《Applied Sciences》：A Multi-Component Deep Learning Approach for Cyber-Attack Detection in Critical Infrastructure SCADA Systems
编辑推荐：
基于监控与数据采集（SCADA）系统的关键基础设施中的工业控制网络，在面对日益增长的网络威胁时，需要可靠、可扩展且具有泛化能力的攻击检测机制。然而，文献中常用的大部分数据集基于通用网络流量，未能充分反映Modbus/TCP等工业协议的周期性、确定性和面向过程的
基于监控与数据采集（SCADA）系统的关键基础设施中的工业控制网络，在面对日益增长的网络威胁时，需要可靠、可扩展且具有泛化能力的攻击检测机制。然而，文献中常用的大部分数据集基于通用网络流量，未能充分反映Modbus/TCP等工业协议的周期性、确定性和面向过程的通信结构。在本研究中，研究人员设计了一个完全隔离的虚拟SCADA环境以解决此局限性。开发了一个名为SCADANet的SCADA特定多类攻击数据集，包含与合法网络流量同时生成的13种不同攻击场景。在此背景下，提出了一种混合深度学习架构，由并行扩张卷积神经网络（CNN）结构、Residual-SE块和长短期记忆（LSTM）层组成，能够在转换后的流量表示中建模多尺度空间模式以及特征级别的序列和上下文关系。为了检验所提出方法的泛化能力，研究人员在SCADANet数据集和文献中广泛使用的WUSTL-IIoT-2021数据集上测试了开发的模型。实验结果表明，所提出的架构在两个数据集上均实现了高准确率和宏F1分数，特别是在少数攻击类别中展现了显著更高的灵敏度。此外，进行的消融研究表明，架构中的每个组件都对整体性能做出了有意义且互补的贡献。研究结果表明，所提出的基于深度学习的方法能够有效建模SCADA系统特定的流量特征，并在不同数据源上表现出稳定的攻击检测性能。因此，该研究对基于SCADA的关键基础设施系统中的网络攻击检测文献做出了重要的方法论和实验贡献。
**论文解读：面向关键基础设施SCADA系统的多组件深度学习方法**
**研究背景与问题**
关键基础设施（如能源、医疗、交通）依赖监控与数据采集（SCADA）系统进行远程控制与管理。随着网络攻击（如拒绝服务攻击、高级持续性威胁）日益增多，这些系统亟需可靠、可扩展且泛化能力强的攻击检测机制。然而，现有文献中常用数据集（如NSL-KDD、CIC-IDS2017）基于通用网络流量，无法反映工业协议（如Modbus/TCP）的周期性、确定性和面向过程的通信结构。此外，SCADA系统中正常流量远多于攻击流量，导致严重的类别不平衡，使少数攻击类容易被忽略。单一深度学习模型（如卷积神经网络（CNN）或长短期记忆（LSTM））各有局限，难以同时捕捉多尺度空间模式与特征级序列关系。为填补上述空白，研究人员开展了该项研究，论文发表在《Applied Sciences》。
**研究内容与结论**
研究人员设计了一个完全隔离的虚拟SCADA环境，生成SCADANet数据集（包含13种攻击场景与正常流量），并提出一种混合深度学习架构（并行扩张CNN、Residual-SE块、LSTM层）。该架构在SCADANet和WUSTL-IIoT-2021数据集上均取得高准确率（99.80%和99.9973%）和宏F1分数（98.65%和97.70%），尤其在少数攻击类中灵敏度显著提升。消融实验证实各组件对性能均有贡献。该研究为SCADA攻击检测提供了方法论和实验基础，表明所提方法能有效建模SCADA流量特征并跨数据集稳定泛化。
**关键技术方法**
研究人员构建了完全隔离的虚拟SCADA环境（7台虚拟机），使用pyModbusTCP库生成Modbus/TCP通信，同时模拟13种攻击（包括传统网络攻击和SCADA特定攻击如Modbus虚假数据注入）。网络流量通过Wireshark/TShark捕获，提取帧级、IP、TCP/UDP/ICMP、应用层属性及JA4+行为指纹特征。采用5折交叉验证，使用Focal Loss和类权重处理类别不平衡。提出的深度学习架构包含：并行扩张Conv1D层（3个分支，扩张率不同）、Residual-SE块（含通道注意力机制）、LSTM层（128单元），并辅以批归一化、1×1卷积和全局平均池化。样本来源为SCADANet（486,714个包，14类）和WUSTL-IIoT-2021（约120万记录，5类）。
**研究结果**
**4.10 SCADANet数据集上的结果**
通过5折交叉验证，所提模型在SCADANet上平均准确率达到99.80%，宏召回率98.70%，宏精确率98.63%，宏F1分数98.65%。混淆矩阵显示对角线元素占优，少数类误报极少，表明Focal Loss和类权重策略有效减轻了不平衡问题，模型对少数攻击类具有高灵敏度。
