A Hybrid CNN-LSTM Intrusion Detection Framework for Cybersecurity in Smart Renewable Energy Grids

Resumen Técnico: Un Marco de Detección de Intrusiones Híbrido CNN-LSTM para la Ciberseguridad en Redes Inteligentes de Energías Renovables

Planteamiento del Problema
La acelerada digitalización de las redes inteligentes de energías renovables, impulsada por sensores IoT, Infraestructura de Medición Avanzada (AMI) y sistemas SCADA, ha expandido la superficie de ataque para amenazas cibernéticas sofisticadas. Estas incluyen ataques de Inyección de Datos Falsos (FDI) que distorsionan sigilosamente la estimación de estado y ataques de Denegación de Servicio (DoS/DDoS) que inundan los canales de comunicación. Si bien los Sistemas de Detección de Intrusiones (IDS) son esenciales, las soluciones existentes enfrentan tres limitaciones inherentes:

1. Déficits de Modelado Temporal: No logran modelar adecuadamente la progresión temporal de campañas de ataque de múltiples pasos, de tipo "lento y constante" (low-and-slow).
2. Problemas de Escalabilidad: El rendimiento se degrada bajo las distribuciones de clase extremadamente sesgadas que se encuentran en los conjuntos de datos de referencia estándar (por ejemplo, donde el tráfico benigno domina).
3. Restricciones de Generalización: Exhiben una generalización restringida a través de entornos de red heterogéneos.
   Los modelos de aprendizaje automático tradicionales (SVM, Random Forest, KNN) tratan los flujos de red como muestras independientes, ignorando el orden temporal crucial, mientras que los modelos de aprendizaje profundo independientes (CNN o LSTM) luchan por capturar simultáneamente los patrones de características espaciales y las dependencias temporales de largo plazo.

Metodología
El estudio propone un IDS Híbrido CNN-LSTM diseñado como un marco entrenable de extremo a extremo. El enfoque integra Redes Neuronales Convolucionales (CNN) para la extracción de características espacales con redes de Memoria de Largo Corto Plazo (LSTM) para el modelado de secuencias temporales.

• Arquitectura del Sistema: El modelo se despliega como un tap pasivo en el límite entre la capa de medición/detección (Capa 3) y la red de comunicación (Capa 4) de una arquitectura de red inteligente de cinco capas. Monitorea el tráfico de medición sin introducir latencia operativa.
• Pipeline de Preprocesamiento de Siete Etapas: Para abordar la calidad de los datos y el desequilibrio, se emplea un riguroso pipeline:
  1. Gestión de Valores Faltantes: Imputación de NaNs y reemplazo de valores infinitos.
  2. Normalización: Escalamiento Min-Max aplicado exclusivamente a la división de entrenamiento.
  3. Codificación: Codificación One-hot para características categóricas (protocolo, banderas).
  4. Equilibrio de Clases: Aplicación de SMOTE (Técnica de Sobremuestreo de la Minoría Sintética) exclusivamente al conjunto de entrenamiento para abordar el severo desequilibrio de clases (por ejemplo, ataques de Infiltración <0.01% de los registros).
  5. Selección de Características: Clasificación por Información Mutua (MI) para retener las 40 características más discriminativas.
  6. Construcción de Secuencia Temporal: Creación de secuencias causales ($T=10$) donde cada flujo es procesado primero por una CNN para generar un embedding de 128 dimensiones, los cuales se apilan para formar la entrada de la LSTM.
  7. Partición Estratificada: División 70/15/15 para evitar la fuga de datos.
• Arquitectura del Modelo:
  • Componente CNN: Dos bloques de Convolución 1D (64 y 128 filtros, tamaño de núcleo 3) con Normalización por Lotes (Batch Normalization), MaxPooling y Dropout. Esto extrae patrones de coocurrencia local de los vectores de flujo de 40 características.
  • Componente LSTM: Una capa LSTM de 128 unidades procesa la secuencia de embeddings de la CNN ($T=10$) para modelar la evolución del comportamiento de la red, abordando el problema del desvanecimiento del gradiente de las RNN tradicionales.
  • Salida: Una capa densa seguida de un clasificador Softmax para detección multiclase.
• Entrenamiento: El modelo utiliza el optimizador Adam ($\eta=0.001$), pérdida de entropía cruzada categórica y parada temprana con un programador ReduceLROnPlateau.

