ثمة حاجة إلى أنظمة كشف تسلل (IDS) مخصصة لتأمين أنظمة التحكم الإشرافي وتحصيل البيانات (سكادا) الحديثة، نظرًا لبنيتها ومتطلبات الزمن الحقيقي الصارمة وسمات حركة الشبكة وبروتوكولات طبقة التطبيق الخاصة. تهدف هذه المقالة إلى الإسهام في تقييم الوضع الراهن وتحديد القضايا المفتوحة وتقديم رؤية لمجالات الدراسة المستقبلية. ولتحقيق هذه الأهداف نبدأ من العوامل المؤثرة في تصميم أنظمة كشف تسلل مخصصة في شبكات سكادا ونركز على حلول كشف التسلل القائمة على الشبكة (NIDS). ونقترح منهجية تقييم منظمة تشمل أساليب الكشف والبروتوكولات المحمية وأدوات التنفيذ وبيئات الاختبار وأداء النظام. ويُخصَّص اهتمام خاص لتقييم نضج التنفيذ وقابلية تطبيق كل حل ممسوح في بيئة إنترنت المستقبل (Future Internet). وبناءً على ذلك نقدم وصفًا وتقييمًا موجزًا لـ26 ورقة بحثية مختارة منشورة بين 2015 و2019. تُظهر نتائج تحليلنا تقدمًا ملحوظًا في تطوير أساليب الكشف القائمة على تعلم الآلة ومنصات التنفيذ، وإلى حد ما منصات الاختبار المتطورة. كما نحدد فجوات بحثية ونخلص التحليل بقائمة أهم اتجاهات البحث المستقبلي.
تتحكم أنظمة سكادا في المعدات الصناعية الموزعة جغرافيًا وتراقبها عبر مواقع متعددة، وهي من أكثر أنواع أنظمة التحكم الصناعية (ICS) انتشارًا في قطاعات توليد الطاقة الكهربائية ونقلها وتوزيعها ومصافي النفط وتوزيع الغاز ومعالجة المياه والنقل. وقد تكون لتعطل هذه الأنظمة عواقب وخيمة نظرًا لأهميتها الاستراتيجية للبنى التحتية الحرجة الوطنية. وتطورت أنظمة سكادا من أنظمة الجيل الأول المتجانسة، إلى الجيل الثاني الموزع بتقنيات شبكية مملوكة، إلى أنظمة الجيل الثالث الشبكية بالكامل بتقنيات الإنترنت [1]، بينما تعتمد أجيال الجيل الرابع القادمة إنترنت الأشياء الصناعي (IIoT) وتقنيات إنترنت المستقبل مثل الحوسبة السحابية/الضبابية وتحليلات البيانات الضخمة.
سُجّلت هجمات ناجحة عدة على أنظمة التحكم الصناعية عالميًا في العقود الماضية [2]–[5]، وخلص تقرير SANS لعام 2017 إلى أن حجم التهديدات الخارجية المؤثرة على الأنظمة الحيوية ينمو سنويًا [6]، وركّز تقرير 2019 على تأمين المجال التقني التشغيلي داخل المؤسسات [7]. وبينما بلغت منتجات الأمن في شبكات تقنية المعلومات المؤسسية مستوى عالٍ من النضج، فإن نقل النهج نفسه إلى الشبكات الصناعية ليس مباشرًا، وغالبًا ما يلزم حلول جديدة مصممة لبيئة التحكم. وقد حدد Hurd وMcCarty الأدوات المتاحة للمنع والكشف والتخفيف والتحقيق في بيئة ICS دون تقييم تلك الأدوات أو التحقق من ادعاءات البائعين [8].
تُعرَّف كشف التسلل بأنه عملية مراقبة الأحداث الجارية في نظام حاسوبي أو شبكة وتحليلها بحثًا عن علامات حوادث محتملة [12]. وتُصنَّف تقنيات الكشف تقليديًا حسب الأحداث المرصودة (قائمة على الشبكة NIDS وقائمة على المضيف HIDS) وحسب منهجية التحديد (الكشف بالتوقيعات والشذوذ والمواصفات). وقد اكتسب البحث والتطوير في أنظمة كشف التسلل لشبكات سكادا زخمًا قويًا في العقد الماضي، إذ تستلزم متطلبات الزمن الحقيقي وسلامة البيانات وأنماط الحركة المنتظمة ومجموعة بروتوكولات الاتصالات المحدودة تصميم أنظمة كشف مخصصة متطورة.
