تتسم بيئات الأمن الغذائي الإلكتروني والبيئات الصناعية والصناعات المرتبطة بالاستدامة بسرية عالية وحاجة ملحة لتحليل حركة الشبكة للحصول على معلومات أمنية مناسبة لتجنب الهجمات من أي مكان في العالم. وأدى دمج التقنيات المتطورة مثل إنترنت الأشياء (IoT) إلى زيادة تدريجية في عدد الثغرات القابلة للاستغلال في أنظمة الإشراف والتحكم وجمع البيانات (سكادا). نقدم في هذا البحث نظام كشف تسلل شبكي لشبكات سكادا قائمًا على التعلم العميق. ويهدف النظام إلى الدفاع عن أنظمة التحكم الصناعية (ICSs) ضد الهجمات الشبكية التقليدية وتلك الخاصة بسكادا. وتُعرض في الورقة تقييم تجريبي لعدد من تقنيات التصنيف منها الجيران الأقرب (KNN)، والتحليل التمييزي الخطي (LDA)، والغابة العشوائية (RF)، والشبكة العصبية الالتفافية (CNN)، ووحدة التكرار المبوبة المدمجة (GRU). واختُبرت الخوارزميات المقترحة على نظام تحكم صناعي حقيقي (سكادا) معروف بمجموعتي بيانات WUSTL-IIoT-2018 وWUSTL-IIoT-2021. وتُظهر النتائج التجريبية، باستخدام مجموعات بيانات واقعية لحركة سكادا، أن النهج المقترح القائم على تعلم الآلة والتعلم العميق مناسب تمامًا لكشف التسلل الشبكي في أنظمة سكادا، محققًا دقة كشف عالية وقدرة على التعامل مع التهديدات الناشئة حديثًا. وكان أداء الدقة لخوارزميتي KNN وRF متفوقًا وحقق درجة شبه مثالية 99.99%، بينما سجل نموذج CNN-GRU دقة 99.98% باستخدام WUSTL-IIoT-2018. وحققت خوارزميتا RF وGRU أكثر من 99.75% باستخدام مجموعة WUSTL-IIoT-2021. إضافة إلى ذلك، طُورت طريقة تحليل إحصائي للتنبؤ بالخطأ بين القيم المستهدفة والقيم المتنبأة. ووفق نتائج التحليل الإحصائي، نجحت نُهج KNN وRF وCNN-GRU في تحقيق R2 أكبر من 99%.
يُستخدم مصطلح التحكم للإشارة إلى المكونات الفيزيائية وبرامج الحاسوب التي تشكل جزءًا من نظام التحكم والأتمتة الصناعي (ICACS). ومن أهم مكونات نظام التحكم الصناعي واجهات الإنسان والآلة (HMIs)، ووحدات التحكم المنطقية القابلة للبرمجة (PLCs)، ووحدات الأطراف البعيدة (RTUs)، وأنظمة التحكم الموزعة (DCSs). وتُعد أنظمة ICS ضرورية تمامًا للتشغيل السليم للبنى التحتية الحرجة، بما يشمل تقديم خدمات مهمة مثل المياه والكهرباء والاتصالات [1]. وسكادا نوع من ICS يُستخدم في طائفة واسعة من الصناعات لمراقبة عمليات مثل خطوط أنابيب النفط والغاز وتوزيع المياه وشبكات الطاقة الكهربائية والتحكم فيها [8–11]. وفي الماضي اعتمدت هذه الأنظمة على تهيئات شبكية منعزلة ومتخصصة، لكن الإدارة عن بُعد الواسعة تستخدم اليوم شبكات IP مفتوحة، مما يجعل أنظمة سكادا عرضة للهجمات السيبرانية.
بينما طُورت حلول الأمن السيبراني لتقنية المعلومات (IT) وحُسنت منذ زمن، حظي أمن التقنية التشغيلية (OT) باهتمام أقل بكثير. وأنظمة OT أكثر عرضة للهجمات لأن ثقافاتها لا تمنح الأمن السيبراني أولوية. وعلى عكس شبكات IT ذات اللوائح الأمنية الصارمة، تطبق شبكات OT حاليًا سياسات أمنية بشكل عشوائي [14]. وفي تقنية المعلومات التقليدية، أثبتت أنظمة كشف التسلل أداة أمنية موثوقة لكشف الشذوذ، إذ تفحص أنظمة كشف التسلل الشبكية (NIDS) الشبكة كلها بينما تراقب الأنظمة المضيفة (HIDS) مضيفًا واحدًا — لكن أنظمة IT لا يمكنها ببساطة توفير درجة الحماية المطلوبة في البيئات الصناعية، حيث قد يعرض الانهيار الأرواح للخطر أو يضر بالبيئة أو يخفض الإنتاج [15].
