One-Shot Learning of Ensembles of Temporal Logic Formulas for Anomaly Detection in Cyber-Physical Systems

Abstract

Cyber-Physical Systems (CPS) sind in kritischen Infrastrukturen weit verbreitet und ein Hauptziel für Cyberangriffe. Multivariate Zeitreihendaten, die von Sensoren und Aktoren eines CPS erzeugt werden, können überwacht werden, um Cyberangriffe zu erkennen, die Anomalien in diese Daten einbringen. Wir verwenden Formeln der Signal Temporal Logic (STL), um das normale Verhalten eines CPS genau zu beschreiben und Dateninstanzen, die den Formeln nicht entsprechen, als Anomalien zu identifizieren. Wir lernen ein Ensemble von STL-Formeln auf der Grundlage von beobachteten Daten, ohne spezifisches Wissen über das zu überwachende CPS. Wir schlagen einen Algorithmus vor, der auf Grammatik-gestützter genetischer Programmierung (G3P) basiert und das Ensemble automatisch in einem einzigen Evolutionslauf erlernt. Wir testen die Wirksamkeit unseres datengesteuerten Vorschlags an zwei realen Datensätzen und stellen fest, dass der vorgeschlagene Ein-Schuss-Algorithmus eine gute Erkennungsleistung bietet."

Cyber-Physical Systems (CPS) are prevalent in critical infrastructures and a prime target for cyber-attacks. Multivariate time series data generated by sensors and actuators of a CPS can be monitored for detecting cyber-attacks that introduce anomalies in those data. We use Signal Temporal Logic (STL) formulas to tightly describe the normal behavior of a CPS, identifying data instances that do not satisfy the formulas as anomalies. We learn an ensemble of STL formulas based on observed data, without any specific knowledge of the CPS being monitored. We propose an algorithm based on Grammar-Guided Genetic Programming (G3P) that learns the ensemble automatically in a single evolutionary run. We test the effectiveness of our data-driven proposal on two real-world datasets, finding that the proposed one-shot algorithm provides good detection performance."