监控铁路系统中的网络威胁：一种用于检测隐蔽数据篡改攻击的混合框架

《RELIABILITY ENGINEERING & SYSTEM SAFETY》：Monitoring cyberthreats in railway systems: A hybrid framework for detecting stealthy data tampering attacks

铁路网络安全需应对隐蔽数据篡改攻击，本文提出融合道岔生命周期分析（TLA）与预期行为分析（EBA）的框架，结合改进的Dempster-Shafer理论评估威胁，实验显示成功检测6/7次攻击并降低误报。

　　铁路系统中的网络安全问题日益受到关注，随着先进技术监控系统的集成，对技术的依赖性不断提高，使得网络安全成为铁路运营中不可忽视的关键环节。近年来，针对铁路系统的网络攻击不仅威胁着系统的正常运行，还可能影响数据的完整性和误导维护决策，从而对铁路的安全性和效率造成严重影响。然而，现有的检测方法往往难以有效应对那些隐蔽性强、旨在掩盖故障或引发不必要维护的数据篡改攻击。为了解决这一问题，本文提出了一种创新的框架，该框架融合了转辙机生命周期分析（Turnout Lifecycle Analysis, TLA）和预期行为分析（Expected Behavior Analysis, EBA），并引入了一种加权的修改型Dempster-Shafer理论，用于整合两种方法的威胁评估结果。该框架不仅能够检测隐蔽的网络攻击，还能够诊断转辙机故障，并在不确定性条件下支持更加稳健的决策过程。通过在模拟网络攻击场景中的验证，该框架成功识别了七种攻击中的六种，同时显著降低了误报率。这些结果表明，该框架有望为铁路维护人员提供更准确的洞察，从而提升铁路系统的安全性和抗网络威胁能力。

随着工业4.0的兴起，铁路行业正朝着高度互联的方向发展，以提高运营效率。这种高度互联的特性虽然提升了铁路系统的整体性能，但也增加了潜在的攻击面，使得系统更容易受到入侵和操控。特别是在铁路运营中，运营技术（Operational Technology, OT）系统比信息技术（Information Technology, IT）系统更容易受到网络攻击的影响。这主要是因为OT系统在设计时缺乏对网络安全的充分意识，导致其在面对攻击时更容易受到损害。例如，2015年乌克兰电网遭受的BlackEnergy恶意软件攻击就导致了铁路运营的中断，尽管当时已经采取了多种IT安全措施，但OT系统仍然存在脆弱性。2020年，以色列铁路系统也遭遇了一次网络攻击，攻击者绕过了IT防御机制，直接对OT系统进行了操控。这些案例表明，铁路系统需要专门针对OT安全的措施，以确保其在面对不断演变的网络威胁时能够保持稳定和安全。

铁路远程监控系统（Railway Remote Monitoring System, RMS）是铁路行业中一种先进的监控系统，它通过部署在基础设施中的传感器收集信息，然后将这些信息传输到中央监控系统（Central Monitoring System, CMS），以帮助维护人员进行实时决策。RMS的主要目标是提供准确的铁路组件状态数据，包括轨道、转辙机、道口、传感器和通信链路等。然而，由于RMS依赖于分布式数据传输和处理，它特别容易受到网络攻击的影响，尤其是那些能够破坏数据完整性的攻击。因此，如何确保RMS提供的数据真实可靠，成为维护人员面临的重要挑战。

针对铁路系统的网络攻击可以分为多种类型，其中最值得关注的是数据窃取、访问拒绝和数据篡改等攻击形式。数据窃取攻击主要通过收集铁路基础设施组件之间交换的存储数据，以破坏数据的机密性；访问拒绝攻击则通过阻止操作人员访问铁路系统，从而破坏系统的可用性；而数据篡改攻击则通过修改数据来干扰铁路系统的运行和安全性。本文重点探讨的是针对铁路OT系统的数据篡改攻击，特别是那些旨在误导维护人员关于转辙机健康状况的攻击。这些攻击通常具有高度隐蔽性，能够模仿正常操作行为，从而避免被传统检测方法发现。例如，某些攻击者可能会篡改传感器数据，以隐藏即将发生的转辙机故障，或者人为制造故障信号，以引发不必要的维护操作。