تقدم هذه المقالة مقارنة وتقييمًا شاملين للبحوث الحديثة في أنظمة كشف التسلل الشبكية الخاصة بسكادا، وتحديد الفجوات البحثية والتوصيات المستقبلية. وتُنظَّم كالتالي: يشرح القسم II العوامل المؤثرة في تصميم IDS الخاص بسكادا (البنية الهرمية وخصائص الحركة والثغرات والهجمات السيبرانية)؛ ويستعرض القسم III الأعمال ذات الصلة ودافع الدراسة؛ ويشرح القسم IV منهجية المراجعة (اختيار الأوراق ومنهجية تقييم IDS)؛ ويحتوي القسم V وصفًا موجزًا للحلول المختارة؛ ويعرض القسم VI التقييم والمقارنة (السمات العامة وبيئات الاختبار وتقييم الأداء) مع تقييم ختامي؛ ويلخص القسم VII أهم نتائج التحليل ويحدد اتجاهات البحث المستقبلي؛ ويخلص القسم VIII المقالة.
رغم أن دمج تقنيات الإنترنت قلّص الحدود بين شبكات سكادا وشبكات المؤسسات، تبقى المتطلبات مختلفة جذريًا: فالنظام المؤسسي الآمن يقدّم السرية ثم السلامة ثم التوافر، بينما في أنظمة سكادا ينعكس الترتيب ويصبح التوافر أهم متطلب، وقد يكون الجهاز الطرفي في التحكم الصناعي بذات أهمية قاعدة البيانات المركزية [13]. وتؤثر ثلاث مجموعات عوامل في تصميم IDS الخاص بسكادا: البنية الهرمية، وخصائص حركة الشبكة، والثغرات والهجمات السيبرانية.
تتميز شبكات التحكم الصناعية بتسلسلات هرمية عميقة مفصولة وظيفيًا ببروتوكولات ومعايير فيزيائية مختلفة [13]، [14]: يمثل المستوى 0 الأجهزة الفيزيائية المترابطة عبر الناقل الميداني؛ وتعالج وحدات المستوى 1 (RTU وPLC وIED) إشارات الأجهزة وتولّد أوامر التحكم المحلية؛ وتربط الشبكة الإشرافية خادم سكادا (MTU) وخادم المؤرخ ومحطات HMI؛ ويجمع مركز التحكم المعلومات ويحللها ويعرضها على منصات HMI ويولّد الإجراءات؛ ويمثل المستوى 3 المنطقة منزوعة السلاح (DMZ)، ويقابل المستوى 4 شبكة تقنية المعلومات المؤسسية المتصلة بالإنترنت.
تتميز حركة شبكات سكادا باستقرار الإنتاجية والأنماط الدورية وإحصاءات واضحة لحجم الحزم واتجاه التدفق المتوقع وأعمار الاتصالات الثابتة [13]، [18]: فالزيادة الكبيرة في الإنتاجية تشير لأحداث عالية الكثافة (هجمات أو مسح أو أعطال)؛ ويسود الحركة الدورية بإرسال عدد ثابت من الحزم بفواصل ثابتة؛ وحجم الحزمة الواضح مؤشر جيد للسلوك الطبيعي أو الشاذ؛ واتجاه التدفق معروف في التشغيل البروتوكولي النمطي؛ ومتطلبات جودة الخدمة صارمة (زمن استجابة 250 ميكروثانية–1 مللي ثانية للعمليات الحرجة وحتى ثانية واحدة للمستويات الأعلى) [13]. كما تُنفَّذ البروتوكولات بإعدادات ثابتة، وتُستخدم عناوين IP ومنافذ ثابتة غالبًا، فيُكتشَف ظهور بروتوكولات جديدة أو تغير إعداداتها أو حمولاتها بوصفه شذوذًا.
تُصنَّف ثغرات أنظمة التحكم الصناعية في: السياسات والإجراءات، والبنية والتصميم، والإعداد والصيانة، والفيزيائية، وتطوير البرمجيات، والاتصالات/الشبكات [2]، وتؤثر فيها الأخطاء البشرية ومحدودية الأجهزة والأنظمة القديمة غير الآمنة والبروتوكولات المملوكة والأعطال والكوارث. وتُشن الهجمات من مصادر خارجية (إرهابيون وقراصنة ومنافسون وتجسس صناعي) أو داخلية (موظفون ساخطون وبائعون ومهندسو مواقع). ووفق Morris وGao تُصنَّف هجمات ICS في: استطلاع، وحقن استجابة وقياس، وحقن أوامر، والحرمان من الخدمة (DoS) بما فيها الموزعة (DDoS) [19]، [20]؛ ويصنف Maglaras وآخرون الهجمات إلى قائمة على المفاتيح والقائمة على البيانات والقائمة على انتحال الهوية والقائمة على الفيزيائية [21].
