Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks

Resumen Técnico: Detección de Anomalías Basada en Autoencoders Explicables en Redes GOOSE IEC 61850

Planteamiento del Problema
El protocolo de Evento de Subestación Orientado a Objetos Genérico (GOOSE) de la norma IEC 61850 es crítico para la protección y automatización en tiempo real en subestaciones digitales. Sin embargo, su diseño prioriza la comunicación de baja latencia sobre la seguridad, careciendo de mecanismos nativos de cifrado o autenticación. Esta vulnerabilidad expone a los sistemas de potencia a ciberataques sofisticados, incluyendo la Supresión de Mensajes (MS), la Manipulación de Datos (DM) y la Denegación de Servicio (DoS). Los sistemas de detección de intrusiones (IDS) tradicionales, basados en reglas o supervisados, tienen dificultades en este contexto debido a su dependencia de firmas de ataques conocidos, la escasez de datos de ataque etiquetados en entornos operativos y el desafío de detectar ataques de día cero o ataques que cumplen con el protocolo pero imitan un comportamiento legítimo. Además, el extremo desequilibrio de clases entre el tráfico normal y los eventos de ataque poco frecuentes complica el entrenamiento de los modelos supervisados.

Metodología
El artículo propone un marco de detección de anomalías multivista, no supervisado y explicable que separa explícitamente la integridad semántica (reglas de secuenciación de protocolos) de la disponibilidad temporal (dinámicas de tiempo y transmisión). La metodología avanza a través de las siguientes etapas:

1. Ingeniería de Características: El tráfico GOOSE se procesa utilizando ventanas deslizantes ($T_w$) de 0.1, 0.5, 1.0 y 3.0 segundos. Las características se descomponen en dos conjuntos disjuntos:

   • Características basadas en la secuencia ($F_{seq}$): Derivadas de la semántica de la capa de aplicación de IEC 61850, incluyendo incrementos del número de estado ($stNum$), evolución del número de secuencia ($sqNum$) y validez de la dirección de destino.
   • Características temporales ($F_{temp}$): Describen la dinámica de transmisión, incluyendo tiempos de llegada entre paquetes, tasas de paquetes, jitter, longitudes de trama y valores de Tiempo de Vida Permitido (TTL).

2. Arquitectura de Autoencoder Asimétrico (AE): Se entrenan dos Autoencoders distintos utilizando exclusivamente tráfico GOOSE operativo real (que contiene solo datos normales):

   • Un AE Semántico procesa $F_{seq}$ utilizando una arquitectura más profunda para capturar dependencias no lineales del protocolo.
   • Un AE Temporal procesa $F_{temp}$ utilizando un cuello de botella más estrecho para evitar la reconstrucción de comportamientos de inundación volumétrica.
   • Ambos modelos aprenden una representación latente comprimida del tráfico normal.

3. Puntuación de Anomalías y Umbralización: La detección de anomalías se basa en el error de reconstrucción (Error Cuadrático Medio) de los datos de entrada. En lugar de umbrales fijos, el marco emplea la Teoría de Valores Extremos (EVT) para modelar la cola de la distribución del error de reconstrucción de los datos de entrenamiento normales. Esto genera umbrales dinámicos ($z^*$) estadísticamente fundamentados para cada vista. Una ventana se marca como anómala si el error en la vista semántica o en la temporal excede su respectivo umbral.

4. Explicabilidad: El marco proporciona interpretabilidad intrínseca al descomponer la puntuación de anomalía en contribuciones por característica basadas en los errores de reconstrucción al cuadrado. Esto vincula los resultados de detección directamente con características específicas del protocolo IEC 61850 sin requerir modelos sustitutos.

Contribuciones Clave

• Separación Multivista: La separación explícita de las dinámicas semánticas y temporales permite al modelo abordar las distintas modalidades de comportamiento del tráfico GOOSE, que a menudo se confunden en enfoques de modelo único.
• Aprendizaje No Supervisado con Datos Reales: El enfoque elimina la dependencia de datos de ataque etiquetados para el entrenamiento, utilizando únicamente tráfico operativo real para aprender el comportamiento normal, abordando así la escasez de muestras de ataque en sistemas de control industrial.
• Umbralización Estadísticamente Fundamentada: El uso de EVT para la umbralización dinámica asegura una detección robusta bajo un desequilibrio de clases extremo, manteniendo al mismo tiempo el control sobre los falsos positivos.
• Explicabilidad Intrínseca: Al analizar los errores de reconstrucción a nivel de característica, el sistema ofrece información directa sobre por qué se detectó una anomalía, alineándose con violaciones específicas del protocolo (por ejemplo, discontinuidades en el número de secuencia o inundaciones de tiempo).

Resultados Experimentales
El marco fue evaluado utilizando un conjunto de datos del mundo real de una subestación de alta tensión (para el entrenamiento) y un conjunto de datos público que contiene ataques MS, DM y DoS etiquetados (para las pruebas).

• Rendimiento de Detección: El AE Semántico logró consistentemente una alta recuperación (a menudo 1.00) en todos los tipos de ataque y tamaños de ventana, detectando eficazmente las interrupciones en las reglas de secuenciación. El AE Temporal mostró una precisión menor debido a la variabilidad inherente de las características de tiempo, pero mantuvo una recuperación superior a 0.80 en la mayoría de los escenarios.
• Falsos Positivos: La proporción de falsos positivos se mantuvo por debajo del 5% del volumen total de tráfico, un nivel considerado aceptable para subestaciones operativas donde los ataques son raros.
• Impacto del Tamaño de la Ventana: Longitudes de ventana intermedias ($T_w = 0.5$ s y $1.0$ s) proporcionaron el compromiso óptimo entre resolución temporal y estabilidad. Las ventanas más cortas ($0.1$ s) aumentaron la sensibilidad al ruido, mientras que las más largas ($3.0$ s) suavizaron las anomalías de corta duración.
• Generalización: El modelo demostró una fuerte capacidad de generalización, mapeando tanto el tráfico base del mundo real como las muestras normales sintéticas hacia la misma región latente compacta, mientras separaba las muestras de ataque en regiones distintas.

Significancia y Reivindicaciones
Los autores afirman que este marco ofrece una solución robusta para la detección de anomalías en redes GOOSE IEC 61850, particularmente en escenarios donde no hay disponibilidad de datos de ataque etiquetados. Al separar las vistas semántica y temporal, el sistema captura aspectos complementarios del comportamiento de GOOSE que los detectores de modelo único pasan por alto. La combinación de autoencoders asimétricos, umbralización basada en EVT y atribución a nivel de característica permite la detección precisa de ataques MS, DM y DoS con resultados interpretables. El artículo postula que este enfoque es adecuado para entornos operativos, incluyendo aquellos que involucran ataques previamente no vistos, al depender de la estructura fundamental del comportamiento normal del protocolo en lugar de firmas de ataque específicas.