为了有效检测这些隐蔽的网络攻击，本文提出了一种基于数据驱动的框架，该框架结合了TLA和EBA两种方法，并利用加权的修改型Dempster-Shafer理论对两种方法的输出进行融合。TLA方法通过分析转辙机的生命周期来评估潜在的网络攻击风险，而EBA方法则基于对转辙机行为的历史观察，以判断当前行为是否符合预期。这两种方法的结合能够提供更全面的威胁评估，从而提高检测的准确性和鲁棒性。此外，通过引入Dempster-Shafer理论，该框架能够处理来自不同来源的不确定性和模糊性，使得威胁评估更加精确和可靠。

在铁路网络安全领域，传统的入侵检测系统（Intrusion Detection System, IDS）主要包括基于签名的IDS（Signature-based IDS, SIDS）和基于异常的IDS（Anomaly-based IDS, AIDS）。SIDS依赖于已知的入侵类型数据库，这使得它在应对新型攻击时存在局限性。相比之下，AIDS通过建立参考系统行为模型，并与当前行为进行比较，以识别异常。由于本文研究的网络攻击具有隐蔽性和针对性，基于异常的IDS似乎更适合用于检测此类攻击。然而，现有的AIDS方法在区分正常行为和网络攻击方面仍然存在一定的困难，尤其是在面对新型攻击时。此外，许多基于机器学习的IDS方法依赖于系统正常行为的建模，这可能导致误判，尤其是在面对模仿正常操作的攻击时。

在铁路系统中，如何区分自然故障和恶意数据篡改是维护人员面临的关键问题之一。自然故障通常是由于设备老化或环境因素导致的，而恶意数据篡改则是由攻击者故意引入的，旨在误导维护人员做出错误的决策。为了提高故障诊断的准确性并减少误报，本文提出了一种融合物理和网络指标的检测方法。该方法通过结合转辙机生命周期分析和预期行为分析，能够更有效地识别潜在的网络攻击，并区分正常和异常行为。此外，本文还强调了在铁路系统中建立全面的网络威胁评估体系的重要性，以确保系统在面对各种攻击时能够保持稳定和安全。

为了验证所提出框架的有效性，本文在模拟的网络攻击场景中进行了测试。测试结果表明，该框架能够成功识别七种攻击中的六种，并显著降低了误报率。这一结果表明，该框架在实际应用中具有较高的可靠性和准确性。然而，由于实际环境中缺乏真实的数据篡改场景，本文的测试仍然存在一定的局限性。未来的研究可以进一步探索如何获取更加真实和多样化的网络攻击数据，以提高检测方法的泛化能力和适用性。

此外，本文还讨论了铁路网络安全领域的研究现状和存在的挑战。现有的研究主要集中在如何检测和应对铁路系统中的网络攻击，但大多数方法仍然存在一定的局限性。例如，许多方法依赖于假设系统内部通信是安全的，或者需要大量的标记数据来进行训练。然而，在现实环境中，这些假设往往不成立，导致检测方法在实际应用中效果不佳。因此，本文提出的框架在设计时特别考虑了这些现实挑战，通过融合多种分析方法，并利用Dempster-Shafer理论处理不确定性，提高了检测的鲁棒性和准确性。

本文的研究成果对于铁路系统的安全性和维护决策具有重要意义。通过确保维护决策的完整性，该框架能够帮助铁路维护人员更准确地评估系统的健康状况，并采取适当的维护措施。此外，该框架还能够提高铁路系统的抗网络攻击能力，从而减少因数据篡改导致的运营中断和安全事故。未来的研究可以进一步探索如何将该框架应用于更广泛的铁路系统，包括轨道、道口和通信链路等，以实现更全面的网络安全防护。

综上所述，本文提出了一种创新的框架，用于检测针对铁路系统的隐蔽网络攻击，特别是那些旨在误导维护人员的攻击。该框架通过结合转辙机生命周期分析和预期行为分析，并利用加权的修改型Dempster-Shafer理论进行威胁评估，提高了检测的准确性和鲁棒性。测试结果表明，该框架在模拟环境中表现良好，能够有效识别多种网络攻击，并减少误报。尽管该框架在实际应用中仍然面临一定的挑战，但其研究成果为铁路系统的网络安全防护提供了新的思路和方法。未来的研究可以进一步探索如何优化该框架，并将其应用于更广泛的铁路系统，以实现更全面的网络安全防护。