جاء دافع العمل من أن دراسات قليلة فقط تناولت مراجعة منهجية شاملة لأعمال البحث في أنظمة كشف التسلل الخاصة بسكادا. فقد استعرض Zhu وShankar أنظمة كشف/منع التسلل الخاصة بسكادا وصنّفاها [22]؛ ومسح Mitchell وChen أساليب كشف التسلل للأنظمة السيبرانية-الفيزيائية (التحكم الموزع والشبكي وشبكات الحساسات وسكادا) وقارنا 28 نظامًا (2003–2013) وحددا قضايا مفتوحة مثل غياب تعريف واضح لمقاييس الأداء والحاجة للتركيز على بيانات طبقة التطبيق ونماذج المهاجمين وتطوير أنظمة موحدة [23].
وقدم Garitano وآخرون نظرة على أنظمة كشف الشذوذ لسكادا [24] شملت تسعة حلول تمثيلية (2005–2010) وخلصوا إلى أن جلّها استخدم حركة محاكاة للتعلم والاختبار دون تحقق في بيئات واقعية. واستعرض Nazir وPatel التقنيات والأدوات اللازمة لاكتشاف ثغرات سكادا بما فيها NIDS [16] ووصفا بإيجاز ثمانية حلول (2008–2014)؛ وسار Rubio وآخرون على النهج نفسه محللين التهديدات وتطور آليات الكشف الأكاديمية والصناعية وقابليتها [25]؛ وميّز Ghosh وSampalli بين النهج القائم على القواعد والقائم على الشذوذ مستعرضَين ستة أساليب (2013–2017) [10].
تتميز هذه المراجعة عن سابقاتها بثلاثة جوانب: التركيز الحصري على حلول NIDS الخاصة بسكادا من 2015–2019؛ ومنهجية تقييم منظمة بخمسة محاور (أسلوب الكشف والبروتوكولات المحمية وأدوات التنفيذ وبيئة الاختبار وتقييم الأداء)؛ وتقييم نضج التنفيذ وقابلية التطبيق في بيئة إنترنت المستقبل، بما يعالج فجوة التحقق الواقعي التي أبرزتها المراجعات السابقة.
اختيرت الأوراق وفق توصيات [29]: أُنشئت المجموعة الأولية بالبحث في ثلاث قواعد بيانات (IEEE Xplore وSCOPUS وWeb of Science) بالكلمتين “SCADA” و“intrusion detection” في يناير 2020 للفترة 2015–2019، فحُصل على 310 أوراق (71 من IEEE Xplore و131 من SCOPUS و105 من WoS)، وبعد الفحص اليدوي واستبعاد المكرر بقيت 168 ورقة. ثم اختيرت المرشحة بناءً على العنوان والملخص بالتركيز على المقترحات الأصلية لحلول NIDS الخاصة بسكادا فبقيت 86 ورقة، وبعد فحص النصوص الكاملة واستبعاد المتشابهة (لنفس المؤلفين أو مشاريع واحدة) والأوراق دون نتائج تقييم، استقر الاختيار النهائي على 26 ورقة.
نقترح منهجية تقييم IDS لسكادا تحدد السمات العامة للحل وتحلل أداءه وتقيّم نقاط قوته وضعفه عبر خمسة محاور: (1) منهجية الكشف؛ (2) البروتوكولات المحمية؛ (3) أدوات التنفيذ؛ (4) بيئة الاختبار؛ (5) تقييم الأداء. ولحسم الالتباس المصطلحي، تُميَّز التصنيفات العامة بين نهج القائمة السوداء (كل شيء مسموح ما لم يُدرج) ونهج القائمة البيضاء (نمذجة السلوك الطبيعي والإبلاغ عن الانحرافات) [30]، وتُبنى أشجار تصنيف تميز الكشف القائم على المعرفة والقائم على السلوك [22]، [23]، مع إقامة التناظر مع التصنيف المعتمد في هذه الدراسة (توقيعات/شذوذ/مواصفات وهجينها).
