I it-fysiska system, skadliga och påhittiga angripare kan penetrera systemet genom it-medel och orsaka betydande fysisk skada. Följaktligen blir tidig upptäckt av sådana attacker en förutsättning för att göra dessa system motståndskraftiga mot attacker. För att uppnå detta mål, intrångsdetekteringssystem (IDS) som kan upptäcka skadliga beteende tidigt nog kan sättas in. Men praktiska IDS är ofullkomliga, och ibland kan de framkalla falska alarm även för ett normalt systembeteende. Eftersom larm måste undersökas för eventuella skador, kan ett stort antal falska larm öka driftskostnaderna avsevärt. Därför måste IDS konfigureras ordentligt, eftersom överkänsliga IDS kunde upptäcka attacker mycket tidigt men till priset av ett högre antal falska larm. På samma sätt kan IDS med mycket låg känslighet minska falska larm samtidigt öka tiden för att upptäcka attackerna. Konfigurationen av IDS för att hitta rätt balans mellan tid för att upptäcka attacker och graden av falska positiva är en utmanande uppgift, särskilt i dynamiska miljöer, där de skador som uppstår vid en lyckad attack är tidsvarierande. I detta dokument, med hjälp av spel-teoretiska setup, studerar vi problemet med att hitta optimala detektionströsklar för anomali-baserade detektorer som implementeras i dynamiska system inför strategiska attacker. Vi formulerar problemet som en angripare-defender säkerhetsspel, och bestämma tröskelvärden för detektorn för att uppnå en optimal avvägning mellan detektionsfördröjning och falska positiva hastigheter. I den riktningen tillhandahåller vi först en algoritm som beräknar optimal fast tröskel som förblir fast hela tiden. För det andra tillåter vi att detektorns tröskel ändras med tiden för att ytterligare minimera försvararens förlust och ge en polynomalgoritm för att beräkna tidsvariationströsklar, som vi kallar adaptiva trösklar. Slutligen utvärderar vi numeriskt våra resultat med hjälp av ett vattendistributionsnät som en fallstudie.
Dessutom studerar arbetet i Ref problemet med att få fram optimala tröskelvärden för anomalibaserade detektorer som implementeras i dynamiska system inför strategiska attacker.
Optimal Thresholds for Anomaly-Based Intrusion Detection in Dynamical Environments
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}