ネットワーク攻撃検出のために実世界の産業制御システムで収集されたデータセット

工場ネットワークに潜む見えない攻撃がなぜ重要か

電力、きれいな水、製造品はすべて、ポンプ、タービン、バルブを静かに制御する目に見えないコンピュータに依存しています。これらの産業制御システムが「スマート」化や効率化のために広いネットワークに接続されると、オフィスのPCや家庭用ルータと同じサイバーリスクを引き受けることになります。本稿はICS-NADを紹介します。これは実際の産業現場から得られた大規模で現実的なネットワークデータのコレクションであり、研究者が日常生活を混乱させる前にサイバー攻撃を発見・阻止するのに役立つよう設計されています。

現代の工場はもはや隔離されていない

かつて産業制御システムは物理的に隔離され、インターネットとの接続がほとんどありませんでした。Industry 4.0への推進により、企業は設備を遠隔で監視し、性能を解析し、人工知能を適用できるようにこれらのシステムを接続するようになりました。しかしその裏返しとして、攻撃者もこれらのデジタル経路を通じて侵入できるようになっています。世界中で、電力や水道などの重要サービスが深刻な被害を受けており、リスクの大きさが示されています。侵入を早期に検出するにはセキュリティツールのための良質な訓練データが必要ですが、既存のデータセットは小規模で人工的だったり、適切な攻撃やラベルが欠けていたりすることが多いのです。

産業ネットワークのより実態に即した描写を構築する

著者らはこれらのギャップに対処するため、実際の産業を反映した大規模なテストサイトで記録したベンチマークデータセット、ICS-NADを作成しました。サイトには10社の産業用コントローラと10種類のプロセス構成が含まれますが、データセットでは熱電所の模擬設備と下水処理の模擬設備で使われる3つの有名ブランドに焦点を当てています。各ブランドは暗号化されない広く使われる産業プロトコルを使用しており、研究者は機器間の通信の細かなやり取りを観測できます。ネットワークトラフィックはスイッチから直接キャプチャされ、人間と機械のインターフェースがプログラマブルロジックコントローラに命令を送り、さらにそれがポンプやヒータなどを駆動します。

システムを破る多様な手口を収録する

現実の脅威の多様性を反映するため、ICS-NADには4つのファミリーに分類された20種類の一般的な攻撃が含まれています。偵察（リコネサンス）攻撃は活動中のデバイスや開いたポートを静かにスキャンします。サービス拒否（DoS）および分散サービス拒否（DDoS）攻撃はパケットでネットワークを溢れさせ、正当な命令が遅延したり破棄されたりすることを狙います。偽データ注入攻撃はメッセージや応答を捏造してコントローラや操作者を誤導し、中間者攻撃はデバイス間に入り通信を途中で改変します。各シナリオについて、研究者は生のパケットだけでなく各攻撃の開始・終了時刻も記録し、これらの時刻ログと攻撃固有のルールを組み合わせた二段階のラベリング手法を適用します。これにより観測された各フローが無害か特定の攻撃に属するかを示す明確なラベルが得られます。

攻撃前後のトラフィックパターンを可視化する

単にパケットを記録するだけでなく、チームはトラフィックから60の記述的特徴量を抽出しました。たとえば各方向に移動するパケット数、サイズ、到着の速さなどです。これらの特徴は時間に沿った大まかな傾向と個々のパケット内部の細部の双方をカバーします。ある制御システムのトラフィックを調べることで、激しいフラッド攻撃が通信のリズムをどう変えるかを示しています。パケットの連続が鋭くなり、ピークが高くなり、アイドルの隙間が短くなるといった変化は統計的指標で捉えられます。このより豊かな視点は、産業活動の自然な変動と侵入者による疑わしい急増とをアルゴリズムが区別するのに役立ちます。

学習機械を使ってデータセットを試す

ICS-NADが実用的であることを示すために、著者らはそれを用いて決定木や最近傍法のような古典的手法から、ブースト木やニューラルネットワークといった現代の手法まで、10種類の機械学習・深層学習手法を訓練・評価しました。基本的なクリーニングとスケーリングの後、トラフィックフローのサイズや内容に大きく関連する情報量の多い少数の特徴を自動選択します。モデルごとにわずか4つの特徴しか使わなくても、多くの手法が4つの攻撃ファミリー全体で高い性能を示し、精度、再現率、適合率、F1スコアがしばしば90パーセントを超えました。これはICS-NADが研究者に高度な検出ツールを構築・比較させるのに十分な多様性と現実性を含んでいることを示唆します。

より安全なインフラに向けての意義

平たく言えば、ICS-NADは工場ネットワークの詳細なフライトレコーダーのようなものです。通常の条件下と様々なサイバー攻撃下で実際の産業システムがどのように振る舞うかを記録します。大規模で多様かつ公開されているため、セキュリティ研究者、エンジニア、学生にとって、重要インフラのためのより良い警報を開発するための共有実験場を提供します。ユーティリティや工場がより多くの設備を接続し続ける中で、ICS-NADのようなデータセットは生のネットワークのやり取りを早期警戒システムへと変え、電灯をつけ続け、水道を流し、生産ラインを稼働させるために不可欠となるでしょう。

引用: Zhou, X., Cheng, Z., Wang, C. et al. A dataset collected in real-world industrial control systems for network attack detection. Sci Data 13, 399 (2026). https://doi.org/10.1038/s41597-026-06738-x

キーワード: 産業制御システム, サイバー攻撃検出, ネットワーク侵入データセット, 重要インフラのセキュリティ, 機械学習のセキュリティ