تشمل منهجية التقييم أيضًا نضج التنفيذ (نموذج أولي بحثي مقابل نشر تشغيلي) وقابلية التطبيق في بيئة إنترنت المستقبل (الحوسبة السحابية/الضبابية وIIoT)، إذ يتطلب الجيل الرابع من سكادا حلول كشف تعمل عبر بنى موزعة حديثة. ويُقيَّم كل حل بالمحاور الخمسة ثم تقييم إجمالي يبرز نقاط القوة والضعف.
يقدّم القسم V وصفًا موجزًا للحلول الـ26 المختارة، وتتنوع منهجيات كشفها بين التوقيعات والشذوذ (إحصائية وتعلم آلة وعنقدة وكشف شواذ) والقائمة على المواصفات والهجينة التي تجمع اثنين أو أكثر. وتغطي البروتوكولات المحمية أساسًا Modbus وDNP3 وIEC 60870-5-104 وIEC 61850 وبروتوكولات مملوكة، مع حلول عامة مستقلة عن البروتوكول تعتمد سمات حركة الشبكة.
تتنوع أدوات التنفيذ بين نماذج بحثية خالصة (Python وMATLAB ومكتبات تعلم الآلة) وتكامل مع منصات مفتوحة (Snort وSuricata وZeek/Bro) وأجهزة مخصصة، ما يعكس تدرج النضج من النموذج المخبري إلى القابلية التشغيلية. وتتراوح بيئات الاختبار بين المحاكاة الصرفة ومنصات الاختبار المخبرية (testbeds) ومجموعات البيانات العامة (مثل مجموعات حركة سكادا المنشورة) وبيئات تشغيلية حقيقية محدودة، وهي نقطة ضعف عامة إذ تهيمن البيانات المحاكاة.
تشمل الحلول الممسوحة كواشف شذوذ إحصائية لنمذجة الحركة الدورية، ومصنفات تعلم آلة (SVM والغابات العشوائية والعنقدة) لحركة Modbus/DNP3، وكواشف مواصفات لبروتوكولات طبقة التطبيق، وحلول هجينة تجمع التوقيعات مع الشذوذ الإحصائي أو تعلم الآلة لتوسيع نطاق الكشف. ويُوثَّق كل حل بمنهجيته وبروتوكولاته وأدواته وبيئته ومقاييس أدائه (الدقة والإنذارات الكاذبة وزمن الكشف) حيثما أُبلغ عنها.
يُظهر التوزيع العام هيمنة أساليب الشذوذ (خاصة تعلم الآلة) على الحلول الجديدة، وحضورًا متناميًا للهجينة، واستمرار التوقيعات مكمّلًا لا أساسًا وحيدًا. وتُمهّد هذه الأوصاف للمقارنة المنهجية في القسم VI عبر السمات العامة وبيئات الاختبار وتقييم الأداء.
في السمات العامة تُقارَن الحلول عبر منهجية الكشف والبروتوكولات وأدوات التنفيذ: فأساليب تعلم الآلة تتصدر الحلول الجديدة منفردة أو مدمجة، والبروتوكولات المفتوحة (Modbus وDNP3) الأكثر تغطية بينما تقل حلول IEC 61850 والمملوكة، ومعظم التنفيذات نماذج أولية بحثية وقليلها مدمج في منصات تشغيلية (Snort/Suricata). وفي بيئات الاختبار تهيمن المحاكاة ومنصات المختبر، وتُستخدم مجموعات البيانات العامة جزئيًا، ويندر التحقق في بيئات تشغيلية واقعية، ما يحدّ من تعميم النتائج.
في تقييم الأداء تُجمَّع المقاييس المُبلغ عنها (دقة الكشف والإنذارات الكاذبة والزمن): تحقق الأساليب القائمة على المعرفة دقة أعلى على حساب تدهور الزمنية خاصة في الأنظمة واسعة النطاق؛ وتؤدي الأساليب الإحصائية جيدًا في السياقات الهجينة لدقتها العالية؛ وتحتاج أساليب تعلم الآلة (خاصة العنقدة وكشف الشواذ) عملًا إضافيًا لتحسين الدقة الإجمالية؛ وتبرز الأساليب القائمة على المواصفات لبروتوكولات طبقة التطبيق بدقة جيدة وزمن معالجة منخفض للوحدة.
