Yenilenebilir Enerji Tabanlı Iot-Entgre Scada Sistemlerinde Volümetrik Siber Saldırıların Derin Öğrenme ile Tespiti

Abstract

ÖZET: Kritik altyapı sistemlerinde kullanılan Denetleyici Kontrol ve Veri Toplama (Supervisory Control and Data Acquisition-SCADA) sistemlerine dayalı endüstriyel kontrol ağları, artan siber tehditler karşısında güvenilir, ölçeklenebilir ve genelleştirilebilir saldırı tespit mekanizmalarına ihtiyaç duymaktadır. Bununla birlikte, literatürde yaygın olarak kullanılan veri setlerinin büyük bir kısmı genel amaçlı ağ trafiğine dayanmakta ve Modbus/TCP gibi endüstriyel protokollerin döngüsel, deterministik ve süreç odaklı iletişim yapısını yeterince yansıtmamaktadır. Bu tez çalışmasında, söz konusu sınırlamayı gidermek amacıyla tamamen izole edilmiş bir sanal SCADA ortamı tasarlanmış ve SCADANet adı verilen, SCADA’ya özgü çok sınıflı bir saldırı veri seti oluşturulmuştur. Bu veri seti, meşru ağ trafiği ile birlikte üretilen 13 farklı saldırı senaryosunu içermektedir. Bu kapsamda, dönüştürülmüş trafik temsillerini analiz etmek amacıyla paralel genişletilmiş Evrişimli Sinir Ağı (Convolutional Neural Network-CNN) yapıları, Residual-SE blokları ve Uzun Kısa Vadeli Bellek (Long Short-Term Memory-LSTM) katmanlarından oluşan hibrit bir derin öğrenme mimarisi önerilmiştir. Önerilen mimari, çok ölçekli uzamsal örüntüleri etkili bir şekilde öğrenirken özellik düzeyindeki sıralı ve bağlamsal ilişkileri de modelleyerek ağ trafiğinin daha kapsamlı bir şekilde temsil edilmesini sağlamaktadır. Önerilen yaklaşımın genelleştirilebilirliğini değerlendirmek amacıyla geliştirilen model, hem SCADANet veri seti hem de literatürde yaygın olarak kullanılan WUSTL-IIoT-2021 veri seti üzerinde test edilmiştir. Deney sonuçları, önerilen mimarinin her iki veri setinde de yüksek doğruluk ve Makro F1 skoru elde ettiğini ve özellikle azınlık saldırı sınıflarında duyarlılığı önemli ölçüde artırdığını göstermektedir. Ayrıca, gerçekleştirilen ablasyon çalışması, mimaride yer alan her bir bileşenin genel performansa anlamlı ve birbirini tamamlayıcı katkılar sağladığını ortaya koymaktadır. Bulgular, önerilen derin öğrenme tabanlı yaklaşımın SCADA sistemlerine özgü trafik özelliklerini etkili bir şekilde modelleyebildiğini ve farklı veri kaynakları arasında istikrarlı bir saldırı tespit performansı sergilediğini göstermektedir. Bu bağlamda çalışma, SCADA tabanlı kritik altyapıların siber güvenliğinde saldırı tespitine yönelik literatüre önemli metodolojik ve deneysel katkılar sunmaktadır.

ABSTRACT: Industrial control networks based on Supervisory Control and Data Acquisition (SCADA) systems used in critical infrastructure require reliable, scalable, and generalizable intrusion detection mechanisms in the face of increasing cyber threats. However, a large proportion of the datasets commonly used in the literature are based on general-purpose network traffic and do not adequately reflect the cyclic, deterministic, and process-oriented communication characteristics of industrial protocols such as Modbus/TCP. In this thesis, a fully isolated virtual SCADA environment was designed to address this limitation, and a SCADA-specific multiclass attack dataset, named SCADANet, was developed. The dataset contains 13 distinct attack scenarios generated alongside legitimate network traffic. In this context, a hybrid deep learning architecture consisting of parallel extended Convolutional Neural Network (CNN) structures, Residual-SE blocks, and Long Short-Term Memory (LSTM) layers was proposed to analyze transformed traffic representations. The proposed architecture effectively learns multi-scale spatial patterns while also modeling feature-level sequential and contextual relationships, thereby enabling a more comprehensive representation of network traffic. To evaluate the generalizability of the proposed approach, the developed model was tested on both the SCADANet dataset and the widely used WUSTL-IIoT-2021 dataset. The experimental results demonstrate that the proposed architecture achieves high accuracy and Macro F1 scores on both datasets and significantly improves sensitivity, particularly for minority attack classes. Furthermore, the conducted ablation study demonstrates that each component of the architecture makes a meaningful and complementary contribution to the overall performance. The findings indicate that the proposed deep learning-based approach can effectively model SCADA-specific traffic characteristics and maintain consistent intrusion detection performance across different data sources. In this regard, the study provides significant methodological and experimental contributions to the literature on intrusion detection in the cybersecurity of SCADA-based critical infrastructure systems.