تُعد أنظمة التحكم الصناعية (ICSs) وأنظمة الإشراف والتحكم وجمع البيانات (سكادا) وأنظمة التحكم الموزعة (DCSs) مكونات أساسية للبنية التحتية الحرجة (CI). وتدعم البنية التحتية الحرجة تشغيل أنظمة النقل والصحة ومحطات الكهرباء والحرارة ومرافق معالجة المياه وغيرها. ولم تعد هذه البنى التحتية معزولة، ووسّع اتصالها بتقنيات الثورة الصناعية الرابعة السطح الهجومي. لذا أصبحت حمايتها أولوية للأمن القومي. وأصبحت الهجمات السيبرانية أكثر تطورًا والمجرمون قادرين على تجاوز أنظمة الأمن التقليدية؛ لذا أصبح كشف الهجمات مجالًا صعبًا. وتُعد التقنيات الدفاعية مثل أنظمة كشف التسلل (IDSs) جزءًا أساسيًا من أنظمة الأمن لحماية البنية التحتية الحرجة. ودمجت أنظمة كشف التسلل تقنيات تعلم الآلة (ML) القادرة على التعامل مع أنواع أوسع من التهديدات. ومع ذلك، يبقى كشف هجمات اليوم صفر وتوافر الموارد التقنية لتنفيذ الحلول المقترحة واقعيًا من شواغل مشغلي البنية التحتية الحرجة. يهدف هذا المسح إلى تقديم تجميع لأحدث ما توصلت إليه أنظمة كشف التسلل التي استخدمت خوارزميات تعلم الآلة لحماية البنية التحتية الحرجة. ويحلل أيضًا مجموعة بيانات الأمن المستخدمة لتدريب نماذج تعلم الآلة. وأخيرًا، يعرض بعض أبرز الأبحاث في هذه المواضيع المطورة في السنوات الخمس الأخيرة.
يعتمد المجتمع الحديث على بنى تحتية متطورة (سيبرانية وفيزيائية) لأداء أنشطته اليومية. وتُصنف هذه البنى أصولًا حرجة لحماية الخدمات ليس في العالم الفيزيائي فحسب بل الرقمي أيضًا. وأصبحت حمايتها شاغلًا للأمن القومي [1]. وتطورت أنظمة ICS تطورًا هائلًا في العقود الأخيرة. وزادت تقنيات الثورة الصناعية الرابعة الكفاءة مع توفير الموارد، لكن ربط أنظمة ICS بالإنترنت ودمج بروتوكولات مثل TCP/IP وسّعا السطح الهجومي وجعلا البنية التحتية الحرجة عرضة لطائفة أوسع من الهجمات [2]. وعلى وجه الخصوص، زاد دمج إنترنت الأشياء الصناعي (IIoT) لربط الأجهزة على المستوى الصناعي، مثل المستشعرات والمشغلات، من مخاطر الأمن السيبراني [3]. وأصبحت التقنيات المدمجة لتعلم الآلة (ML) ضرورية في تحديد الهجمات السيبرانية، إذ يمكن لتعلم الآلة تحديد الأنماط أو القيم الشاذة أو الشذوذات المرتبطة بهجمات معينة [4] — لكن تدابير الأمن السيبراني تبقى ضعيفة في تحديد هجمات اليوم صفر التي تستغل ثغرات غير معلنة [5،6].
حقق تعلم الآلة كجزء من أنظمة كشف التسلل نتائج إيجابية بأنواع تعلم مختلفة، منها الخاضع للإشراف وغير الخاضع للإشراف والتعزيزي [5،7،8]. يحدد التعلم الخاضع للإشراف الهجمات المعروفة بدقة عالية وإيجابيات كاذبة منخفضة، رغم اختباره غالبًا على مجموعات بيانات قديمة لا تمثل السيناريوهات الواقعية، مما يثير الشك في تعميمه على الهجمات المجهولة. ويؤدي التعلم غير الخاضع للإشراف أفضل على هجمات اليوم صفر عبر العنقدة أو الارتباط، لكن الإيجابيات الكاذبة تزداد كثيرًا [9،10]. أما التعلم التعزيزي، وهو أحدث الأنواع، فيمكنه معالجة تعقيد تهديدات الأمن السيبراني بتوافر زمن التعلم الكافي [8]. وتقود التقنيات المعقدة — التعلم الفوقي والنماذج الطبقية والشبكات العصبية الاصطناعية والعميقة — إلى نتائج أفضل.