يُقيَّم نضج التنفيذ لكل حل وقابليته لبيئة إنترنت المستقبل: فالحلول المدمجة في منصات مفتوحة والقابلة للتوزيع السحابي/الضبابي أعلى نضجًا وقابلية، بينما تبقى النماذج المختبرية الصرفة منخفضة الجاهزية التشغيلية. ويخلص التقييم إلى تقدم ملحوظ في أساليب تعلم الآلة ومنصات التنفيذ، وإلى حد ما منصات اختبار متطورة، مع فجوة مستمرة في التحقق الواقعي.
يُبرز التقييم الختامي أن دمج منهجين أو أكثر يحسّن نطاق الكشف ودقته، وأن المعرفة التشغيلية لكيفية عمل أنظمة سكادا عمليًا شرط لتطوير IDS فعّال، وأن المقاييس الموحدة (الدقة والزمن والاستجابة الفعالة) ضرورية للمقارنة العادلة بين الحلول.
تلخص النتائج الرئيسية للتحليل: (1) الأساليب القائمة على التوقيعات غير كافية وحدها لتأمين سكادا لعجزها عن الجديد وضرورة تحديث التوقيعات المستمر، وستُستخدم مستقبلًا مكمّلة للشذوذ والمواصفات في أساليب هجينة. (2) طُرحت أساليب شذوذ جديدة متنوعة وجُرّبت، واكتسب تعلم الآلة زخمًا قويًا منفردًا أو مدمجًا، لكن يلزم عمل إضافي لتحسين الدقة الإجمالية خاصة للعنقدة وكشف الشواذ؛ وتؤدي الأساليب القائمة على المعرفة أفضل دقةً على حساب الزمنية، بينما تفيد الإحصائية أكثر في السياقات الهجينة لدقتها العالية.
(3) تكتسب الأساليب القائمة على المواصفات أهمية لبروتوكولات طبقة تطبيق سكادا بأداء جيد دقةً وزمنًا. (4) قد يسهم دمج منهجين أو أكثر في تحسين نطاق الكشف ودقته. (5) ثمة حاجة لتطوير IDS مبني على معرفة كيفية عمل أنظمة سكادا عمليًا، بما يشمل نماذج المهاجمين وبيانات طبقة التطبيق. (6) يلزم توحيد مقاييس الأداء (الدقة والزمن والاستجابة) لتمكين المقارنة العادلة، ومعالجة نقص التحقق الواقعي عبر منصات اختبار وبيانات تشغيلية مشتركة.
تشمل اتجاهات البحث المستقبلي: كواشف هجينة تجمع التوقيعات والشذوذ والمواصفات؛ وتعلم آلة بزمن حقيقي قابل للتوسع للأنظمة الكبيرة؛ وكشف مواصفات لبروتوكولات IEC 61850 والمملوكة؛ ومنصات اختبار واقعية ومجموعات بيانات عامة؛ وأنظمة IDS موحدة (federated)؛ وحلولًا متوافقة مع بنى إنترنت المستقبل (الحوسبة السحابية/الضبابية وIIoT)؛ وتكامل الاستجابة الفعالة الآلية.
يُقرّ التحليل بتقدم ملحوظ في أساليب الكشف ومنصات التنفيذ ومنصات الاختبار، لكن القضايا المفتوحة — التحقق الواقعي، والمقاييس الموحدة، وقابلية التوسع، وتكامل إنترنت المستقبل — تبقى خارطة طريق البحث القادم في كشف تسلل سكادا الشبكي.
خلصت هذه المقالة إلى أن أنظمة كشف التسلل الشبكية الخاصة بسكادا حققت تقدمًا ملحوظًا بين 2015 و2019، خاصة في أساليب تعلم الآلة ومنصات التنفيذ ومنصات الاختبار المتطورة إلى حد ما. وقدمت منهجية تقييم منظمة بخمسة محاور وطبّقتها على 26 حلًا مختارًا من 310 أوراق أولية، مع تقييم نضج التنفيذ والقابلية لبيئة إنترنت المستقبل.
تؤكد النتائج أن التوقيعات وحدها غير كافية، وأن تعلم الآلة والهجينة والمواصفات هي مسار المستقبل، وأن المعرفة التشغيلية والمقاييس الموحدة والتحقق الواقعي شروط التقدم. وتدعو الورقة المجتمع البحثي إلى سد الفجوات المحددة — التحقق الواقعي، وقابلية التوسع، وتكامل إنترنت المستقبل، والاستجابة الفعالة — لبناء الجيل القادم من كشف تسلل سكادا الشبكي.