لكشف اختراقات سكادا، يستدعي الإجراء المعياري نظام كشف تسلل قائمًا على البصمات مثل Snort، الذي يحدد أنماط حركة غير عادية لاستخدامها كقواعد سياسات؛ غير أن الحلول القائمة على البصمات لا تستطيع التعرف على تهديدات اليوم صفر [16]. أما النهج القائم على الشذوذ فيؤسس إجراء تشغيليًا معياريًا ويكشف الهجمات بفحص كمي للتغيرات السلوكية، مما يتيح اكتشاف مخاطر اليوم صفر لأن نظام الكشف يتعلم نمط السلوك المعتاد في الظروف العادية [17،18]. وطُورت أساليب كثيرة لكشف المخالفات في ICSs [19]، وبفضل كفاءتها الحسابية، تُطبق تقنيات تعلم الآلة — ومنها آلات المتجهات الداعمة والجيران الأقرب وأشجار القرار — على نطاق واسع في مهام التصنيف والتجميع والانحدار [20،21].
أظهرت أبحاث أن أنظمة SIEM (إدارة معلومات الأحداث الأمنية) يمكن استخدامها في بيئات ICS/سكادا، ببنى قابلة للتوسع لا مركزية تُستخدم لتحليل حالة النظام من مصادر عدة [25،26]، بينما تُعد حماية ICS/سكادا من التهديدات السيبرانية حرجة لتجنب الأخطار المحتملة [27]. ودُرس كشف إساءة الاستخدام القائم على البصمات المبني بنُهج تعلم آلة متنوعة دراسة شاملة [28،29]، وفُحصت مصائد التسلل (honeypots) التي تحاكي وظائف الشبكة الذكية الحرجة لتحديد الوصول غير المشروع [30]. وتركز الأبحاث الحالية على منهجيات مبتكرة تستخدم البيانات الضخمة وتعلم الآلة/التعلم العميق؛ ونستعرض هنا أعمالًا بارزة في كشف الشذوذ في السياقات الصناعية باستخدام تعلم الآلة والتعلم العميق.
تستخدم أبحاث ICS الجامعية عادة مجموعات بيانات عامة، لكن تبرز عدة مشكلات: بعض البنى لا تقبل إلا مكونات قائمة على Modbus/TCP [31]؛ وبعض قواعد البيانات بُنيت من بيانات اختبار إلكتروني محدودة جدًا [32] أو تتجاهل التهديدات المعاصرة [33]؛ واحتوت مجموعة بيانات على حادثة واحدة بجودة متدنية جدًا [34]؛ وأخرى قديمة أو مرتبطة بتقنية المعلومات [35]. وتوفر منصة تنقية المياه في جامعة سنغافورة للتكنولوجيا [36] حركة شبكة سكادا مع سيناريوهات هجوم ذات صلة بمعالجة المياه، وتدعم مجموعات البيانات الفورية الحديثة تدريب تعلم الآلة بهجمات شائعة وعشرات الهجمات الأخرى — رغم استخدام تقنيات تعلم آلة خاضعة للإشراف فقط للتقييم وبقاء الإيجابيات الكاذبة كبيرة [37]. وتشترط جودة مجموعة البيانات نتائج تعلم الآلة بشدة، بينما تُعشوَن الهجمات وتُعامَل عمدًا لمحاكاة الظروف التشغيلية [38]. وتُظهر دراسات أنظمة الطاقة المحاكاة [39] والحماية الخاضعة للإشراف الواعية بالعملية [40] وتقييم أمن الشبكات شبه الآلي [41] وتقييم مخاطر سكادا [42] أنه رغم انتشار تعلم الآلة، تفتقر مجموعات البيانات المعيارية للتدريب والاختبار، مما يعيق نماذج كشف الشذوذ الموثوقة.
