A Hybrid CNN-LSTM Intrusion Detection Framework for Cybersecurity in Smart Renewable Energy Grids

Sintesi Tecnica: Un Framework di Intrusion Detection Ibrido CNN-LSTM per la Cybersecurity nelle Smart Grid delle Energie Rinnovabili

Problematica
L'accelerata digitalizzazione delle smart grid per le energie rinnovabili, guidata da sensori IoT, Infrastrutture di Misurazione Avanzata (AMI) e sistemi SCADA, ha ampliato la superficie di attacco per minacce cyber sofisticate. Queste includono attacchi di Iniezione di Dati Falsi (FDI) che distorcono furtivamente la stima dello stato e attacchi di Denial-of-Service (DoS/DDoS) che inondano i canali di comunicazione. Sebbene i Sistemi di Rilevamento delle Intrusioni (IDS) siano essenziali, le soluzioni esistenti affrontano tre limiti intrinseci:

1. Deficit di Modellazione Temporale: non riescono a modellare adeguatamente la progressione temporale di campagne di attacco multi-step, di tipo "low-and-slow".
2. Problemi di Scalabilità: le prestazioni degradano sotto le distribuzioni di classe estremamente sbilanciate presenti nei dataset di benchmark standard (ad esempio, dove il traffico benigno domina).
3. Vincoli di Generalizzazione: mostrano una generalizzazione limitata tra ambienti di rete eterogenei.
   I modelli tradizionali di machine learning (SVM, Random Forest, KNN) trattano i flussi di rete come campioni indipendenti, ignorando l'ordinamento temporale cruciale, mentre i modelli di deep learning standalone (CNN o LSTM) faticano a catturare simultaneamente i pattern di caratteristiche spaziali e le dipendenze temporali a lungo termine.

Metodologia
Lo studio propone un IDS Ibrido CNN-LSTM progettato come un framework addestrabile end-to-end. L'approccio integra le Reti Neurali Convoluzionali (CNN) per l'estrazione di caratteristiche spaziali con le reti Long Short-Term Memory (LSTM) per la modellazione delle sequenze temporali.

• Architettura del Sistema: Il modello è implementato come un tap passivo al confine tra lo strato di misurazione/sensing (Livello 3) e la rete di comunicazione (Livello 4) di un'architettura smart grid a cinque livelli. Monitora il traffico di misurazione senza introdurre latenza operativa.
• Pipeline di Preprocessing a Sette Stadi: Per affrontare la qualità dei dati e lo sbilanciamento, viene impiegata una rigorosa pipeline:
  1. Gestione dei Valori Mancanti: Imputazione dei NaN e sostituzione dei valori infiniti.
  2. Normalizzazione: Scaling Min-Max applicato esclusivamente alla partizione di training.
  3. Codifica: One-hot encoding per le caratteristiche categoriche (protocollo, flag).
  4. Bilanciamento delle Classi: Applicazione di SMOTE (Synthetic Minority Oversampling Technique) esclusivamente al set di training per affrontare il grave sbilanciamento delle classi (ad esempio, attacchi di Infiltrazione <0,01% dei record).
  5. Selezione delle Caratteristiche: Classifica tramite Informazione Mutua (MI) per mantenere i 40 parametri più discriminanti.
  6. Costruzione della Sequenza Temporale: Creazione di sequenze causali ($T=10$) dove ogni flusso viene prima elaborato da una CNN per generare un embedding a 128 dimensioni, che vengono poi impilati per formare l'input della LSTM.
  7. Partizionamento Stratificato: Split 70/15/15 per prevenire il data leakage.
• Architettura del Modello:
  • Componente CNN: Due blocchi convoluzionali 1D (64 e 128 filtri, dimensione del kernel 3) con Batch Normalization, MaxPooling e Dropout. Questo estrae i pattern di co-occorrenza locale dai vettori di flusso a 40 caratteristiche.
  • Componente LSTM: Uno strato LSTM a 128 unità elabora la sequenza di embedding della CNN ($T=10$) per modellare l'evoluzione del comportamento di rete nel tempo, affrontando il problema della scomparsa del gradiente tipico delle RNN tradizionali.
  • Output: Uno strato denso seguito da un classificatore Softmax per la rilevazione multi-classe.
• Addestramento: Il modello utilizza l'ottimizzatore Adam ($\eta=0,001$), la perdita di cross-entropy categorica e l'early stopping con uno scheduler ReduceLROnPlateau.