تستعرض هذه الورقة أبرز الأبحاث المطورة في مجال كشف التسلل، وتحديدًا أنظمة كشف التسلل المعززة لأمن البنية التحتية الحرجة السيبراني بحلول قائمة على تعلم الآلة (الجدول 1)، مع ملاحظة أن خصائص البنية التحتية الحرجة لا تتطابق عادة مع شبكات تقنية المعلومات. ويحدد العمل الجوانب الرئيسية لكشف التسلل في الأنظمة الصناعية ويناقش تحديات التطوير. ورغم أن بعض المسوحات تغطي تعلم الآلة المطبق على أنظمة كشف التسلل، إلا أنها تميل لإهمال التطبيقات في الشبكات الصناعية؛ ويساعد هذا المسح أيضًا في تثبيت أحدث أنظمة كشف التسلل للبنية التحتية الحرجة.
كان الهدف الرئيسي لبحثنا إجراء مراجعة منهجية لأنظمة كشف التسلل لتحسين مستوى الأمن السيبراني للبنية التحتية الحرجة عبر تقنيات تعلم الآلة. وغطت المراجعة السنوات الخمس الأخيرة. إضافة إلى ذلك، هناك هدفان محددان: تجميع وتحليل الأعمال البحثية الأكثر تمثيلًا المنجزة لتطوير أنظمة كشف التسلل للأنظمة الصناعية عبر تقنيات تعلم الآلة؛ وتوليد مناقشة وتقييم نقدي للأساس المعرفي القائم في تطوير أنظمة كشف التسلل باستخدام تقنيات تعلم الآلة لحماية البنية التحتية الحرجة.
لضمان مراجعة منهجية وتمثيلية لأنظمة كشف التسلل المستخدمة لتعلم الآلة في البنية التحتية الحرجة، تكيّف مراجعة الأدبيات منهجية Tavares وScavarda وScavarda (2016) ذات الخطوات الثماني [16]: التخطيط وصياغة المشكلة، والبحث في الأدبيات، وجمع البيانات، وتقييم الجودة، وتحليل البيانات وتجميعها، والتفسير، وعرض النتائج، وتحديث المراجعة.
وبتطبيق هذه المنهجية، بُحث بتوليفات الكلمات المفتاحية (IDS وNID وكشف الشذوذ/الأساليب/البصمات/الهجين وتعلم الآلة والذكاء الاصطناعي والتعلم العميق والبنية الحرجة وICS وسكادا) في Scopus (الجدول 2). ومن أكثر من 30,000 نتيجة أولية، خفضت المرشحات المتعاقبة — الكلمات المفتاحية، والسنوات الخمس الأخيرة (2018–2022)، ونوع المقال/المؤتمر/المراجعة/المسح القصير، واللغة الإنجليزية أو الإسبانية، والتركيز على البنية الحرجة/كشف التسلل/تعلم الآلة، وتحليل الملخص — المجموعة من 1396 إلى 1192 و1091 و1079 و300 و166 وثيقة؛ ثم اختار التحليل العميق 98 وثيقة مسهمة إيجابيًا في المسح (بعضها يضم مصادر أقدم لمجموعات بيانات الأمن السيبراني أو مفاهيم محددة).
تختلف مفاهيم البنية التحتية الحرجة باختلاف المصدر [17]؛ وتركز هذه الدراسة على الخصائص التي تجعل البنية الحرجة بنية يجب تأمينها، منظمة حول بنية نموذج Purdue لأنظمة ICS (الشكل 1) بمستوياته الهرمية من العمليات الفيزيائية عبر شبكات التحكم إلى أنظمة المؤسسة. وتمتد تقنيات تعلم الآلة المستخدمة في أنظمة كشف التسلل لحماية البنية الحرجة عبر نماذج التعلم الخاضع للإشراف وغير الخاضع للإشراف والتعزيزي (الشكل 2)، إذ يحقق التعلم الخاضع للإشراف دقة قوية على الهجمات المعروفة لكنه يتعثر على هجمات اليوم صفر، ويؤدي التعلم غير الخاضع للإشراف أفضل على الهجمات الجديدة بتكلفة إيجابيات كاذبة، ويناسب التعلم التعزيزي الإعدادات العدائية الفورية.