Specific intrusion detection systems (IDSs) are needed to secure modern supervisory control and data acquisition (SCADA) systems due to their architecture, stringent real-time requirements, network traffic features and specific application layer protocols. This article aims to contribute to assess the state-of-the-art, identify the open issues and provide an insight for future study areas. To achieve these objectives, we start from the factors that impact the design of dedicated intrusion detection systems in SCADA networks and focus on network-based IDS solutions. We propose a structured evaluation methodology that encompasses detection techniques, protected protocols, implementation tools, test environments and IDS performance. Special attention is focused on assessing implementation maturity as well as the applicability of each surveyed solution in the Future Internet environment. Based on that, we provide a brief description and evaluation of 26 selected research papers, published in the period 2015–2019. Results of our analysis indicate considerable progress regarding the development of machine learning-based detection methods, implementation platforms, and to some extent, sophisticated testbeds. We also identify research gaps and conclude the analysis with a list of the most important directions for further research.
Supervisory control and data acquisition (SCADA) systems control and monitor geographically dispersed process equipment on multiple sites and are among the most widespread industrial control system (ICS) types in electric power generation, transmission and distribution, oil refineries, natural gas distribution, water treatment, and transportation. Failures of such systems may have serious consequences given their strategic importance for national critical infrastructures. SCADA evolved from first-generation monolithic systems, through second-generation distributed systems with proprietary network technologies, to fully networked third-generation systems using Internet technologies [1], while the upcoming fourth generation adopts Industrial IoT (IIoT) and Future Internet technologies such as cloud/fog computing and big data analytics.
Several successful attacks on industrial control systems were notified in past decades [2]–[5]; the SANS 2017 report concluded that external threats affecting vital systems were growing annually [6], and the 2019 report focused on securing the operational technology domain inside organisations [7]. While security products in enterprise IT networks have reached high maturity, introducing the same approach to industrial networks is not straightforward, and new solutions tailored to the control environment are often needed. Hurd and McCarty identified tools to prevent, detect, mitigate, or investigate attacks in the ICS environment, without evaluating the tools or verifying vendors’ claims [8].
Intrusion detection is defined as “the process of monitoring the events occurring in a computer system or network and analysing them for signs of possible incidents” [12]. Detection technologies are traditionally classified by recognised events (network-based NIDS vs host-based HIDS) and by identification methodology (signature-based, anomaly-based, specification-based). Research and development of IDS for SCADA networks has gained strong momentum in the past decade, as stringent real-time and data-integrity requirements, regular traffic patterns, and a limited set of telecommunication protocols stipulate dedicated, sophisticated detection systems.
This article provides a comprehensive comparison and evaluation of recent research on network-based SCADA-specific intrusion detection systems, plus research gaps and future recommendations. It is organised as follows. Section II explains factors affecting SCADA-specific IDS design (hierarchical architecture, traffic properties, vulnerabilities and attacks); Section III surveys related work and our motivation; Section IV explains the review methodology (paper selection and IDS evaluation methodology); Section V briefly describes selected solutions; Section VI presents evaluation and comparison (general features, test environments, performance) ending with a concluding evaluation; Section VII summarises key results and future directions; Section VIII concludes.
Although Internet technologies have reduced the boundary between SCADA and enterprise networks, requirements remain fundamentally different: a secure enterprise IT system prioritises confidentiality, then integrity, then availability, while in SCADA systems the order is reversed and availability is the most important requirement, and an edge device may matter as much as a central database server [13]. Three groups of factors affect SCADA-specific IDS design: hierarchical architecture, network traffic properties, and cyber vulnerabilities and attacks.
Industrial control networks feature deep, functionally separated hierarchies with different protocols and physical standards [13], [14]: level 0 represents physical devices interconnected via fieldbus; level-1 controllers (RTUs, PLCs, IEDs) process field signals and generate local control commands; the supervisory network connects the SCADA server (MTU), historian server, and HMI stations; the control center collects and analyses information, presents it on HMI consoles, and generates actions; level 3 is the demilitarized zone (DMZ); and level 4 is the corporate IT network connected to the internet.
