Mapeamento de telemetria de ICS para o ATT&CK for ICS assistido por gêmeo digital, com raciocínio de dependência orientado por evidências
Pesquisadores propõem um framework que usa um gêmeo digital (digital twin) de um sistema de controle industrial para detectar desvios de estado físico, converter esses desvios em descrições preservadoras de evidência e mapeá-los para técnicas do MITRE ATT&CK for ICS por meio de um LLM com retrieval-augmented reasoning. O resultado é um grafo de dependência tipado que tenta reconstruir a cadeia de ações do atacante a partir apenas da telemetria de processo. A avaliação em SWaT mostrou redução de falsos positivos, mas recall moderado e nenhuma generalização consistente para os datasets externos BATADAL e WADI.
Fonte ↗