تُصنف أنظمة كشف التسلل حسب النطاق — المضيفة مقابل الشبكية — وحسب المنهجية — القائمة على البصمات والقائمة على الشذوذ والقائمة على القواعد والهجينة (الجدول 3) [31]. وتستخدم أنظمة البصمات تعلم الآلة لكشف البصمات المتعلمة مسبقًا بنتائج ممتازة على الهجمات المعروفة لكنها تفشل عندما تغيّر التعديلات الطفيفة البصمات [5]؛ ونمذج أنظمة الشذوذ السلوك الطبيعي للشبكة وتُعلّم الانحرافات، كاشفةً الهجمات المجهولة واليوم صفر بثمن معدلات إيجابيات كاذبة أعلى كثيرًا، إذ ليس كل سلوك شاذ هجومًا (ككيس بلاستيكي يحجب مستشعرًا في نظام كهرومائي). وتمزج النُهج الهجينة الإمكانيتين لكنها تنتج أنظمة معقدة صعبة التنفيذ [7،31،34،69]. وأصبح تعلم الآلة من أنفع أساليب أمن البنية الحرجة السيبراني بقدرته على إدارة أحجام بيانات هائلة وكشف الشذوذات والأنماط والقيم الشاذة [29،30]، رغم اعتماد النماذج على جودة مجموعة البيانات وحاجتها للتحديث الدوري واختبارها غالبًا على مجموعات غير كافية [5،32].
تبقى مجموعة KDD-99 أشهر مجموعات اختبار أنظمة كشف التسلل [33–35] (ناشئة عن تصحيحات تسعينية لتكرار CUP-99 وتحيز فئاتها)، وحُدثت لاحقًا كـ NSL-KDD (2009) — التي تجاوز عمرها عقدًا في مجال تتحور فيه التهديدات باستمرار. وفي مقارنة ما، استخدم 26 من 65 مقالًا مجموعة KDD-99 و18 مجموعة NSL-KDD و9 مجموعة KDD-CUP 99 ومقالان فقط مجموعات مخصصة [5]، ولا توجد مجموعة موثوقة تمثل الهجمات الشائعة والجديدة معًا [37]، وتحد الفروق بين مجموعات الأمن من أساليب التقييم [38]. وأصدرت مؤسسات ومختبرات مجموعات إضافية كثيرة (الجدول 4: من LBNL 2005 إلى NF-ToN-IoT وNF-UQ-NIDS 2022 [38–55]، ومنها SWaT 2019 [53]) — لكنها غالبًا قديمة أو غير متاحة مجانًا أو متجانسة السجلات أو ناقصة التوثيق [39]، رغم فائدتها في اختبار الفرضيات الجديدة.
تساعد مصنفات تعلم الآلة أنظمة الأمن بأربع طرق: أشجار القرار بإيجاد مجموعات قواعد دقيقة لتصنيف الحركة؛ والجيران الأقرب بتعلم الأنماط من الحركة الجديدة لتصنيف هجمات اليوم صفر كفئات غير مرئية؛ وآلات المتجهات الداعمة؛ والشبكات العصبية الاصطناعية بالتكيف مع الاتصالات الجديدة والتعلم من الحوادث دون إعادة تدريب كاملة وضبط أوزان الخلايا للهجمات غير المرئية [28]. وتشترك جميعها في الاعتماد على جودة مجموعة البيانات والتعلم الخاضع للإشراف والتحديث الدوري. وزاد توسع إنترنت الأشياء الصناعي في الثورة الصناعية الرابعة بيانات البنية الحرجة المتنوعة أضعافًا [8]، بينما وسّع اعتماد سكادا لبروتوكول TCP/IP السطح الهجومي [5،32]؛ ولا يمكن للتوسيم الخبير مواكبة ابتكار المهاجمين ونمو الحركة الفورية [28]، ويصعب تمييز أنماط حركة البنية الحرجة غير المتوازنة والمشوشة وغير المكتملة [71] — مما يجعل التعلم غير الخاضع للإشراف (مؤشرات خفية عبر العنقدة [31،60]) والتعلم التعزيزي (الأقرب للتعلم البشري والقوي في السيناريوهات العدائية الفورية [8]) أكثر براعة.
