Análisis Forense Digital en Sistemas de Control Industrial basado en técnicas de Aprendizaje Automático
- Autores: Francisco Javier Alonso Villalobos
- Directores de la Tesis: Sebastián Dormido Canto (dir. tes.), Gonzalo Alberto Farias Castro (codir. tes.)
- Lectura: En la UNED. Universidad Nacional de Educación a Distancia ( España ) en 2026
- Idioma: español
- Número de páginas: 175
- Tribunal Calificador de la Tesis: Matilde Santos Peñas (presid.), Luis de la Torre Cubillo (secret.), Héctor Vargas Oyarzún (voc.)
- Programa de doctorado: Programa de Doctorado en Ingeniería de Sistemas y de Control por la Universidad Nacional de Educación a Distancia
- Calificación: Sobresaliente Cum Laude
- Materias:
- Enlaces
- Tesis en acceso abierto en: TESEO
- Resumen
- español
El proceso de digitalización de los sistemas de control industrial (ICS) ha traído importantes beneficios operativos, pero también ha incrementado de manera considerable su exposición frente a ciberataques capaces de afectar la confiabilidad, integridad y disponibilidad de procesos críticos. En este escenario, el análisis forense digital adquiere un rol fundamental, ya que permite reconstruir lo ocurrido durante un incidente, identificar su origen y recopilar evidencias que respalden las etapas de respuestas y recuperación.
En esta tesis se propone una metodología de análisis forense digital aplicada a infraestructuas industriales. Se apoya en técnicas de aprendizaje automático (ML, Machine Learning) y es validada mediante su aplicación en seis conjuntos de datos, los cuales son utilizados ampliamente en temas de investigación (EPIC, EPICA, EPICB, Water Storage Tank, New Gas Pipeline y SWaT). El conjunto denominado EPIC se utiliza como estructura base de operación normal de infraestructura industrial, mientras que los demás conjuntos incorporan diversos tipos de ataques lo que permite evaluar distintos enfoques de modelado supervisado.
Se propone la siguiente metodología, la cual se encuentra organizada en cinco fases:
1. Obtención y preservación.
2. Examen y normalización.
3. Preparación de los datos.
4. Aplicación de algoritmos supervisados y no supervisados.
5. Elaboración de informe forense.
Los resultados obtenidos al aplicar esta metodología permiten evidenciar una gran capacidad de detección y clasificación de anomalías, logrando alcanzar métricas superiores al 90% en la mayoría de los escenarios evaluados. También, se logra evidenciar un adecuado rendimiento en los distintos conjuntos de datos, lo que evidencia que los modelos se adaptan de forma satisfactoria a pesar de que los datos provienen de infraestructuras industriales con características distintas. La incorporación de diversas técnicas de explicabilidad, permitió realizar informes forenses claros, facilitando la adecuada interpretación de incidentes y asegurando la trazabilidad durante todo el proceso de aplicación de la metodología.
Por lo tanto, esta investigación aporta un marco metodológico replicable y auditable para el análisis forense digital en sistemas de control industrial, orientado a fortalecer la detección, documentación y respuesta frente a ciberataques en infraestructuras críticas.
Una parete de los resultados presentados en esta tesis ha sido publicada previamente en la revista Applied Sciences (vol. 14, n.7, art. 2964), en el trabajo titulado "Analysis of Cryptographic Algorithms Cybersecurity in the Industrial Electrical Sector" (https://www.mdpi.com/2076-3417/14/7/2964, DOI https://doi.org/10.3390/app14072964).
- English
The digitization of industrial control systems (ICS) has brought significant operational benefits, but has also considerably increased their vulnerability to cyberattacks capable of affecting the reliability, integrity, and availability of critical processes. In this scenario, digital forensics plays a fundamental role, as it allows for the reconstruction of what occurred during an incident, the identification of its origin, and the collection of evidence to support the response and recovery phases.
The digital forensics methodology presented in this thesis is applied to industrial infrastructures. It relies on machine learning (ML) techniques and is demonstrated through its application to six popular research datasets: EPIC, EPICA, EPICB, Water Storage Tank, New Gas Pipeline, and SWaT. The EPIC dataset is used as an example of normal industrial infrastructure operation, and various attacks are added to other datasets to allow for the use of different supervised modeling techniques.
The following methodology is proposed, which is organized into five phases:
1. Obtaining and preserving.
2. Examination and normalization.
3. Data preparation.
4. Application of supervised and unsupervised algorithms.
5. Forensic report generation.
The results obtained by applying this methodology demonstrate a high capacity for detecting and classifying anomalies, achieving metrics exceeding 90 % in most of the evaluated scenarios. Adequate performance was also demonstrated across different datasets, showing that the models adapt satisfactorily even though the data originates from industrial infrastructures with varying characteristics. The incorporation of diverse explainability techniques enabled the creation of clear forensic reports, facilitating the proper interpretation of incidents and ensuring traceability throughout the entire methodology application process.
A portion of the work presented in this thesis has been previously published in the journal Applied Sciences (vol. 14, no. 7, article 2964), in the paper entitled “Analysis of Cryptographic Algorithms to Improve Cybersecurity in the Industrial Electrical Sector” (https://www.mdpi.com/2076-3417/14/7/2964, DOI https://doi.org/10.3390/app14072964).
- español
