Олег Владимирович Трубиенко, к. т. н., доцент, заведующий кафедрой
Институт кибербезопасности и цифровых технологий; кафедра КБ-2 «Информационно-аналитические системы кибербезопасности»
119454; пр-т Вернадского, д. 78; Москва
Scopus Author ID 57213680467
Oleg V. Trubienko, Cand. Sci. (Eng.), Associate Professor, Head of the Department
Institute of Cybersecurity and Digital Technologies; Department of Information and Analytical Cybersecurity Systems,
119454; 78, Vernadskogo pr.; Moscow
Scopus Author ID 57213680467
Евгений Сергеевич Митяков, д. э. н., профессор, заведующий кафедрой
Институт кибербезопасности и цифровых технологий; кафедра КБ-9 «Предметно-ориентированные информационные системы»
119454; пр-т Вернадского, д. 78; Москва
Scopus Author ID 55960540500
Evgeny S. Mityakov, Dr. Sci. (Eng.), Professor, Head of the Department
Institute of Cybersecurity and Digital Technologies; Department “Subject-Oriented Information Systems”
119454; 78, Vernadskogo pr.; Moscow
Scopus Author ID 55960540500
Антон Алексеевич Лоскутов, д. т. н., доцент, старший научный сотрудник, доцент кафедры
лаборатория «Автономные гибридные электроэнергетические комплексы»; кафедра «Электроэнергетика, электроснабжение и силовая электроника»
603155; ул. Минина, д. 24; Нижний Новгород
Scopus Author ID 57205467115, ResearcherID A-4809-2014
Anton A. Loskutov, Dr. Sci. (Eng.), Senior Researcher, Associate Professor
Laboratory of Autonomous Hybrid Electric Power Complexes; Department of Electric Power Engineering, Power Supply, and Power Electronics
603155; 24, Minina ul.; Nizhny Novgorod
Scopus Author ID 57205467115, ResearcherID A-4809-2014
Александр Леонидович Куликов, д. т. н., профессор
кафедра «Электроэнергетика, электроснабжение и силовая электроника»
603155; ул. Минина, д. 24; Нижний Новгород
Scopus Author ID 56496375600
Aleksandr L. Kulikov, Dr. Sci. (Eng.), Professor
Department of Electric Power Engineering, Power Supply, andPower Electronics
603155; 24, Minina ul.; Nizhny Novgorod
Scopus Author ID 56496375600
Цели. Основной целью исследования является экспериментальная верификация предложенного подхода к адаптивному анализу угроз информационной безопасности на объектах критической информационной инфраструктуры с использованием цифрового двойника автоматизированной системы управления технологическими процессами (АСУ ТП) энергообъекта.
Методы. В работе применен системный подход, включающий моделирование типовых сценариев угроз на полунатурном киберфизическом стенде, генерацию синтетических многомерных временных рядов телеметрии в цифровом двойнике и итеративное дообучение модели обнаружения угроз на основе ансамблевого алгоритма Random Forest1. Сравнение выполнено между стратегией прямого дообучения на данных стенда и стратегией, полностью основанной на синтетических данных, сгенерированных цифровым двойником. Эффективность оценивалась с учетом как результативности обнаружения угроз, так и уровня защищенности эксплуатационной среды. Для количественной оценки использовалась авторская метрика, учитывающая компромисс между полнотой обнаружения и рисками вмешательства в работу реального оборудования.
Результаты. Экспериментально подтверждена работоспособность предложенного подхода: использование цифрового двойника обеспечивает качество обнаружения угроз, сопоставимое с прямым дообучением на реальном оборудовании, при существенно более высоком уровне защищенности. На основе анализа смоделированных атак в цифровом двойнике сформулированы и верифицированы две защитные меры на уровне прикладной логики АСУ ТП: корреляционное правило в SCADA-системе2 для проверки логической согласованности телеметрии и адаптивный пороговый контроль, учитывающий текущий режим работы энергообъекта. Их внедрение позволило повысить точность обнаружения при сохранении полноты и дополнительно усилить защищенность системы. Проведенная серия из ста независимых экспериментов подтвердила статистическую значимость полученных результатов. Разработанные защитные меры продемонстрировали устойчивость к различным режимам функционирования энергообъекта.
Выводы. Предложенный подход позволяет осуществлять адаптивный анализ угроз информационной безопасности без прямого взаимодействия с реальным оборудованием, что соответствует требованиям функциональной безопасности и нормативным ограничениям, действующим в отношении объектов критической информационной инфраструктуры.
Objectives. The study set out to experimentally verify a proposed approach to adaptive cyber threat analysis for critical information infrastructure facilities using a digital twin of an industrial control system (ICS) for a power facility.
Methods. The system-engineering approach involved modeling representative cyber-attack scenarios on a seminatural cyber-physical testbed and generating synthetic multivariate time series telemetry within a digital twin. The threat detection model was then iteratively retrained based on the Random Forest3 ensemble algorithm. Strategies involving direct retraining on testbed data were compared with those relying solely on synthetic data generated by the digital twin. The evaluation criteria encompassed both the effectiveness of threat detection and the level of operational environment security. The authors’ proprietary metric, which considers the trade-off between threat detection recall and the risk of interfering with the real equipment operations, was used for quantitative assessment.
Results. The feasibility of the proposed approach was experimentally confirmed. The use of a digital twin provides a level of threat detection quality comparable to direct retraining on physical equipment while ensuring a substantially higher level of operational security. Based on the analysis of simulated attacks within the digital twin, two defensive measures were formulated and verified at the application logic level of the ICS: (1) a correlation rule for the SCADA4 system to validate the logical consistency of telemetry and (2) an adaptive multi-threshold control mechanism that accounts for the current operational mode of the power facility. Implementing these measures improved detection precision while maintaining recall to further enhance the system’s overall security. A series of a hundred independent experiments confirmed the statistical significance of the obtained results. The protective measures developed demonstrated resilience to various operating modes of the considered energy facility.
Conclusions. The proposed approach is suitable for carrying out adaptive cyber threat analysis without direct interaction with physical equipment, thereby complying with functional safety requirements and regulatory constraints applicable to critical information infrastructure facilities in the Russian Federation.
The authors declare that there are no conflicts of interest present.