SCADA network traffic features throughput stability, periodic patterns, clear packet-size statistics, predictable flow direction, and constant connection lifetimes [13], [18]: large throughput increases point to high-intensity events (attacks, scanning, failures); periodic traffic dominates with fixed packet counts at fixed intervals; clear packet-size statistics indicate normal or anomalous behaviour; flow direction is known in typical protocol operation; and QoS requirements are stringent (250 μs–1 ms response for critical operations, up to one second at higher levels) [13]. Protocols run with static configurations, and IP addresses and ports are mostly statically allocated, so new protocols, configuration changes, or payload changes signal anomalies.
ICS vulnerabilities fall into policy and procedure, architecture and design, configuration and maintenance, physical, software development, and communication/network groups [2], influenced by human error, resource-limited devices, insecure legacy systems and proprietary protocols, failures, and natural disasters. Attacks come from external sources (terrorists, hackers, competitors, espionage) or internal ones (disgruntled employees, vendors, site engineers). Per Morris and Gao, ICS attacks classify into reconnaissance, response and measurement injection, command injection, and denial of service (DoS) including distributed DDoS [19], [20]; Maglaras et al. classify them into key-based, data-based, impersonation-based, and physical-based attacks [21].
The motivation for this work came from the fact that only a few studies dealt with systematic and comprehensive review of research work in SCADA-specific intrusion detection systems. Zhu and Shankar surveyed and taxonomised SCADA-specific intrusion detection/prevention systems [22]; Mitchell and Chen surveyed IDS techniques for cyber-physical systems (distributed and networked control, sensor-actuator networks, SCADA), comparing 28 systems (2003–2013) and identifying open issues such as the lack of clear IDS performance metrics, the need to audit application-layer data, attacker models, and federated IDSs [23].
Garitano et al. overviewed SCADA anomaly-based detection systems [24] covering nine representative solutions (2005–2010), concluding almost all used simulated traffic for learning and testing without realistic verification. Nazir and Patel overviewed techniques and tools for finding SCADA vulnerabilities including NIDS [16], briefly describing eight solutions (2008–2014); Rubio et al. similarly analysed threats and the evolution and applicability of academic and industrial mechanisms [25]; Ghosh and Sampalli distinguished rule-based and anomaly-based approaches over six techniques (2013–2017) [10].
This review differs from predecessors in three ways: exclusive focus on SCADA-specific NIDS solutions from 2015–2019; a structured five-aspect evaluation methodology (detection methodology, protected protocols, implementation tools, test environment, performance evaluation); and assessment of implementation maturity and applicability in the Future Internet environment, addressing the realistic-verification gap highlighted by earlier surveys.
Papers were selected following the recommendations from [29]: the initial set was created by searching three databases (IEEE Xplore, SCOPUS, Web of Science) with the keywords “SCADA” and “intrusion detection” in January 2020 for the 2015–2019 period, yielding 310 papers (71 from IEEE Xplore, 131 from SCOPUS, 105 from WoS); after manual inspection and removal of replicates, 168 papers remained. Candidate selection on title and abstract, focusing on original SCADA-specific NIDS proposals, left 86 papers; after full-text inspection, eliminating similar papers (same authors or same projects) and papers without IDS evaluation results, the final selection was 26 papers.
We propose a SCADA IDS evaluation methodology identifying general solution features, analysing performance, and assessing strengths and weaknesses across five aspects: (1) detection methodology; (2) protected protocols; (3) implementation tools; (4) test environment; and (5) performance evaluation. To resolve terminology confusion, general classifications distinguish blacklist approaches (everything allowed unless listed) from whitelist approaches (profiling normal behaviour and reporting deviations) [30], with classification trees separating knowledge-based and behaviour-based detection [22], [23], mapped to this study’s adopted classification (signature/anomaly/specification and hybrids).
The methodology also covers implementation maturity (research prototype vs operational deployment) and applicability in the Future Internet environment (cloud/fog computing, IIoT), since fourth-generation SCADA needs detection working across modern distributed architectures. Each solution is scored on the five aspects, then given an overall assessment of strengths and weaknesses.
Section V briefly describes the 26 selected solutions, whose detection methodologies span signatures, anomaly-based (statistical, machine learning, clustering, outlier detection), specification-based, and hybrid combinations of two or more. Protected protocols mainly cover Modbus, DNP3, IEC 60870-5-104, IEC 61850, and proprietary protocols, alongside protocol-independent solutions relying on traffic features.
