Açıklanabilir dikkat tabanlı az örnekli LSTM ile dengesiz siber-fiziksel sistem ağlarında saldırı tespiti

Bağlı makineler için daha akıllı savunmalar neden önemli

Elektrik şebekelerinden su arıtma tesislerine, fabrika robotlarından hastane cihazlarına kadar fiziksel dünyamız giderek ağ bağlantılı makineler—yani siber-fiziksel sistemler—tarafından yönetiliyor. Bu ağlardaki tek bir gizli saldırı hizmetleri durdurabilir, ekipmana zarar verebilir veya hatta cana kast edebilir. Buna karşın birçok güvenlik aracı hâlâ nadir ama tehlikeli saldırıları kaçırıyor ya da operatörlerin yorumlayamadığı yanlış alarmlarla onları boğuyor. Bu çalışma, hem yaygın hem de nadir tehditleri belirlemeye odaklanan ve ayrıca bir alarmın neden verildiğini insanlara açıklayan HeXAI-AttentionCPS adlı yeni bir saldırı tespit yaklaşımını tanıtıyor.

Dijital trafiğin gizli tehlikeleri

Siber-fiziksel sistemler sürekli büyük miktarda veri alışverişi yapar; bunların çoğu rutin işlemlerdir. Saldırı trafiği, devasa bir dokunun içine serpiştirilmiş birkaç farklı renkli ipin varlığı gibidir. Geleneksel saldırı tespit sistemleri genellikle en sık görülen desenlere odaklanır. Sonuç olarak, sık meydana gelen olayları tanımakta çok iyi olsalar da, gelişmekte olan veya nadir saldırıları—örneğin sofistike ortadaki-adam (man-in-the-middle) saldırılarını—gözden kaçırırlar. Araştırmacılar bu sorunu nadir saldırıları yapay olarak çoğaltarak çözmeye çalıştıklarında genellikle gürültü eklerler; bu da modelleri daha az kararlı ve daha yavaş hale getirir ve yine de yeni saldırı türlerinde tamamen güvenilir olmaz.

Nadirlere ve önemli olanlara odaklanan bir öğrenme sistemi

Önerilen HeXAI-AttentionCPS çerçevesi, hem sistemin nasıl öğrendiğini hem de ağ trafiğinde neye dikkat ettiğini değiştirerek bu sorunlarla mücadele eder. Öncelikle, veriyi zaman içinde okuyan bir sıra modeli olan LSTM kullanır; tıpkı anlamı izole kelimelerden ziyade bir cümleden çıkardığımız gibi. Bunun üzerine bir dikkat (attention) mekanizması bir spot ışığı gibi davranır ve her veri noktasını eşit önemde görmek yerine trafik dizisindeki en belirleyici anları vurgular. Model, "az-örnek" (few-shot) biçimde eğitilir: eğitim sırasında yalnızca birkaç örnekten saldırı türlerini tanımayı tekrar tekrar çalışır; bu, yeni bir saldırının etiketli birkaç örneğinin bulunduğu gerçek durumları yansıtır.

Veriyi sahte hale getirmeden dengeyi sağlamak

Dengesizliği düzeltmek için sentetik saldırılar üretmek yerine sistem, nadir sınıflardaki hataları kasıtlı olarak vurgulayan ve yaygın trafikteki zaten kolay kararları görece önemsizleştiren focal loss adlı özel bir kayıp fonksiyonu kullanır. Bu, verisetini bozmak yerine öğrenmeyi zor tespit edilen saldırılara doğru iter. Öğrenmeden önce veriler ayrıca Temel Bileşen Analizi (PCA) adlı matematiksel bir mercekle sıkıştırılır; bu, en bilgilendirici desenleri korurken gereksiz tekrarları atar. Bu birleşim hesaplama yükünü azaltır ve dikkat mekanizmasının trafikte gerçekten anlamlı olan değişikliklere odaklanmasına yardımcı olur; böylece hem hız hem de doğruluk artar.

Siyah kutu alarmları anlaşılır ipuçlarına dönüştürmek

Otomatik savunmalara güvenmenin önündeki büyük engellerden biri, birçok sistemin bir siyah kutu gibi davranması ve açıklama olmadan alarm üretmesidir. HeXAI-AttentionCPS, SHAP olarak bilinen bir açıklama yöntemini entegre eder; bu yöntem her tahmini kaynak ve hedef portları, IP adresleri, trafik süresi ve bağlantı durumu gibi bireysel özelliklerin katkılarına ayırır. Bir operatör için bu, sistem bir ortadaki-adam saldırısını işaretlediğinde hangi portların, IP desenlerinin veya zamanlama davranışlarının kararı "kötü niyetli"e ittiğini de görebilmesi anlamına gelir. Çok sayıda alarmda bu görünüm, ağın hangi yönlerinin tutarlı şekilde saldırılarla ilişkili olduğunu ortaya koyar ve sistemi güçlendirmek için yol gösterir.

Sonuçların uygulamadaki anlamı

Yazarlar çerçevelerini, dokuz farklı saldırı türünü taklit eden modern endüstriyel ağlara benzeyen gerçekçi bir ölçüt veri setinde test ettiler. Birkaç derin öğrenme temel yöntemiyle karşılaştırıldığında, HeXAI-AttentionCPS çok yüksek doğruluk ve F1 skorları elde ederken, hatta diğer sistemlerin sıklıkla kaçırdığı nadir saldırılar için bile yanlış alarmları son derece düşük tuttu. Güvenlik ekipleri için bu, ciddi saldırıların daha az kaçırılması ve dikkati dağıtan yanlış alarmların azalması ile birlikte sistemin neden tepki verdiğine dair açık içgörüler demektir. Basitçe söylemek gerekirse, çalışma kritik altyapılar için yalnızca sıra dışı tehditlere karşı daha duyarlı bir bekçi köpeği değil, aynı zamanda insanların harekete geçebileceği biçimde gerekçesini açıklayabilen bir sistem inşa etmenin mümkün olduğunu gösteriyor.

Atıf: Abdulganiyu, O.H., Fadi, O., Moukafih, Y. et al. Explainable attention based few shot LSTM for intrusion detection in imbalanced cyber physical system networks. Sci Rep 16, 7217 (2026). https://doi.org/10.1038/s41598-026-38668-4

Anahtar kelimeler: saldırı tespiti, siber-fiziksel sistemler, dengesiz veri, <keyword>az-örnek öğrenme