Dataset TE-GvA quantifica quando vale a pena coletar mais evidência antes de agir em incidentes em sistemas ciberfísicos

O problema que o artigo ataca é bem conhecido por quem já fez resposta a incidentes em ambientes de controle industrial (ICS/SCADA): quando o sistema começa a se comportar de forma anômala, o responsável pela resposta precisa decidir entre agir imediatamente com base na causa mais provável, ou primeiro reunir mais evidência (por exemplo, consultar um canal de telemetria alternativo) para diferenciar entre duas causas parecidas — enquanto, nesse meio tempo, o processo físico continua se deteriorando rumo a uma parada ou um estado inseguro. Até agora, nenhum dataset público de segurança ciberfísica fornecia o custo de cada ação alternativa a partir da mesma situação, o que é necessário para treinar ou avaliar esse tipo de decisão.

Os autores resolveram essa lacuna construindo o TE-GvA sobre o processo Tennessee Eastman revisado (um benchmark clássico de controle de processos industriais), gerando 9.908 pontos de decisão a partir de 1.990 incidentes simulados, cada um com entre 4 e 35 ações candidatas, avaliadas por simulações ramificadas com números aleatórios comuns para garantir comparabilidade. A principal contribuição metodológica é a diferença entre rótulos “de retrospecto” (que assumem que a causa real já é conhecida, o que raramente é o caso durante o incidente) e rótulos “de crença”, calculados a partir de episódios gêmeos que repetem o histórico do defensor sob a causa alternativa, ponderados pela probabilidade posterior exata — nesse caso, o par de causas ambíguas estudado é falha de link de rede versus módulo de I/O congelado, dois cenários que produzem sintomas parecidos mas exigem respostas diferentes.

O resultado mais interessante na prática: sob rótulos de retrospecto, coletar mais evidência aparece como a melhor decisão em apenas 1,1% a 1,3% dos casos — ou seja, olhando com conhecimento perfeito da causa, quase sempre parecia melhor já ter agido direto. Mas quando se usa o rótulo de crença (que reflete a incerteza real no momento da decisão), coletar evidência se torna a melhor escolha em 15,5% das decisões ambíguas naturais e em 33,1% das decisões sob estresse sem canal de backup disponível. Um modelo treinado com rótulos de crença teve 11% menos arrependimento no conjunto de estresse e 27% menos arrependimento nos casos ambíguos mais críticos, comparado a um modelo treinado só com retrospecto — uma evidência de que ferramentas de apoio à decisão em resposta a incidentes ICS precisam modelar a incerteza do investigador no momento da decisão, não assumir que a causa raiz já está resolvida.