В работе предложен подход к обнаружению атак в критически важных инфраструктурах с применением методов моделирования с использованием графов. Данный подход включает два основных этапа. В режиме проектирования производится интеллектуальный анализ логов, включающих исходные данные о функционировании индустриальной системы для построения графа ее состояний и переходов. Далее на этапе функционирования проводится обход графа с последовательным выявлением состояний, описывающих атаки определенных классов, осуществляющиеся на устройства системы. Помимо этого, в процессе выполнения функций системы производится обнаружение аномальных переходов между нормальными состояниями системы, что также может являться признаком некоторых видов атак на инфраструктуру. Эксперименты, проведенные на имеющихся в наличии наборах данных, описывающих функционирование двух критически важных индустриальных систем, подтвердили корректность разработанного алгоритма обнаружения атак, а также показали высокую устойчивость алгоритма к возможным потерям событий, поступающих на вход механизма обнаружения атак. С. 8-17.

An approach to revelation of attacks in critical infrastructures by means of graphoriented modeling methods is disclosed in the article. The approach has two main steps. At the preliminary step through the use of machine learning methods, it performs a processing of logs, i.e. primary information characterizing the operation of the infrastructure in order to build the graph of states and transitions of the infrastructure. At the exploitation step, the constructed graph is traversed to detect those states in which the system is under attack of a certain type. During the functioning, wrong transitions between the correct states of the infrastructure are detected, which in turn can be used to deduce a fact of an attack. The conducted experiments on data from datasets describing the exploitation of two industrial critical systems confirmed the soundness of the developed attack revelation mechanism, and demonstrated the large stability degree of the mechanism to possible losses of data fragments containing primary data from the system for the attack detection.