تُبلغ الأدبيات إضافةً عن نُهج عميقة وغير خاضعة للإشراف متنوعة: آلات المتجهات الداعمة والشبكات العصبية العميقة لشذوذات السلاسل الزمنية [43]؛ والمشفرات الذاتية وشبكات CNN أحادية البعد مع استخراج سمات قائم على تحويل فورييه المتقطع [44]؛ وكشف القيم الشاذة المتدفقة بمشغلات تحديث ونمو شجري [45]؛ والعنقدة بمسافات داخل العناقيد وبينها [46]؛ والمشفرات الذاتية المكدسة المزيلة للضجيج على تدفقات الشبكة الحية [47]. ونُمذجت الملامح الطبيعية من حركة شبكة ICS [48–50]، ونماذج ماركوف المخفية لتبادل الحزم بين الأجهزة [51]، وتعلم معاملات Modbus/TCP من رسائل الطلب [52]، واختيار السمات المستوحى حيويًا مع مصنفات عميقة [53–57]، ومنها هجائن تحسين الذئب الرمادي الموسعة هنا لكشف هجمات الجلب في إنترنت الأشياء.
نظام ICS الحديث نظام معقد من المكونات والتقنيات التي تراقب العمليات الفيزيائية وتتحكم فيها، وتضمن التقنية التشغيلية التوافر والسلامة في صميمه بينما تُطبق تقنية المعلومات لتحقيق وظائف النظام الكلية — مما يجعل الأمن القائم على التعلم والقادر على معالجة عدم التجانس ضروريًا، كما هو موضح في إطار الأمن السيبراني لسكادا القائم على الذكاء الاصطناعي (الشكل 2). وتستخدم الدراسة مجموعتي بيانات. بُنيت مجموعة WUSTL-IIoT-2018 على منصة اختبار سكادا واقعية للمؤلفين [3] مع التركيز على هجمات الاستطلاع عبر أدوات مسح الشبكة، وتضم 1,048,575 صفًا وست سمات (Sport وTotPkts وTotBytes وSrcPkts وDstPkts وSrcBytes؛ الجدول 1 والشكل 3). وتجمع مجموعة WUSTL-IIoT-2021 بيانات شبكة إنترنت الأشياء الصناعية على مدى 53 ساعة تقريبًا (2.7 غيغابايت خام، ومجموعة فرعية منظفة تتجاوز 400 ميغابايت) وتضم 1,194,464 مشاهدة و41 سمة و87,016 عينة هجوم و1,107,448 عينة طبيعية (الجدول 2)، مدعومة بتحليل ارتباط السمات (الشكل 4).
قبل أي تطبيق لتعلم الآلة/التعلم العميق، تزيل المعالجة المسبقة البيانات غير المرغوبة وتحولها وتقيّسها وتحذف المدخلات الخاطئة (الشكل 5). ويحوّل الترميز الأحادي الفئات التصنيفية (طبيعي مقابل هجوم)، ويعيّن التطبيع min-max كل سمة إلى [0,1] عبر المعادلة (1)، مع فرز المدخلات المقارنة ذات السمات المتشابهة في الفئة نفسها ليكتشف الخوارزم الأنماط الخفية للتنبؤ بالاختبار.
تُستخدم الأسس النظرية لخمسة مصنفات. يخفض التحليل التمييزي الخطي (LDA) الأبعاد كخطوة معالجة مسبقة لتجنب لعنة الأبعاد، فاصلًا خطيًا بين الحزم الطبيعية والشاذة (الشكل 6). وخوارزمية الجيران الأقرب (KNN بقيمة K=5 ومسافة إقليدية، المعادلة 2) متعلم قائم على الحالات غير معلمي يصنف المجموعات الجديدة بتصويت الأغلبية. وتبني الغابة العشوائية (RF) أشجار قرار لكل عينة وتصوت عبر التنبؤات. وتوفر وحدات التكرار المبوبة (GRU؛ المعادلات 3–5 ببوابتي إعادة الضبط والتحديث) بديلًا أبسط بأقل معاملات من LSTM يمنع النسيان أثناء التعلم. ويدمج نموذج CNN-GRU المقترح قوتيهما في ثلاث مراحل — معالجة تطبيع مسبقة، وكتلة التفافية (32 مرشحًا بحجم 5) مع تجميع متوسط/أقصى للسمات المكانية plus وحدات GRU (10 كتل تكرارية) للسمات الزمنية، وتصنيف Softmax على مجموعة الاختبار (الشكلان 8–9).
