Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks

Sintesi Tecnica: Rilevamento di Anomalie Basato su Autoencoder Spiegabile nelle Reti IEC 61850 GOOSE

Definizione del Problema
Il protocollo IEC 61850 Generic Object-Oriented Substation Event (GOOSE) è fondamentale per l'automazione e la protezione in tempo reale nelle sottostazioni digitali. Tuttavia, il suo design privilegia la comunicazione a bassa latenza rispetto alla sicurezza, mancando di meccanismi nativi di crittografia o autenticazione. Questa vulnerabilità espone i sistemi di potenza ad attacchi cyber sofisticati, tra cui la Soppressione del Messaggio (MS), la Manipolazione dei Dati (DM) e il Denial-of-Service (DoS). I tradizionali sistemi di rilevamento delle intrusioni (IDS) basati su regole o supervisionati faticano in questo contesto a causa della loro dipendenza da firme di attacco note, della scarsità di dati di attacco etichettati negli ambienti operativi e della difficoltà nel rilevare attacchi "zero-day" o conformi al protocollo che imitano il comportamento legittimo. Inoltre, l'estremo squilibrio di classe tra il traffico normale e i rari eventi di attacco complica l'addestramento dei modelli supervisionati.

Metodologia
Il documento propone un framework di rilevamento delle anomalie multi-vista, non supervisionato e spiegabile, che separa esplicitamente l'integrità semantica (regole di sequenziamento del protocollo) dalla disponibilità temporale (dinamiche di trasmissione e temporizzazione). La metodologia procede attraverso le seguenti fasi:

1. Ingegneria delle Caratteristiche (Feature Engineering): Il traffico GOOSE viene elaborato utilizzando finestre scorrevoli ($T_w$) di 0,1, 0,5, 1,0 e 3,0 secondi. Le caratteristiche sono decomposte in due set disgiunti:

   • Caratteristiche basate sulla sequenza ($F_{seq}$): Derivate dalla semantica dello strato applicativo IEC 61850, inclusi gli incrementi del numero di stato ($stNum$), l'evoluzione del numero di sequenza ($sqNum$) e la validità dell'indirizzo di destinazione.
   • Caratteristiche temporali ($F_{temp}$): Descrivono le dinamiche di trasmissione, inclusi i tempi di inter-arrivo, i tassi di pacchetti, il jitter, le lunghezze dei frame e i valori di Time-Allowed-To-Live (TTL).

2. Architettura Asimmetrica di Autoencoder (AE): Due Autoencoder distinti sono addestrati esclusivamente su traffico GOOSE operativo reale (contenente solo dati normali):

   • Un Semantic AE elabora $F_{seq}$ utilizzando un'architettura più profonda per catturare le dipendenze non lineari del protocollo.
   • Un Temporal AE elabora $F_{temp}$ utilizzando un collo di bottiglia (bottleneck) più stretto per prevenire la ricostruzione di comportamenti di flooding volumetrico.
   • Entrambi i modelli apprendono una rappresentazione latente compressa del traffico normale.

3. Scoring delle Anomalie e Soglia (Thresholding): Il rilevamento delle anomalie si basa sull'errore di ricostruzione (Mean Squared Error) dei dati di input. Inve instead di soglie fisse, il framework impiega la Teoria dei Valori Estremi (EVT) per modellare la coda della distribuzione dell'errore di ricostruzione dai dati di addestramento normali. Ciò produce soglie dinamiche ($z^*$) statisticamente fondate per ciascuna vista. Una finestra viene segnalata come anomala se l'errore nella vista semantica o in quella temporale supera la rispettiva soglia.

4. Spiegabilità: Il framework fornisce un'interpretabilità intrinseca scomponendo lo score di anomalia in contributi per singola caratteristica basati sugli errori di ricostruzione quadratici. Ciò collega i risultati del rilevamento direttamente a specifiche caratteristiche del protocollo IEC 61850 senza richiedere modelli surrogati.

Contributi Chiave

• Separazione Multi-Vista: Il decoupling esplicito tra dinamiche semantiche e temporali permette al modello di affrontare le distinte modalità comportamentali del traffico GOOSE, che spesso vengono confuse in approcci a modello singolo.
• Apprendimento Non Supervisionato con Dati Reali: L'approccio elimina la dipendenza da dati di attacco etichettati per l'addestramento, utilizzando solo traffico operativo reale per apprendere il comportamento normale, affrontando così la scarsità di campioni di attacco nei sistemi di controllo industriale.
• Soglia Statisticamente Fondata: L'uso di EVT per il dimensionamento dinamico delle soglie garantisce un rilevamento robusto sotto un severo squilibrio di classe, mantenendo al contempo il controllo sui falsi positivi.
• Spiegabilità Intrinseca: Analizzando gli errori di ricostruzione a livello di caratteristica, il sistema offre approfondimenti diretti sul perché sia stata rilevata un'anomalia, allineandosi a specifiche violazioni del protocollo (ad esempio, discontinuità del numero di sequenza o flood di temporizzazione).

Risultati Sperimentali
Il framework è stato valutato utilizzando un dataset reale proveniente da una sottostazione ad alta tensione (per l'addestramento) e un dataset pubblico contenente attacchi MS, DM e DoS etichettati (per il test).

• Prestazioni di Rilevamento: Il Semantic AE ha costantemente ottenuto un alto recall (spesso 1,00) in tutti i tipi di attacco e dimensioni delle finestre, rilevando efficacemente le interruzioni nelle regole di sequenziamento. Il Temporal AE ha mostrato una precisione inferiore a causa della variabilità intrinseca delle caratteristiche di temporizzazione, ma ha mantenuto un recall superiore a 0,80 nella maggior parte degli scenari.
• Falsi Positivi: La proporzione di falsi positivi è rimasta inferiore al 5% del volume totale del traffico, un livello ritenuto accettabile per le sottostazioni operative dove gli attacchi sono rari.
• Impatto della Dimensione della Finestra: Lunghezze di finestra intermedie ($T_w = 0,5$ s e $1,0$ s) hanno fornito il miglior compromesso tra risoluzione temporale e stabilità. Finestre più brevi ($0,1$ s) hanno aumentato la sensibilità al rumore, mentre finestre più lunghe ($3,0$ s) hanno attenuato le anomalie a breve durata.
• Generalizzazione: Il modello ha dimostrato una forte capacità di generalizzazione, mappando sia il traffico baseline del mondo reale che i campioni normali sintetici nello stesso spazio latente compatto, separando al contempo i campioni di attacco in regioni distinte.

Significatività e Rivendicazioni
Gli autori affermano che questo framework offre una soluzione robusta per il rilevamento delle anomalie nelle reti IEC 61850 GOOSE, particolarmente in scenari in cui non sono disponibili dati di attacco etichettati. Separando le viste semantica e temporale, il sistema cattura aspetti complementari del comportamento GOOSE che i detector a modello singolo trascurano. La combinazione di autoencoder asimmetrici, sogliatura basata su EVT e attribuzione a livello di caratteristica consente il rilevamento accurato di attacchi MS, DM e DoS con risultati interpretabili. Il documento sostiene che questo approccio sia adatto ad ambienti operativi, inclusi quelli che coinvolgono attacchi precedentemente sconosciuti, basandosi sulla struttura fondamentale del comportamento normale del protocollo piuttosto che su specifiche firme di attacco.