Implementation tools range from pure research prototypes (Python, MATLAB, ML libraries) to integration with open platforms (Snort, Suricata, Zeek/Bro) and dedicated appliances, reflecting a maturity gradient from lab prototype to operational readiness. Test environments span pure simulation, laboratory testbeds, public datasets (published SCADA traffic corpora), and limited real operational settings — a general weakness, with simulated data dominant.
Surveyed solutions include statistical anomaly detectors modeling periodic traffic, machine learning classifiers (SVM, random forests, clustering) for Modbus/DNP3 traffic, specification-based detectors for application-layer protocols, and hybrids combining signatures with statistical or ML anomaly detection to broaden scope. Each solution is documented with its methodology, protocols, tools, environment, and performance metrics (accuracy, false alerts, detection time) where reported.
The overall distribution shows anomaly-based methods (especially machine learning) dominating new solutions, hybrids growing, and signatures persisting as a complement rather than a sole basis. These descriptions set up the systematic comparison in Section VI across general features, test environments, and performance evaluation.
On general features, solutions are compared by detection methodology, protocols, and tools: machine learning methods lead new solutions standalone or combined; open protocols (Modbus, DNP3) are most covered while IEC 61850 and proprietary ones lag; most implementations are research prototypes, few integrated into operational platforms (Snort/Suricata). On test environments, simulation and lab testbeds dominate, public datasets are partly used, and realistic operational verification is rare, limiting generalisation.
On performance, reported metrics (detection accuracy, false alerts, timeliness) are aggregated: knowledge-based techniques score higher accuracy at the cost of deteriorated timeliness, especially for large-scale systems; statistical techniques excel in hybrid settings for their high accuracy; machine learning methods (especially clustering and outlier detection) need more work on overall accuracy; and specification-based techniques for application-layer protocols stand out with good accuracy and low per-unit processing time.
Each solution’s implementation maturity and Future Internet applicability are assessed: solutions integrated into open platforms and deployable across cloud/fog score higher, while pure lab prototypes remain operationally unready. The evaluation concludes considerable progress on ML methods and implementation platforms, and to some extent sophisticated testbeds, with a persistent realistic-verification gap.
The concluding evaluation highlights that integrating two or more detection methods improves IDS scope and accuracy, that operational knowledge of how SCADA systems work in practice is prerequisite for effective IDS, and that standardised metrics (accuracy, timeliness, active response) are essential for fair comparison.
The main results of the analysis are: (1) Signature-based techniques are insufficient alone to secure SCADA due to their inability to cope with new threats and continuous signature-update needs; in future they will complement anomaly- and specification-based techniques in hybrids. (2) A variety of novel anomaly-based techniques were proposed and tested; machine learning gained strong momentum standalone or combined, but more work is needed on overall accuracy, particularly for clustering and outlier detection; knowledge-based techniques perform better on accuracy at timeliness cost, while statistical techniques are most useful in hybrids for their high accuracy.
(3) Specification-based techniques gain importance for SCADA application-layer protocols, performing well on both accuracy and per-unit processing time. (4) Integrating two or more detection methods may improve IDS scope and accuracy. (5) IDSs must be developed from knowledge of how SCADA systems operate in practice, including attacker models and application-layer data. (6) Performance metrics (accuracy, timeliness, response) must be standardised for fair comparison, and the realistic-verification shortfall addressed with shared testbeds and operational data.
Future research directions include: hybrid detectors combining signatures, anomaly, and specification methods; scalable real-time machine learning for large systems; specification-based detection for IEC 61850 and proprietary protocols; realistic testbeds and public datasets; federated IDSs; Future Internet-compatible solutions (cloud/fog, IIoT); and integrated automated active response.
The analysis acknowledges considerable progress in detection methods, implementation platforms, and testbeds — but open issues of realistic verification, standardised metrics, scalability, and Future Internet integration remain the roadmap for network-based SCADA intrusion detection research.
This article concludes that network-based SCADA-specific intrusion detection systems made considerable progress between 2015 and 2019, especially in machine learning methods, implementation platforms, and to some extent sophisticated testbeds. It proposed a structured five-aspect evaluation methodology, applied it to 26 solutions selected from 310 initial papers, and assessed implementation maturity and Future Internet applicability.
Results confirm signatures alone are insufficient, that machine learning, hybrid, and specification-based approaches are the future path, and that operational knowledge, standardised metrics, and realistic verification are prerequisites for progress. The article calls on the research community to close the identified gaps — realistic verification, scalability, Future Internet integration, and active response — to build the next generation of network-based SCADA intrusion detection.