Tensor based machine learning frameworks for intrusion detection in the physical and network layers of cyber-physical systems

Abstract

Sistemas Ciber-Físicos (do inglês Cyber-Physical Systems, ou CPS) são sistemas físicos e de engenharia usados para controlar e monitorar ambientes físicos, integrando sensores, unidades de processamento de controle e dispositivos de comunicação. Geralmente, os CPS são utilizados em aplicações críticas de segurança, tais como sistemas militares de defesa, fábricas e controle de tráfego, bem como em infraestruturas críticas, por exemplo, usinas para geração de energia elétrica, represas de abastecimento de água e sistemas de telecomunicações. Nesse sentido, o desenvolvimento de sistemas de detecção de intrusão de alta precisão para Sistemas Ciber-Físicos é fundamental, de modo que tais aplicações críticas possam ser gerenciadas e controladas com eficiência e confiabilidade. O escopo desta tese é a segurança das camadas física e de rede de CPS, particularmente em relação à localização e identificação de Veículos Aéreos Não Tripulados não autorizados, bem como à detecção de ataques de Negação de Serviço Distribuídos. Veículos Aéreos Não Tripulados (VANTs) são aeronaves pilotadas remotamente muito populares em aplicações pessoais, comerciais e de segurança pública. No entanto, vários incidentes acidentais e intencionais relacionados com VANTs têm sido cada vez mais relatados, por exemplo, em colisões aéreas em aeroportos, contrabando de materiais ilícitos e espionagem. Portanto, soluções para localização e identificação de VANTs têm sido intensamente investigadas na literatura. Como uma primeira contribuição, uma arquitetura baseada na aplicação conjunta de técnicas de processamento de sinais multidimensionais e de aprendizado de máquina é proposta com a finalidade de localizar e identificar, com precisão, VANTs intrusos no interior de espaços aéreos controlados. De acordo com as simulações, a abordagem proposta supera consideravelmente seus esquemas concorrentes em termos de várias métricas de avaliação. Além disso, a segurança na camada de rede em Sistemas Ciber-Físicos pode ser comprometida por diversas atividades maliciosas, como ataques de negação de serviço distribuídos (do inglês Distributed Denial of Service, ou DDoS). As soluções baseadas em aprendizado de máquina (ML) têm sido intensamente investigadas para identificar automaticamente padrões maliciosos no tráfego de entrada de dados. Como as abordagens de ML supervisionadas exigem treinamento com grandes conjuntos de dados, os quais apresentam estruturas inerentemente multidimensionais, o desenvolvimento de um sistema de detecção de ataques DDoS explorando técnicas de aprendizado de máquina e de processamento de sinais

multidimensionais é fundamental. Como uma segunda contribuição, propomos uma nova arquitetura para detecção de ataques DDoS, utilizando as referidas técnicas, onde conjuntos de dados corrompidos são utilizados durante as fases de treinamento e teste. Resultados de simulação mostram que a abordagem proposta supera os métodos concorrentes em termos de acurácia, taxa de detecção e taxa de falso alarme. Ainda em relação à detecção de ataques DDoS, como uma terceira contribuição, este trabalho propõe uma nova arquitetura de Multilayer Perceptron (MLP), robusta à presença de dados de treinamento corrompidos, baseada na técnica Higher Order Singular Value Decomposition (HOSVD). Em nosso esquema proposto, o valor médio dos atributos comuns entre as amostras do conjunto de dados é filtrado iterativamente por meio do algoritmo HOSVD, fornecendo mais robustez contra a presença de dados corrompidos. A eficácia do esquema proposto é validada por meio da comparação com métodos do estado da arte equivalentes. A abordagem proposta apresenta desempenho superior em comparação às técnicas do estado da arte concorrentes em termos de acurácia, taxa de detecção e taxa de falso alarme. Por fim, devido aos excelentes resultados mostrados em vários domínios do conhecimento, as Redes Neurais Convolucionais (do inglês Convolutional Neural Networks, ou CNN), uma das técnicas de aprendizado profundo mais populares e eficientes, apresentam um excelente potencial para detecção de ataques DDoS. Nesse sentido, como nossa última contribuição, duas novas arquiteturas baseadas em CNNs para detecção de ataques DDoS são apresentadas. Tais esquemas apresentam múltiplos ramos em paralelo, onde cada um deles é composto por várias CNNs em série. As saídas de CNNs pertencentes a ramos paralelos consecutivos são concatenadas com a finalidade de enriquecer a diversidade de atributos e, consequentemente, uma melhor capacidade de reconhecimento é alcançada pelo modelo de detecção. Resultados de simulações confirmam que as abordagens propostas superam os esquemas concorrentes quando várias métricas de avaliação de desempenho são consideradas.