يتمحور تقييم النماذج حول الدقة والضبط والاستدعاء ودرجة F1، إضافة لمقاييس الخطأ MSE وRMSE ومعامل ارتباط Pearson (R) وR2 (المعادلات 6–13). وأُجريت التجارب على جهاز Windows بمعمارية 64 بت (Intel Core i7 بسرعة 2.80 غيغاهرتز وذاكرة 8 غيغابايت) مع Anaconda Python وTensorFlow لنماذج CNN/GRU وSklearn لتعلم الآلة، باستخدام تقسيم 80/20 للتدريب والاختبار مع أحجام اختبار متناسبة مع كل مجموعة بيانات ومعاملات CNN/GRU: 20 حقبة ومعدل تعلم 0.001 ومحسّن Adam و128 طبقة (الجدول 3).
حقق نموذج LDA دقة 93.11% وضبطًا 94% واستدعاءً 93% ودرجة F1 بلغت 93% على WUSTL-IIoT-2018، ودقة 95% على WUSTL-IIoT-2021 (الجدول 4 والشكلان 10–11)، رغم ارتفاع الإيجابيات الكاذبة (1464 و5544 على التوالي). وسجل نهج KNN (بقيمة K=5 ومسافة إقليدية) دقة 99.99% على WUSTL-IIoT-2018 و100% على WUSTL-IIoT-2021 مع ضبط واستدعاء وF1 عند 100%/99% (الجدول 5 والشكلان 12–13) وبأقل من ثلاث إيجابيات/سلبيات كاذبة. وحققت طريقة RF أيضًا 99.99% على WUSTL-IIoT-2018 و100% على WUSTL-IIoT-2021 عبر جميع المقاييس (الجدول 6 والشكلان 14–15).
وفي التعلم العميق، بلغت GRU وحدها دقة 99.93% (استدعاء/ضبط/F1 بنسبة 99.95%) على WUSTL-IIoT-2018، بينما حقق الدمج CNN-GRU نسبة 99.98% عبر الدقة والاستدعاء والضبط وF1؛ وعلى WUSTL-IIoT-2021 تفوقت GRU على الدمج (دقة 99.75%؛ الجدول 7). ولم يغير تنويع الكتل التكرارية من 10 إلى 120 النتائج كثيرًا مع زيادة زمن التدريب، فاعتُمدت 10 كتل GRU مع 32 مرشح CNN (بحجم 5) ومحسّن Adam (0.0001/0.001). وأكد تحليل الخطأ الإحصائي (MSE وRMSE وR2) ضآلة أخطاء التنبؤ لنماذج KNN (MSE بقيمة 1.9073×10−5) وRF (3.1789×10−6) وCNN-GRU، مع R2 فوق 99% (منحنيات ROC في الشكل 20).
ومقابل نماذج IDS المتقدمة على مجموعات سكادا (الجدول 9 والشكل 21)، تفوقت RF المقترحة (99.98% بزمن 62.20 ثانية) وCNN-GRU (100% بزمن 32.15 ثانية) على DNN [53] (98.25% بزمن 214 ثانية) وRNN [54] (93.03%) وMLP [55] (81.02%) وDNN [68] (98.29% بزمن 600 ثانية) وRF [67] (99.9% بتكلفة زمنية عالية جدًا) — وهي أعلى دقة متاحة حاليًا بتكلفة زمنية أقل. ويشير تحليل الاستقرار إلى أن خوارزميات الذكاء الاصطناعي المتينة والتعلم المستمر من الخبرة والتحديثات المنتظمة وترقيع الثغرات ومراقبة الحركة تحافظ على الأداء رغم تغير البيئة؛ غير أن أنظمة كشف التسلل القائمة على الذكاء الاصطناعي تتطلب حوسبة كبيرة، إذ يرفع عمق CNN/RNN التعقيد، وهو قابل للتحسين بخوارزميات فعالة ومسرّعات GPU/FPGA.
تتمحور تحديات التنفيذ حول معالجة البيانات — إذ تولد أنظمة سكادا أحجام بيانات ضخمة تتطلب التنظيف والتطبيع والتحويل — إضافة لمتطلبات المعالجة الفورية وصعوبات الدمج الناتجة عن اختلاف البروتوكولات ومعايير الاتصال والعتاد. وعمومًا، تؤكد النتائج ضرورة الجمع بين استراتيجيات تعلم الآلة والتعلم العميق لحلول هجمات ICS، مع نجاح KNN وRF وCNN-GRU في التعامل مع التهديدات المجهولة سابقًا في بيئات ICS.