تفتقد حلول الأمن المعتادة الثغرات المدمجة لتفاعل تقنية المعلومات والأنظمة الفيزيائية [72،73]؛ وتحتاج أنظمة كشف التسلل الموجهة للبنية الحرجة خصائص محددة: (1) تشغيل ICS مستمر لا يتوقف طويلًا لإدارة الأمن مع توافر قصوى إلزامي؛ و(2) ارتجاج/تأخير أقل من شبكات IT؛ و(3) أمن ذو أولوية للمستشعرات والمشغلات ووحدات PLC المحركة للعمليات الفيزيائية [1]؛ و(4) احتواء هجمات قد تتصاعد لعواقب اقتصادية أو اجتماعية أو سياسية أو على الأرواح [19]؛ و(5) حركة مستقرة بحمولات معتمدة على المواصفات عبر بروتوكولات صناعية [74]. وترد معالجات مفصلة لخوارزميات تعلم الآلة في الشكل 2، مع شيوع التعلم الخاضع للإشراف وقوته في الدقة — رغم إعاقة المقارنة عبر النتائج باختلاف المقاييس ومجموعات البيانات والخوارزميات، وحتى درجات AUC المثالية [60] لا تحسّن أنواع أخطاء محددة، مما يحفز مقاييس معقدة مثل معامل ارتباط Matthews.
ورغم أن نتائج كشف الشذوذ تبدو واعدة، استخدم معظم الاختبار مجموعات بيانات لا تمثل تهديدات شبكة البنية الحرجة الماضية أو الحاضرة، مما يثير الشك في التعميم الواقعي؛ ويلزم توصيف دقيق لبيانات شبكة البنية الحرجة لتدريب أنظمة كشف التسلل الشبكية والمضيفة معًا، ويبقى تطوير مجموعات بيانات أدق مجال بحث مفتوحًا. ومقارنة الأعمال السابقة صعبة (الجدولان 5–6): اختلاف مجموعات البيانات والتقنيات والمقاييس — وأحيانًا الدقة وحدها [30،72] المعروف قصورها لنماذج تعلم الآلة — إضافة لتفاصيل إعادة الإنتاج المفقودة وأزمنة الكشف غير المحسوبة في سياقات ICS تجعل مقارنة النماذج نفسها مجال بحث مشجعًا. ويلزم أيضًا سد الفجوة بين أنظمة الأمن السيبراني وإدارة الحوادث لتتمكن المؤسسات من اتخاذ تدابير تحكم استباقية [18].
عرضنا في هذه الورقة مسحًا لأنظمة كشف التسلل المطورة لحماية البنية التحتية الحرجة، استنادًا لبيانات السنوات الخمس الأخيرة. وتستخدم هذه الأنظمة تقنيات تعلم الآلة مكونًا أساسيًا لكشف الهجمات السيبرانية. ورغم التقدم الملموس في أدوات الكشف للتحديد الدقيق للهجمات المعروفة، تبقى تحديات: كشف هجمات اليوم صفر وتحديث النماذج وارتفاع معدلات الإيجابيات الكاذبة. ويُبرز هذا العمل نقاط قوة وضعف (1) تعلم الآلة المستخدم لتحسين أمن البنية الحرجة السيبراني، و(2) مجموعات بيانات الأمن السيبراني، و(3) متطلبات أمن البنية الحرجة، ليكون نقطة انطلاق للدراسات المقبلة.
حماية البنية التحتية الحرجة شاغل للأمن القومي [1]، وتعتمد نماذج أمنها السيبراني على تقريبات تقليدية بحلول أمنية مستقلة [98]. ويحقق التعلم الخاضع للإشراف نتائج إيجابية على الهجمات المعروفة لكنه يتعثر مع اليوم صفر؛ ويكشف التعلم غير الخاضع للإشراف الهجمات المجهولة أفضل لكن بنتائج أضعف على المعروفة؛ ويعالج التعلم التعزيزي مشكلات الدفاع السيبراني عالية الأبعاد [8]، بينما تُختبر المتعلمات الفوقية والشبكات العصبية الاصطناعية. وينبغي أن تركز الأبحاث المستقبلية على تحسين هذه التحديات المحددة — كشف اليوم صفر والتحديث والإيجابيات الكاذبة — إلى جانب مجموعات بيانات بنية حرجة أدق وأساليب مقارنة معيارية لتعلم الآلة ودمج أوثق بين أنظمة الأمن السيبراني وإدارة الحوادث.
Industrial control systems (ICSs), supervisory control and data acquisition (SCADA) systems, and distributed control systems (DCSs) are fundamental components of critical infrastructure (CI). CI supports the operation of transportation and health systems, electric and thermal plants, and water treatment facilities, among others. These infrastructures are not insulated anymore, and their connection to fourth industrial revolution technologies has expanded the attack surface. Thus, their protection has become a priority for national security. Cyber-attacks have become more sophisticated and criminals are able to surpass conventional security systems; therefore, attack detection has become a challenging area. Defensive technologies such as intrusion detection systems (IDSs) are a fundamental part of security systems to protect CI. IDSs have incorporated machine learning (ML) techniques that can deal with broader kinds of threats. Nevertheless, the detection of zero-day attacks and having technological resources to implement purposed solutions in the real world are concerns for CI operators. This survey aims to provide a compilation of the state of the art of IDSs that have used ML algorithms to protect CI. It also analyzes the security dataset used to train ML models. Finally, it presents some of the most relevant pieces of research on these topics that have been developed in the last five years.