Contributi Chiave

1. Architettura Ibrida: Un nuovo framework che unisce l'estrazione spaziale basata su CNN e la modellazione temporale basata su LSTM, consentendo il rilevamento sia di anomalie volumetriche istantanee che di attacchi graduali "low-and-slow".
2. Preprocessing Completo: Una pipeline a sette stadi che affronta esplicitamente valori mancanti, normalizzazione, bilanciamento tramite SMOTE e selezione delle caratteristiche, identificata come critica per gestire la natura sbilanciata dei moderni dataset IDS.
3. Generalizzazione Cross-Dataset: Valutazione estesa su entrambi i benchmark CICIDS2017 (moderno, sbilanciato) e NSL-KDD (legacy, cross-generazionale) sotto impostazioni identiche.
4. Fattibilità di Implementazione Edge: Dimostrazione di capacità di inferenza in tempo reale adatte a dispositivi elettronici intelligenti (IED) con risorse limitate (<128MB di memoria), inclusa l'analisi della quantizzazione INT8.

Risultati Sperimentali
Il framework è stato valutato contro sei baseline: KNN, SVM, Random Forest, CNN standalone e LSTM standalone.

• Performance su CICIDS2017: L'ibrido CNN-LSTM ha raggiunto il 98,7% di accuratezza, 98,2% di precisione, 97,9% di recall, 98,0% di F1-score e 0,995 AUC-ROC. Ha superato il miglior modello di deep learning standalone (LSTM) di 2,6 punti percentuali in accuratezza e il miglior modello di ML tradizionale (Random Forest) di 5,2 punti percentuali.
• Performance su NSL-KDD: Il modello ha ottenuto il 98,2% di accuratezza e 0,990 AUC-ROC, dimostrando una robusta generalizzazione con un gap di performance minimo (0,5 pp) tra i dataset rispetto ai cali maggiori registrati dai modelli baseline.
• Analisi di Ablazione: La rimozione del bilanciamento delle classi tramite SMOTE ha causato il calo di performance più significativo (−3,7 pp F1), confermando che la gestione dello sbilanciamento delle classi è più critica delle specifiche scelte architettoniche. La rimozione del secondo blocco convolutivo e della batch normalization ha causato cali significativi (−1,5 pp e −1,2 pp, rispettivamente).
• Efficienza Computazionale:
  • Throughput: 27.800 flussi/secondo su GPU.
  • Latenza: 0,082 ms/campione su CPU (con batch size 100).
  • Quantizzazione: La quantizzazione INT8 ha fornito un incremento di velocità di 3,1× con una perdita di accuratezza di solo lo 0,3%, validando l'implementazione su dispositivi edge.
• Analisi Temporale: Lo studio ha confermato che, mentre le CNN rilevano efficacemente i picchi improvvisi di volume (es. DoS Hulk), perdono i drift graduali (es. DoS Slowloris). La componente LSTM è stata essenziale per rilevare queste campagne "low-and-slow" modellando le sequenze su $T=10$ flussi.

Significatività e Rivendicazioni
Il documento rivendica di fornire un framework di deep learning implementabile specificamente progettato per la sicurezza delle infrastrutture delle smart grid a energia rinnovabile di prossima generazione. La sua significatività risiede in:

• Colmare il Divario: Combinare con successo la modellazione spaziale e temporale per affrontare le doppie caratteristiche del traffico di rete delle smart grid, che i modelli standalone non riescono a catturare.
• Viabilità Operativa: Provare che il deep learning ad alte prestazioni può soddisfare i vincoli in tempo reale (latenza sub-millisecondo) e girare su hardware con risorse limitate tramite la quantizzazione, andando oltre i benchmark teorici.
• Robustezza: Stabilire che un preprocessing rigoroso, in particolare il bilanciamento tramite SMOTE, è un fattore dominante per ottenere un'alta recall su tipi di attacco rari ma critici (come l'Infiltrazione) senza sacrificare la precisione sul traffico benigno.
• Generalizzazione: Dimostrare che la rappresentazione delle caratteristiche spazio-temporali del modello si generalizza efficacemente attraverso ambienti di rete eterogenei, a differenza dei modelli ML tradizionali che soffrono di shift nei dataset.

Gli autori concludono che, sebbene il modello sia meno intensivo dal punto di vista computazionale rispetto alle architetture basate su Transformer, richiede comunque più risorse rispetto al ML tradizionale, e che il lavoro futuro dovrebbe esplorare il federated learning, i meccanismi di attenzione e l'integrazione di dataset SCADA reali per migliorare ulteriormente robustezza e adattabilità.