يعني استقرار النظام وسط تعقيد سكادا الحفاظ على الأداء والدقة رغم تغير البيئة أو هجمات المتسللين، حيث يتحدد التعقيد بعدد المتغيرات والخوارزميات والنماذج. وتعزز تقنيات الذكاء الاصطناعي — تعلم الآلة والتعلم العميق والشبكات العصبية — الاستقرار بالتعلم من الخبرات السابقة، بينما تحافظ تحديثات البرمجيات المنتظمة وترقيع الثغرات ومراقبة الحركة على الاستقرار طويل الأمد.
يجد التحليل المقارن (الجدول 9 والشكل 21) أن الطريقة المقترحة تحقق أعلى دقة متاحة حاليًا: إذ تتفوق RF بنسبة 99.98% وCNN-GRU بنسبة 100% على أسس DNN [53،68] وRNN [54] وMLP [55] وRF [67]. وحسابيًا، يتراوح كشف التسلل في سكادا القائم على الذكاء الاصطناعي من أنظمة بسيطة قائمة على القواعد إلى خوارزميات تعلم آلة تحتاج قدرة معالجة كبيرة؛ وترفع شبكات CNN وRNN التعقيد عبر عدد المعاملات والطبقات لكنها تُظهر نتائج واعدة على هجمات سكادا المعقدة، مع مسرّعات GPU أو FPGA كمحسّنات.
يتمثل تحدي التنفيذ الرئيسي في معالجة البيانات بحجم سكادا، مضافًا إليه متطلبات الكشف الفوري التي تستلزم حوسبة عالية الأداء واحتكاك الدمج مع بروتوكولات سكادا القائمة ومعاييرها وعتادها. وتُظهر دراسة الحالة كيف تعالج الخوارزميات المقترحة الحاجة المعلنة بحماية أنظمة سكادا وإنترنت الأشياء الصناعية من التهديدات الناشئة، مقدمةً أداة قوية لحماية البنية التحتية الحرجة تُبقي المؤسسات متقدمة على المخاطر الأمنية المتطورة.
غالبًا ما تُفحص الأمن السيبراني لحزم شبكة سكادا لكشف هذه الأنواع من الهجمات. وهدف هذا البحث إلى جعل أنظمة سكادا أكثر أمانًا باستخدام أطر تعلم آلة وتعلم عميق متاحة للعموم للحصول على رؤى قابلة للتنفيذ من مجموعتي WUSTL-IIoT-2018 وWUSTL-IIoT-2021، وكان الهدف الرئيسي تصنيف الهجمات على نظام سكادا ضمن منظومة البيانات الضخمة. وتجريبيًا، حققت KNN وRF دقة 99.99% بينما بلغت CNN-GRU نسبة 99.98% على WUSTL-IIoT-2018، وتجاوزت RF وGRU نسبة 99.75% على WUSTL-IIoT-2021؛ وأكد التحليل الإحصائي ضآلة أخطاء التنبؤ لنماذج KNN وRF وCNN-GRU مع R2 فوق 99%. لذا يلزم لحلول هجمات ICS الجمع بين استراتيجيات تعلم الآلة والتعلم العميق ضد الهجمات المتنوعة التي يجب أن تدافع عنها ICS، مما يسلط الضوء على مسارات بحثية جديدة لكشف هجمات ICS بكفاءة وقابلية توسع.
يتمثل قيد هذا البحث في اعتماد أداء كشف التسلل القائم على الذكاء الاصطناعي بشدة على جودة بيانات التدريب وكميتها، بينما يصعب الحصول على مجموعات بيانات سكادا كبيرة ومتنوعة نظرًا لحساسية البيانات؛ وقد تولد هذه الأنظمة إنذارات كاذبة معطلة وغالبًا ما تكون صناديق سوداء يصعب تفسير قراراتها. وفي المستقبل، سنركز على تصميم هجين مدمج يضم عدة خوارزميات، يُتوقع أن يحقق نتائج أدق من أي نموذج مكون، إلى جانب دمج المعرفة الخاصة بالمجال وقدرات المراقبة الفورية التي تمكن الاستجابة في حينها لتهديدات أمن سكادا.