**4.11 WUSTL-IIoT-2021数据集上的结果**
在WUSTL-IIoT-2021上，模型宏精确率97.79%，宏召回率97.68%，宏F1分数97.70%，加权平均指标达99.9973%。混淆矩阵显示多数类（超过110万样本）几乎全部分类正确，中等规模类错误率极低，少数类漏报极少，验证了模型跨数据集的高泛化能力。
**4.12 消融研究**
在SCADANet上进行的消融实验表明，移除LSTM层导致性能下降最大（宏F1降至97.33%），移除Residual-SE块后宏F1降至98.30%，移除扩张CNN后宏F1降至97.84%。完整模型（ALL）宏F1为98.65%，证明每个组件均对整体性能有重要且互补的贡献，多尺度特征提取、通道注意力和特征级序列建模协同有效。
**4.13 计算复杂度与部署可行性**
模型总参数156,818（可训练156,178），FP32下内存约0.60 MB，FP16下约0.30 MB，计算量适中，适合在SCADA监控节点或边缘网关上部署，满足实时性要求。
**4.14 模型决策分析**
基于SHAP的解释性分析显示，模型决策主要受Udp_length、frame_len、Tcp_stream等协议级和包结构特征驱动，表明模型捕获了域相关特征而非虚假相关性。
**4.15 实时可行性**
模型轻量（并行扩张CNN、Residual-SE、LSTM），结合批归一化和1×1卷积控制参数增长，在GPU加速下训练，具备实时检测潜力，但实际工业环境中的硬件限制和网络延迟仍需进一步测试。
**讨论与结论**
讨论部分将所提模型与近期文献进行对比：在SCADANet上，所提模型准确率99.80%高于其他研究（如GAN-LSTM在SWAT上87%，RF/SVM在CIC-Modbus上约95%）。在WUSTL-IIoT-2021上，与现有方法比较（如CNN、LSTM等），所提模型宏F1达97.70%，优于多数方法，且提供了跨数据集验证和消融分析，更全面可靠。与经典机器学习/深度学习方法（如KNN、SVM、标准LSTM）的比较表明，所提模型在SCADANet上宏F1比最强标准LSTM高6.22个百分点，在WUSTL-IIoT-2021上比KNN高0.96个百分点，凸显了多组件架构的优势。
**研究结论部分翻译**
所提出的架构与数据集：本实验研究旨在检测针对基于SCADA的关键基础设施网络的网络攻击。为此，提出了一种多层混合深度学习架构，集成并行扩张卷积神经网络（CNN）层、Residual-SE块和长短期记忆（LSTM）组件，以有效检测网络攻击。所提出的架构旨在同时建模转换后的SCADA流量表示中的多尺度空间模式和特征级别的序列/上下文关系。此外，在一个完全隔离的虚拟SCADA环境中引入了SCADANet数据集，其中合法工业通信和多类攻击场景同时生成。实验性能：所提出的多层深度学习架构在开发的SCADANet数据集和文献中公认的WUSTL-IIoT-2021数据集上均进行了评估。实验结果表明，所提出的深度学习架构在两个数据集上均实现了高准确率、宏F1分数和召回率。特别是在样本较少的攻击类中取得的高性能表明，Focal Loss和类权重策略在不平衡数据条件下增强了模型灵敏度。此外，进行的消融研究进一步证明，所提出的混合深度学习架构的每个组件都对整体分类性能做出了显著贡献。关键发现：本研究中获得的结果表明，多尺度卷积特征提取、通道级注意力机制和特征级序列建模组件的联合使用，能够有效表示复杂的SCADA流量行为。在不同数据集上的评估清楚地证明，所提出的模型不依赖于特定数据分布。实验结果表明，所开发的深度学习架构在各种工业流量结构上均提供一致的攻击检测性能。局限性：然而，该研究存在一些局限性。SCADANet数据集是在受控的虚拟SCADA环境中创建的，以确保实验可重复性和系统性评估。然而，这种受控环境无法完全反映真实工业系统的操作复杂性。特别是硬件多样性、过程级变异性、遗留设备行为和动态网络条件在此背景下仍受限。该数据集涵盖广泛攻击，但多阶段协同攻击、长期隐蔽威胁和高级网络物理操纵场景未充分表示。未来工作：未来的学术研究旨在增强实验环境的真实性。更复杂的攻击场景将被纳入数据集。此外，所提出的多层深度学习架构将在半运行和真实工业环境中验证。此外，计划研究低延迟、可扩展的基于边缘网关的部署策略。这些计划中的发展有望增强对高级网络物理威胁的抵御能力。同时，计划中的更新预计将有助于为关键基础设施系统开发可部署且可靠的基于人工智能的攻击检测机制。
