https://www.mdu.se/

The growing connectivity of Industrial Control Systems (ICS) has increased their exposure to cyber threats, posing serious risks to both critical infrastructure (e.g., power plants, water systems) and industrial operations. Although Machine Learning (ML)-based Intrusion Detection Systems (IDS) show potential to detect complex and novel attacks, their practical application in ICS environments remains challenging. This thesis investigates the feasibility, design considerations, and barriers to applying ML-based IDS in ICSs. Key challenges include limited labeled data, high sensitivity to false alarms, distributed architectures, and constrained hardware. Through empirical evaluations and prototype implementations, we show how tailored ML and system design strategies can address these issues.

Our first goal is to enable experimentation with cybersecurity and intrusion detection in industrial systems. The thesis introduces ICSSIM, a novel framework for creating flexible, scalable, and cost-effective ICS testbeds.  It also presents ICSFlowGenerator, a tool for analyzing network traffic and computing customized network flow parameters. Using this tool, the thesis presents ICS-Flow, a new dataset developed to train and evaluate anomaly detection models, which serves as a realistic benchmark for assessing ML-based intrusion detection in ICS networks. 

In addition, the thesis tackles several technical deployment barriers. To support distributed ICS architectures and minimize the reliance on central servers, federated learning is explored as a decentralized training strategy. It also investigates semi-supervised learning techniques for detecting anomalies using only normal traffic.  To reduce the burden of false alarms, we integrate a decision support system with the IDS to filter alerts and suggest mitigation actions. Furthermore, the thesis emphasizes the importance of temporal traffic patterns in identifying attack types and evaluates the efficiency and resource demands of various ML models on ICS-representative hardware. Collectively, these contributions advance the practical application of ML-based intrusion detection in ICSs.

Digitaliseringen och ökande uppkoppling av industriella styrsystem (ICS) har medfört ökad exponering för cyberhot och innebär allvarliga risker för både kritisk infrastruktur (t.ex. kraftverk, vattensystem) och industriella verksamheter. Även om intrångsdetekteringssystem (IDS) baserade på maskininlärning (ML) har potential att upptäcka komplexa och nya attacker, är deras praktiska tillämpning i ICS-miljöer fortfarande utmanande. I den här avhandlingen analyseras genomförbarheten, designöverväganden och hinder för att applicera ML-baserade IDS i ICS. Centrala utmaningar omfattar begränsad mängd annoterad data, hög känslighet för falsklarm, distribuerade arkitekturer och hårdvarubegränsningar. Genom empiriska utvärderingar och prototypimplementeringar visar vi hur skräddarsydda ML- och systemdesignstrategier kan adressera dessa problem.

Det första målet är att möjliggöra cybersäkerhetsexperiment och detektion av intrång i industriella system. Avhandlingen introducerar ICSSIM, ett nytt ramverk för att skapa flexibla, skalbara och kostnadseffektiva ICS-testbäddar. Vi har dessutom utvecklat ICSFlowGenerator, ett verktyg för att analysera nätverkstrafik och beräkna anpassade nätverksflödesparametrar. Med hjälp av detta verktyg har vi skapat ICS-Flow, en ny datamängd (dataset) för att träna och utvärdera anomalidetekteringsmodeller. ICS-Flow fungerar som en realistisk benchmark för att bedöma ML-baserad intrångsdetektering i ICS-nätverk. 

Med stöd av ICS-Flow adresserar avhandlingen flera tekniska hinder vid driftsättning. För att stödja distribuerade ICS-arkitekturer och minimera beroendet av centrala servrar utforskas en decentraliserad träningsstrategi. Vi undersöker även semi-övervakade inlärningstekniker för att detektera anomalier med enbart normal trafik. För att minska risken för falsklarm integrerar vi ett beslutsstödssystem med IDS:en för att filtrera larm och föreslå åtgärder. Vidare betonar avhandlingen betydelsen av tidsberoende trafikmönster för att identifiera attacktyper och utvärderar effektivitet och resurskrav för olika ML-modeller på ICS-representativ hårdvara. Sammantaget främjar dessa bidrag den praktiska tillämpningen av ML-baserad intrångsdetektering för ICS.