Online food security and industrial environments and sustainability-related industries are highly confidential and in urgent need for network traffic analysis to attain proper security information to avoid attacks from anywhere in the world. The integration of cutting-edge technology such as the Internet of Things (IoT) has resulted in a gradual increase in the number of vulnerabilities that may be exploited in supervisory control and data acquisition (SCADA) systems. In this research, we present a network intrusion detection system for SCADA networks that is based on deep learning. The goal of this system is to defend industrial control systems (ICSs) against network-based assaults that are both conventional and SCADA-specific. An empirical evaluation of a number of classification techniques including k-nearest neighbors (KNN), linear discriminant analysis (LDA), random forest (RF), convolution neural network (CNN), and integrated gated recurrent unit (GRU) is reported in this paper. The suggested algorithms were tested on a genuine industrial control system (SCADA), known as the WUSTL-IIoT-2018 and WUSTL-IIoT-2021 datasets. The empirical results, using realistic SCADA traffic datasets, show that the proposed machine learning and deep-learning-based approach is well-suited for network intrusion detection in SCADA systems, achieving high detection accuracy and providing the capability to handle newly emerging threats. The accuracy performance attained by the KNN and RF algorithms was superior and achieved a near-perfect score of 99.99%, whereas the CNN-GRU model scored an accuracy of 99.98% using WUSTL-IIoT-2018. The RF and GRU algorithms achieved more than 99.75% using the WUSTL-IIoT-2021 dataset. In addition, a statistical analysis method was developed in order to anticipate the error that exists between the target values and the prediction values. According to the findings of the statistical analysis, the KNN, RF, and CNN-GRU approaches were successful in achieving an R2 greater than 99%.
The term control is used to refer to both the physical components and the computer programs that are part of an industrial control and automation control system (ICACS). Among the most important components of an industrial control system are human–machine interfaces (HMIs), programmable logic controllers (PLCs), remote terminal units (RTUs), and distributed control systems (DCSs). ICSs are absolutely necessary for the proper operation of critical infrastructures, which includes the provision of important services such as water, electricity, and communications [1]. SCADA is a type of ICS utilized in a wide variety of industries for monitoring and controlling operations such as oil and gas pipelines, water distribution, and electrical power grids [8–11]. In the past such systems depended on solitary and specialized network configurations, but extensive remote management now uses open IP networks, rendering SCADA systems vulnerable to cyberspace assaults.
While cybersecurity solutions for information technology (IT) have been created and improved for some time, operational technology (OT) cybersecurity has received far less attention. OT systems are more susceptible to assaults because their cultures do not prioritize cybersecurity. In contrast to IT networks with stringent security regulations, OT networks presently apply security policies in a haphazard manner [14]. When it comes to traditional IT, IDSs have proven a reliable security tool for detecting anomalies, and network intrusion detection systems (NIDS) scan the whole network while host-based systems (HIDS) monitor a single host — yet IT systems simply cannot offer the degree of protection required in industrial settings, where a breakdown could endanger people, harm the environment, or decrease production [15].
For SCADA breach detection, the standard procedure calls for a signature-based IDS such as Snort, which identifies unusual traffic patterns for use as policy rules; however, signature-based solutions cannot recognize zero-day threats [16]. The anomaly-based approach instead establishes a standard operating procedure and detects assaults by quantitatively examining behavioral changes, enabling discovery of zero-day dangers since the IDS learns the typical behavior pattern under regular conditions [17,18]. Many methods have been developed for detecting irregularities in ICSs [19], and owing to their computational efficiency, machine learning techniques — including support vector machines, k-nearest neighbors, and decision trees — are widely applied across classification, grouping, and regression tasks [20,21].
Research has shown that SIEM (security information and event management) systems can be used in ICS/SCADA environments, with decentralized scalable structures already used to analyze system state from several sources [25,26], while protecting ICS/SCADA from cyber threats is recognized as critical to avoid potential dangers [27]. Signature-based abuse detection built with various ML approaches has been comprehensively studied [28,29], and honeypots mimicking critical smart grid functions have been examined for identifying illegal access [30]. Current research focuses on innovative methodologies using big data and ML/DL; here we survey prominent works on anomaly detection in industrial contexts using ML and DL.
