一、論文概覽
論文標題
– 英文：Adapting IEC 62443 for Steganographic Threat Detection in ICS Environments
– 中文：調適 IEC 62443 標準以偵測工業控制系統環境中的隱寫術威脅
作者與機構
Natashae Edeh、Esin Öztürk、Karl Waedt
發表資訊
– 會議：IECON 2025 – 51st Annual Conference of the IEEE Industrial Electronics Society
– 地點：西班牙馬德里
– 會議日期：2025 年 10 月 14-17 日
– DOI：10.1109/IECON58223.2025.11221180
二、這篇論文在說什麼？
研究背景：一個被忽略的威脅向量
工業控制系統（ICS）是現代關鍵基礎設施的核心，從電力網路到製造業都仰賴其運作。隨著 IT 與 OT 環境的融合，ICS 面臨的資安威脅日益複雜。Stuxnet、Black Energy、Shamoon 等知名攻擊事件已證明，針對工控系統的攻擊可能造成災難性後果。
在眾多新興威脅中，隱寫術惡意軟體（stegomalware） 特別棘手。這類惡意程式將惡意載荷隱藏在看似無害的檔案或通訊中，例如圖片、影片，甚至網路封包，藉此規避傳統偵測機制。
目前 ICS 環境廣泛採用的 IEC 62443 標準雖然提供了完善的資安框架，但有一個明顯的缺口：它並未針對隱寫術威脅的偵測與緩解提供具體指引。這正是本研究要解決的問題。
核心方法：在標準框架中嵌入 AI 偵測能力
研究團隊提出的解決方案有三個關鍵要素：
1. 選用 Random Forest 分類器
研究者選擇隨機森林（Random Forest）作為偵測模型，理由相當務實：
– 高可解釋性：在安全關鍵的 ICS 環境中，操作人員需要理解為何系統發出警報
– 運算效率高：相較於深度學習模型，Random Forest 的延遲較低，適合即時偵測
– 抗過擬合能力強：在資料多樣性高的環境中表現穩定
2. 以 SMOTE 解決類別不平衡問題
資安資料集的通病是「正常流量遠多於惡意流量」。CICIDS2017 資料集中約 79% 是良性流量，僅 21% 為惡意流量。研究者採用 SMOTE（Synthetic Minority Oversampling Technique） 技術，為少數類別（惡意流量）合成額外樣本，使訓練資料達到平衡。
實驗證明這步驟至關重要：未平衡資料的準確率為 91%，平衡後提升至 98%。
3. 整合進 IEC 62443 的安全等級架構
IEC 62443 定義了四個安全等級（SL1-SL4），分別對應不同程度的威脅。研究者建議將 ML 異常偵測模組部署於：
– SL3（安全等級 3）：防禦有意圖且技術成熟的攻擊
– SL4（安全等級 4）：最高安全需求的關鍵系統
具體部署位置包括：
– 高安全區域內的關鍵資產（HMI、安全儀表系統、關鍵控制器）
– 連接不同安全區域的通訊管道（conduits），作為前處理與檢測層
主要成果：98% 準確率的實證驗證
在 CICIDS2017 資料集上的實驗結果：
| 指標 | 數值 |
|---|---|
| 準確率（Accuracy） | 98% |
| 精確率（Precision） | 98% |
| 召回率（Recall） | 99% |
| F1-score | 98% |
ROC 曲線顯示模型在不同閾值下都維持高敏感度與特異度，學習曲線則證明模型在不同訓練集大小下表現一致，具備實務部署的穩定性。
三、啟發與觀點
對資安產業的影響
這篇研究點出了一個重要趨勢：傳統標準框架需要與時俱進，納入 AI/ML 能力。IEC 62443 作為 OT 安全的重要標準，其制定時並未預見隱寫術攻擊的普及。隨著攻擊手法演進，標準的補充與強化勢在必行。
對於標準制定機構而言，這提供了一個可參考的模式：如何在既有框架的安全等級架構中，有機地整合新興偵測技術。
對資安從業人員的啟示
OT 安全團隊應開始關注隱寫術威脅。傳統的特徵碼比對或規則式偵測難以發現藏在正常檔案中的惡意載荷，行為分析與異常偵測將成為必要工具。
資料科學家/ML 工程師在設計 ICS 環境的偵測模型時，需要特別注意：
– 可解釋性比追求最高準確率更重要
– 類別不平衡是常態，需要適當的處理策略
– 模型必須能在資源受限的環境中即時運作
可能的應用場景
- 關鍵基礎設施：電力、水務、石化等產業的 SCADA 系統監控
- 智慧製造：工業 4.0 環境中 IT/OT 邊界的流量檢測
- 合規稽核：作為 IEC 62443 高安全等級認證的補充控制措施
延伸思考
這篇研究仍有幾個值得關注的限制：
資料集的適用性：CICIDS2017 雖然廣受採用，但它畢竟不是專為 ICS 環境設計的資料集。MODBUS、PROFINET、OPC UA 等工控協定的特殊流量模式，可能需要額外的特徵工程。研究者也坦承這點，並將「在實體 ICS 測試床上驗證」列為未來工作。
標籤資料的取得：監督式學習需要高品質的標籤資料，但在實際 ICS 環境中，這類資料往往稀缺或不完整。這可能是大規模部署時的瓶頸。
隱寫術的多樣性：研究中對隱寫術的實驗場景描述相對簡略。真實世界的隱寫術技術（LSB 嵌入、DCT 域隱寫、網路協定隱蔽通道等）各有特性，單一模型是否能涵蓋所有變體，仍需更多驗證。
整體而言，這篇研究的價值在於提供了一個可操作的框架，將抽象的「AI 強化資安」概念落地到具體的標準條文與部署架構中。對於正在規劃 OT 安全升級的組織，這是一個值得參考的方向。
四、來源引用
完整引用格式（IEEE）
N. Edeh, E. Öztürk, and K. Waedt, “Adapting IEC 62443 for Steganographic Threat Detection in ICS Environments,” in IECON 2025 – 51st Annual Conference of the IEEE Industrial Electronics Society, Madrid, Spain, 2025.
DOI
10.1109/IECON58223.2025.11221180
原文連結
IEEE Xplore: https://ieeexplore.ieee.org/document/11221180
