos industriales, 4) Diseñar una metodología para generar conjuntos de datos industriales 5) Estudio de soluciones de sistemas de detección de intrusiones orientadas a la industria como así como las metodologías disponibles para entrenar y validar modelos de Machine Learning y Deep Learning para la detección de anomalías y 6) Diseñar y validar una metodología para la detección de anomalías en escenarios industriales utilizando técnicas de Machine Learning y Deep Learning.

Esta tesis doctoral se ha realizado siguiendo un proceso científico basado en el estudio del estado del arte y el análisis de propuestas de detección de ciberataques en escenarios industriales. Primero, analizamos la literatura relacionada con la integración de la ciberseguridad y la integridad física y concluimos que se encuentra en una etapa temprana impulsada principalmente por la industria. Después, estudiamos la literatura sobre los conjuntos de datos industriales y concluimos que la mayoría de ellos se centran en la inyección de datos falsos, ignorando otros ataques dañinos como los ataques de repetición. Finalmente, después de estudiar la literatura sobre detección de anomalías en escenarios industriales, nos dimos cuenta de que muchos de los trabajos revisados ​​no siguen una metodología común y la mayoría presenta errores metodológicos.

Finalmente, la contribución de esta Tesis Doctoral se puede resumir en: 1) Diseño, implementación y validación de un framework unificado de ciberseguridad e integridad física en la industria manufacturera, 2) Diseño y validación de una metodología para generar conjuntos de datos a partir de escenarios industriales así como su implementación para generar Electra, un conjunto de datos obtenido de una subestación de tracción eléctrica, y 3) Diseño y validación de una metodología, denominada MADICS, para desarrollar sistemas de Detección de Anomalías en escenarios industriales, así como su uso con el conjunto de datos SWaT.

In the last decades, the factories have suffered a significant change in automation, evolving from isolated towards interconnected systems. This change has brought many advantages to factories, such as the increase in the production or the management of factories in different geographical areas. However, the adoption of open standards and the opening to the Internet have caused an increment in the number of attacks affecting Industrial Control Systems.

A promising approach to protect factories are Intrusion Detection Systems based on Anomaly Detection paradigm, which is based on modelling the normal system behaviour and detects as abnormal all behaviour outside the normal border. This paradigm is showing great results when it is implemented using Machine Learning and Deep Learning techniques.

However, some additional efforts are needed to deploy these techniques in an industrial scenario. The lack of industrial-oriented datasets to train and validate these systems is a significant challenge that hinders its implementation in real scenarios. In addition, a common methodology that considers specific characteristic of industrial scenarios (e.g., its repetitive nature) is needed for Anomaly Detection using Machine Learning and Deep Learning techniques. Finally, the implications that cybersecurity threats have in the safety of workers and assets are a key aspect that needs to be considered.

The main goal of this PhD thesis consists in investigating Machine Learning and Deep Learning techniques to develop anomaly detection systems that help to detect cyberattacks in industrial scenarios. This goal can be divided into six smaller goals: 1) Study the existing literature regarding safety, cybersecurity, and their integration in industrial scenarios, 2) Design a framework capable of managing cybersecurity and safety in a unified way, 3) Study the relevant work in the field of industrial-oriented dataset generation, 4) Design a methodology to generate industrial-oriented datasets as well as the generation of a specific dataset to be used in this PhD thesis, 5) Study of industrial-oriented Intrusion Detection Systems solutions as well as the methodology available in the literature to train and validate Machine Learning and Deep Learning models for industrial anomaly detection and 6) Design and validate a methodology for anomaly detection in industrial scenarios using Machine Learning and Deep Learning techniques.

This PhD thesis has been conducted by following a scientific process based on the study of the state of the art and the analysis of cyberattacks detection proposals in industrial scenarios. First, we analyzed the literature regarding cybersecurity and safety integration and we noticed that it is in an early stage that is still mainly driven in the industry. Then, we studied the literature regarding industrial-oriented datasets to train anomaly detection models, and we concluded that most of them focused on false data injection, ignoring other harmful attacks like replay attacks. Finally, after studying the anomaly detection literature in industrial scenarios, we figure out that many of the work reviewed do not follow a common methodology and most of them presented methodological errors.

Finally, the contribution of this PhD Thesis can be summarized as follow: 1) Design, implementation, and validation of a unified framework for cybersecurity and safety in the manufacturing industry, 2) Design and validation of a methodology to generate datasets from industrial scenarios as well as its implementation to generate Electra, a particular industrial dataset obtained from an electric traction substation, and 3) Design and validation of a methodology, named MADICS, to develop Anomaly Detection systems in industrial scenarios, as well as its use with the well-known SWaT dataset.