University ICS research commonly uses public datasets, but several issues arise: some architectures admit only Modbus/TCP-based components [31]; some databases were built from very limited online testing data [32] or ignore contemporary threats [33]; one dataset contained a single incidence of very low quality [34]; others are outdated or IT-linked [35]. The Singapore University of Technology water purification testbed [36] provides SCADA network traffic with attack scenarios relevant to water treatment, and recent real-time datasets support ML training with common plus dozens of other cyberattacks — though only supervised ML techniques were used for evaluation and false positives remain significant [37]. Dataset quality heavily conditions ML results, while attacks are deliberately randomized and parameterized to simulate operational conditions [38]. Studies of simulated power systems [39], process-aware supervised protection [40], semi-automated network security assessment [41], and SCADA risk evaluation [42] further show that despite widespread ML use, standardized datasets for training and testing remain lacking, hindering trustworthy anomaly detection models.
The literature additionally reports diverse unsupervised and deep approaches: SVM and DNN for time-series anomalies [43]; autoencoders and 1D CNNs with DFT-based feature extraction [44]; streaming outlier detection with update triggers and tree growth [45]; clustering with intra/inter-cluster distances [46]; and stacked denoising autoencoders on live network streams [47]. Normal profiles have been modeled from ICS network traffic [48–50], Hidden Markov models for device packet exchange [51], Modbus/TCP transaction learning from request messages [52], and bio-inspired feature selection with deep classifiers [53–57], including Gray Wolf Optimization hybrids extended here to fetch-attack detection in IoT.
A modern ICS is a complex system of components and technologies monitoring and controlling physical processes, with OT ensuring availability and safety at its core and IT implemented to fulfill overall system functions — making learning-based security capable of handling heterogeneity necessary, as sketched in the AI-based SCADA cybersecurity framework (Figure 2). The study uses two datasets. The WUSTL-IIoT-2018 dataset was built on the authors' realistic SCADA testbed [3] emphasizing reconnaissance attacks via network scan tools, with 1,048,575 rows and six features (Sport, TotPkts, TotBytes, SrcPkts, DstPkts, SrcBytes; Table 1, Figure 3). The WUSTL-IIoT-2021 dataset collects IIoT network data over about 53 h (2.7 GB raw, cleaned subset over 400 MB) with 1,194,464 observations, 41 features, 87,016 attack samples, and 1,107,448 normal samples (Table 2), supported by feature correlation analysis (Figure 4).
Before any ML/DL application, preprocessing eliminates unwanted data, converts, scales, and deletes erroneous entries (Figure 5). One-hot encoding converts categorical classes (normal vs. attack), and min-max normalization maps each feature to [0,1] via Equation (1), with compared inputs of similar attributes sorted into the same category so the algorithm discovers hidden patterns for test predictions.
The theoretical underpinnings of five classifiers are employed. Linear discriminant analysis (LDA) reduces dimensionality as a preprocessing step to avoid the curse of dimensionality, linearly separating normal and abnormal packets (Figure 6). k-nearest neighbors (KNN, K=5, Euclidean distance, Equation 2) is a non-parametric instance-based learner classifying new tuples by majority vote. Random forest (RF) builds decision trees per sample and votes across forecasts. Gated recurrent units (GRU; Equations 3–5 with reset and update gates) offer a simpler, fewer-parameter alternative to LSTM that prevents forgetting during learning. The proposed CNN-GRU model fuses both strengths in three stages — normalization preprocessing, a convolutional block (32 filters of size 5) with average/max pooling for spatial features plus GRU units (10 recurrent blocks) for temporal features, and Softmax classification on the test set (Figures 8–9).
Model evaluation centers on precision, accuracy, recall, and F1-score, plus error metrics MSE, RMSE, Pearson correlation R, and R2 (Equations 6–13). Experiments ran on a 64-bit Windows machine (Intel Core i7 2.80 GHz, 8 GB RAM) with Anaconda Python, TensorFlow for CNN/GRU, and Sklearn for ML, using an 80/20 training/testing split with test sizes proportional to each dataset and CNN/GRU hyperparameters of 20 epochs, 0.001 learning rate, Adam optimizer, and 128 layers (Table 3).
The LDA model achieved 93.11% accuracy, 94% precision, 93% recall, and 93% F1 on WUSTL-IIoT-2018, and 95% accuracy on WUSTL-IIoT-2021 (Table 4, Figures 10–11), though false positives were high (1464 and 5544 respectively). The KNN approach (K=5, Euclidean) scored 99.99% accuracy on WUSTL-IIoT-2018 and 100% on WUSTL-IIoT-2021 with precision, recall, and F1 at 100%/99% (Table 5, Figures 12–13) and fewer than three false positives/negatives. The RF method likewise achieved 99.99% on WUSTL-IIoT-2018 and 100% on WUSTL-IIoT-2021 across all metrics (Table 6, Figures 14–15).