Modern society depends on sophisticated infrastructures (cyber and physical) to carry out its day-to-day activities. These infrastructures are classified as critical assets to protect services not only in the physical but also in the digital world. Their protection has become a national security concern [1]. ICSs have exponentially evolved over the last few decades. New technologies from the fourth industrial revolution have increased efficiency while saving resources, but the connection of ICSs to the internet and the incorporation of protocols such as TCP/IP have expanded the attack surface and made CI vulnerable to a wider range of attacks [2]. In particular, the incorporation of the industrial internet of things (IIoT) to connect devices at industrial level, such as sensors and actuators, has increased cybersecurity risks [3]. Technologies incorporating machine learning (ML) have become must-haves in identifying cyber-attacks, since ML can identify patterns, outliers, or anomalies connected to particular attacks [4] — yet cybersecurity measures remain weak at identifying zero-day attacks exploiting undisclosed vulnerabilities [5,6].
ML as part of intrusion detection systems has had positive results with different kinds of learning, including supervised, unsupervised, and reinforcement learning [5,7,8]. Supervised learning identifies well-known attacks with high accuracy and low false positives, though mostly tested on outdated datasets unrepresentative of real scenarios, questioning generalization to unknown attacks. Unsupervised learning performs better on zero-day attacks through clustering or association, but false positives increase significantly [9,10]. Reinforcement learning, the most recent type, can handle cybersecurity threat complexity given sufficient learning time [8]. Complex techniques — meta learning, layered models, artificial and deep neural networks — are leading to better results.
This paper reviews the most remarkable research developed in the IDS field, specifically IDSs enhancing CI cybersecurity with ML-based solutions (Table 1), noting that CI characteristics do not normally coincide with IT networks. The work identifies key aspects of intrusion detection in industrial systems and discusses development challenges. Although some surveys cover ML applied to IDSs, they tend to neglect applications in industrial networks; this survey also helps establish the most up-to-date IDSs for CI.
The main objective of our research was to perform a systematic review of IDSs to improve the cybersecurity level of CI through ML techniques. The review covered the last five years. Additionally, there are two specific objectives: synthesize and analyze the most representative research works conducted to develop IDSs for industrial systems through ML techniques; and generate a discussion and a critical evaluation of the existing foundation of knowledge in developing IDSs using ML techniques for CI protection.
To ensure a systematic and representative review of IDSs using ML in CI, the literature review adapts the eight-step methodology of Tavares, Scavarda, and Scavarda (2016) [16]: planning and formulating the problem, searching the literature, data gathering, quality evaluation, data analysis and synthesis, interpretation, presenting results, and updating the review.
Following this methodology, keyword combinations (IDS, NID, anomaly/method/signature/hybrid detection, ML, AI, deep learning, CI, ICS, SCADA) were searched in Scopus (Table 2). From more than 30,000 initial results, successive filters — keywords, last five years (2018–2022), article/conference/review/short-survey type, English or Spanish language, CI/IDS/ML focus, and abstract analysis — reduced the set from 1396 to 1192, 1091, 1079, 300, and 166 documents; deep analysis then selected 98 documents positively contributing to the survey (some incorporating older cybersecurity dataset or concept sources).
Critical infrastructure concepts differ by source [17]; this study focuses on the characteristics making CI an infrastructure that must be secured, structured around the ICS Purdue Model architecture (Figure 1) with its hierarchical levels from physical processes through control networks to enterprise systems. ML techniques used in IDSs to protect CI span supervised, unsupervised, and reinforcement paradigms (Figure 2), with supervised learning producing strong accuracy on known attacks but struggling on zero-days, unsupervised learning better at novel attacks at the cost of false positives, and reinforcement learning suited to real-time adversarial settings.