Contribuciones Clave

1. Arquitectura Híbrida: Un nuevo marco que unifica la extracción espacial basada en CNN y el modelado temporal basado en LSTM, permitiendo la detección tanto de anomalías volumétricas instantáneas como de ataques graduales de tipo lento y constante.
2. Preprocesamiento Exhaustivo: Un pipeline de siete etapas que aborda explícitamente los valores faltantes, la normalización, el equilibrio basado en SMOTE y la selección de características, identificado como crítico para manejar la naturaleza desequilibrada de los conjuntos de datos modernos de IDS.
3. Generalización entre Conjuntos de Datos: Evaluación extensa tanto en CICIDS2017 (moderno, desequilibrado) como en NSL-KDD (legado, transgeneracional) bajo configuraciones idénticas.
4. Viabilidad de Despliegue en el Borde (Edge): Demostración de capacidades de inferencia en tiempo real adecuadas para Dispositivos Electrónicos Inteligentes (IED) con recursos limitados de memoria (<128 MB), incluyendo un análisis de cuantización INT8.

Resultados Experimentales
El marco fue evaluado contra seis líneas base: KNN, SVM, Random Forest, CNN independiente y LSTM independiente.

• Desempeño en CICIDS2017: El CNN-LSTM híbrido alcanzó un 98.7% de precisión (accuracy), 98.2% de precisión (precision), 97.9% de exhaustividad (recall), 98.0% de F1-score y 0.995 AUC-ROC. Esto superó al mejor modelo de aprendizaje profundo independiente (LSTM) por 2.6 puntos porcentuales en precisión y al mejor modelo de ML tradicional (Random Forest) por 5.2 puntos porcentuales.
• Desempeño en NSL-KDD: El modelo logró un 98.2% de precisión y 0.990 AUC-ROC, demostrando una robusta generalización con una brecha de rendimiento mínima (0.5 pp) en comparación con las caídas mayores de los modelos de línea base.
• Análisis de Ablación: Eliminar el equilibrio de clases mediante SMOTE resultó en la mayor caída de desempeño (−3.7 pp en F1), confirmando que el manejo del desequilibrio de clases es más crítico que las elecciones arquitectónicas específicas. Eliminar el segundo bloque convolucional y la normalización por lotes también causó caídas significativas (−1.5 pp y −1.2 pp, respectivamente).
• Eficiencia Computacional:
  • Rendimiento (Throughput): 27,800 flujos/segundo en GPU.
  • Latencia: 0.082 ms/muestra en CPU (con tamaño de lote de 100).
  • Cuantización: La cuantización INT8 proporcionó una aceleración de 3.1× con solo una pérdida de precisión del 0.3%, validando el despliegue en dispositivos de borde.
• Análisis Temporal: El estudio confirmó que, mientras las CNN detectan eficazmente picos de volumen repentinos (ej. DoS Hulk), pierden los desvíos graduales (ej. DoS Slowloris). El componente LSTM fue esencial para detectar estas campañas lentas y constantes mediante el modelado de secuencias sobre $T=10$ flujos.

Significancia y Reivindicaciones
El artículo afirma proporcionar un marco de aprendizaje profundo desplegable diseñado específicamente para asegurar la infraestructura de redes inteligentes de energías renovables de próxima generación. Su significancia radica en:

• Cerrar la Brecha: Combinar con éxito el modelado espacial y temporal para abordar las características duales del tráfico de red de las redes inteligentes, algo que los modelos independientes no logran capturar.
• Viabilidad Operativa: Demostrar que el aprendizaje profundo de alto rendimiento puede cumplir con las restricciones de tiempo real (latencia sub-milisegundo) y ejecutarse en hardware con recursos limitados mediante la cuantización, yendo más allá de los benchmarks teóricos.
• Robustez: Establecer que el preprocesamiento riguroso, particularmente el equilibrio basado en SMOTE, es un factor dominante para lograr una alta exhaustividad en tipos de ataques raros pero críticos (como la Infiltración) sin sacrificar la precisión en el tráfico benigno.
• Generalización: Demostrar que la representación de características espaciotemporales del modelo se generaliza efectivamente a través de entornos de red heterogéneos, a diferencia de las líneas base de ML tradicional que sufren de desplazamientos de datos (dataset shifts).

Los autores concluyen que, si bien el modelo es menos intensivo computacionalmente que las arquitecturas basadas en Transformers, sigue requiriendo más recursos que el ML tradicional, y el trabajo futuro debería explorar el aprendizaje federado, los mecanismos de atención e la integración de conjuntos de datos SCADA del mundo real para mejorar aún más la robustez y adaptabilidad.