For deep learning, GRU alone reached 99.93% accuracy (99.95% recall/precision/F1) on WUSTL-IIoT-2018, while the fused CNN-GRU achieved 99.98% across accuracy, recall, precision, and F1; on WUSTL-IIoT-2021, GRU outperformed the fusion (99.75% accuracy; Table 7). Varying recurrent blocks from 10 to 120 barely changed results while increasing training time, so 10 GRU blocks with 32 CNN filters (size 5) and Adam (0.0001/0.001) were adopted. Statistical error analysis (MSE, RMSE, R2) confirmed minimal prediction errors for KNN (MSE 1.9073×10−5), RF (3.1789×10−6), and CNN-GRU, with R2 above 99% (Figure 20 ROC curves).
Against advanced IDS models on SCADA datasets (Table 9, Figure 21), the proposed RF (99.98%, 62.20 s) and CNN-GRU (100%, 32.15 s) outperformed DNN [53] (98.25%, 214 s), RNN [54] (93.03%), MLP [55] (81.02%), DNN [68] (98.29%, 600 s), and RF [67] (99.9% with very high time cost) — the highest accuracy now attainable with lower time cost. Stability analysis notes that robust AI algorithms, continual learning from experience, and regular updates, patching, and traffic monitoring sustain performance despite environmental change; however, AI-based IDS demand significant compute, with CNN/RNN depth raising complexity, optimizable via efficient algorithms and GPU/FPGA accelerators.
Implementation challenges center on data processing — SCADA systems generate large data volumes requiring cleaning, normalization, and transformation — plus real-time processing demands and integration difficulties from protocol, communication-standard, and hardware differences. Overall, the results confirm that combining ML and DL strategies is necessary for ICS attack solutions, with KNN, RF, and CNN-GRU successfully handling previously unknown threats in ICS environments.
System stability amid SCADA complexity means maintaining performance and accuracy despite environmental change or intruder attacks, where complexity is set by the number of variables, algorithms, and models. AI techniques — machine learning, deep learning, and neural networks — enhance stability by learning from past experience, while regular software updates, vulnerability patching, and traffic monitoring sustain long-term stability.
Comparative analysis (Table 9, Figure 21) finds the proposed method yields the highest accuracy now attainable: RF at 99.98% and CNN-GRU at 100% surpass DNN [53,68], RNN [54], MLP [55], and RF [67] baselines. Computationally, AI-based SCADA intrusion detection ranges from simple rule-based systems to ML algorithms needing significant processing power; CNNs and RNNs raise complexity through parameter and layer counts yet show promising results on complex SCADA attacks, with GPUs or FPGAs as optimizers.
The main implementation challenge is data processing at SCADA scale, compounded by real-time detection requirements demanding high-performance computing and by integration friction with existing SCADA protocols, standards, and hardware. The case study demonstrates how the proposed algorithms address the stated need by protecting SCADA IIoT systems from emerging threats, offering a powerful tool for critical infrastructure protection that keeps organizations ahead of evolving security risks.
The cybersecurity of SCADA network packets is often examined to detect these types of attacks. This research aimed to make SCADA systems safer using publicly accessible machine learning and deep learning frameworks to obtain actionable insights from the WUSTL-IIoT-2018 and WUSTL-IIoT-2021 datasets, with the main goal of classifying assaults against a SCADA system within a big data ecosystem. Empirically, KNN and RF achieved 99.99% accuracy while CNN-GRU reached 99.98% on WUSTL-IIoT-2018, and RF and GRU exceeded 99.75% on WUSTL-IIoT-2021; statistical analysis confirmed considerably lower prediction errors for KNN, RF, and CNN-GRU with R2 above 99%. It is therefore necessary for ICS attack solutions to combine machine learning and deep learning strategies against the diverse attacks ICS must defend against, shedding light on new research avenues for efficient and scalable ICS attack detection.
The limitation of this research is that AI-based intrusion detection performance heavily relies on the quality and quantity of training data, yet obtaining large diverse SCADA datasets is challenging given data sensitivity; such systems may generate disruptive false alarms and are often black boxes whose decisions are difficult to interpret. In the future, we will concentrate on a combined hybrid design incorporating several algorithms, expected to yield more precise findings than any component model, alongside domain-specific knowledge integration and real-time monitoring capabilities enabling timely responses to SCADA security threats.