IDSs classify by scope — host-based versus network-based — and by methodology — signature-based, anomaly-based, rule-based, and hybrid (Table 3) [31]. Signature-based IDSs use ML to detect previously learned signatures with excellent results on known attacks but fail when small attack modifications change signatures [5]; anomaly-based IDSs model normal network behavior and flag deviations, detecting unknown and zero-day attacks at the price of considerably higher false positive rates, since abnormal behavior (e.g., a plastic bag blocking a hydroelectric sensor) is not always an attack. Hybrid approaches mix both potentials but yield complex, hard-to-implement systems [7,31,34,69]. ML has become one of the most useful CI cybersecurity methods through its capacity to manage enormous data volumes and detect anomalies, patterns, and outliers [29,30], though models depend on dataset quality, require periodic updating, and were often tested on inadequate datasets [5,32].
The most popular IDS test dataset remains KDD-99 [33–35] (originating from 1990s corrections to CUP-99 redundancy and class bias), later refreshed as NSL-KDD (2009) — now over a decade old in a field where threats mutate steadily. In one comparison, 26 of 65 articles used KDD-99, 18 used NSL-KDD, 9 used KDD-CUP 99, and only two used customized datasets [5], and no reliable dataset represents both common and novel attacks [37], with dataset differences limiting evaluation methods [38]. Institutions and laboratories have released many additional datasets (Table 4: LBNL 2005 through NF-ToN-IoT and NF-UQ-NIDS 2022 [38–55], including SWaT 2019 [53]) — yet they are often outdated, not freely available, log-homogeneous, or incompletely documented [39], though still useful for testing new hypotheses.
ML classifiers aid security systems in four ways: decision trees finding accurate rule sets for traffic classification; k-nearest neighbors learning patterns from new traffic to classify zero-days as unseen classes; support vector machines; and artificial neural networks adapting to new communications, learning from incidents without full retraining, and adjusting neuron weights to unseen attacks [28]. All share dependence on dataset quality, supervised learning, and periodic updating. The fourth industrial revolution's IIoT expansion has exponentially increased diverse CI data [8], while SCADA TCP/IP adoption widened the attack surface [5,32]; expert labeling cannot keep pace with attacker innovation and real-time traffic growth [28], and unbalanced, noisy, incomplete CI traffic patterns are hard to recognize [71] — making unsupervised learning (hidden indicators via clustering [31,60]) and reinforcement learning (closest to human learning, strong in real-time adversarial scenarios [8]) increasingly adept.
Typical security solutions miss vulnerabilities merging IT and physical interaction [72,73]; CI-oriented IDSs need specific characteristics: (1) continuous ICS operation that cannot pause long for security management with mandatory top availability; (2) lower jitter/delay than IT networks; (3) priority security for sensors, actuators, and PLCs driving physical processes [1]; (4) containment of attacks that could scale into economic, social, political, or human-life consequences [19]; and (5) stable traffic with specification-dependent payloads over industrial protocols [74]. Detailed ML algorithm treatments appear in Figure 2, with supervised learning most frequent and strong on accuracy — though cross-result comparison is hampered by differing measures, datasets, and algorithms, and even perfect AUC scores [60] cannot optimize specific error types, motivating complex metrics such as the Matthews correlation coefficient.
Although anomaly detection results look promising, most testing used datasets unrepresentative of past or present CI network threats, questioning real-world generalization; accurate characterization of CI network data is needed for both network- and host-based IDS training, and developing more accurate datasets remains an open research area. Comparing with previous works is challenging (Tables 5–6): different datasets, techniques, and metrics — sometimes accuracy alone [30,72], already known to be insufficient for ML models — plus missing replication details and undetermined detection times in ICS contexts make model comparison itself an encouraging research area. There is also a need to close the gap between cybersecurity systems and incident management so organizations can take proactive control measures [18].
In this paper, we have presented a survey on IDSs developed for CI protection, based on data from the last five years. These IDSs use ML techniques as a principal component to detect cyber-attacks. Although there are meaningful advances in detection tools for accurate identification of known attacks, challenges remain: zero-day attack detection, model updating, and high false positive rates. This work highlights the strengths and weaknesses of (1) the ML used to improve CI cybersecurity, (2) the cybersecurity datasets, and (3) CI security requirements, serving as a starting point for forthcoming studies.
The protection of CI is a national security concern [1], and its cybersecurity models depend on traditional approximations using standalone security solutions [98]. Supervised learning produces positive results on well-known attacks but struggles with zero-days; unsupervised learning detects unknown attacks better but with weaker known-attack results; reinforcement learning addresses high-dimensional cyber defense problems [8], while meta-learners and artificial neural networks are being tested. Future research should improve these identified challenges — zero-day detection, updating, and false positives — alongside more accurate CI datasets, standardized ML comparison methods, and tighter integration of cybersecurity systems with incident management.