⚡ electrical engineering

Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks

Dit artikel stelt een uitlegbare, ongesuperviseerde multi-view autoencoder framework voor die effectief diverse cyberaanvallen in IEC 61850 GOOSE-netwerken detecteert door onderscheidende latente representaties van protocolsemantiek en tijdsdynamiek uit normaal verkeer te leren, waarbij hoge detectiepercentages met lage foutpositieven en intrinsieke interpreteerbaarheid worden bereikt.

Oorspronkelijke auteurs: Dafne Lozano-Paredes, Luis Bote-Curiel, Juan Ramón Feijóo-Martínez, Ismael Gómez-Talal, José Luis Rojo-Álvarez

Gepubliceerd 2026-01-15

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Dafne Lozano-Paredes, Luis Bote-Curiel, Juan Ramón Feijóo-Martínez, Ismael Gómez-Talal, José Luis Rojo-Álvarez

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een digitale onderstation voor als een razendsnelle, hooggespannen controlekamer van het elektriciteitsnet van een stad. Binnen deze kamer praten duizenden kleine elektronische apparaten (genaamd IED's) constant met elkaar om het licht aan te houden en blackouts te voorkomen. Ze gebruiken een speciale taal genaamd GOOSE (Generic Object-Oriented Substation Event) om dringende berichten te sturen zoals "Schakel deze schakelaar om!" of "Stop de stroom!".

Het probleem is dat deze taal is ontworpen voor snelheid, niet voor beveiliging. Het is alsof je een ansichtkaart stuurt in plaats van een verzegelde envelop. Omdat het zo snel is, heeft het geen ingebouwde sloten of wachtwoorden. Dit betekent dat een hacker kan binnensluipen, zich kan voordoen als een legitiem apparaat en valse opdrachten kan sturen die echte schade kunnen veroorzaken.

De Uitdaging: De Naald in een Hooiberg Vinden

Traditionele beveiligingssystemen zijn als uitsmijters met een "Gezocht"-poster. Ze pakken alleen mensen die er precies uitzien als bekende criminelen. Maar hackers zijn slim; ze kunnen zich vermommen als normale mensen (bekend als "zero-day" aanvallen) of nieuwe trucjes gebruiken. Ook zijn aanvallen in een echt elektriciteitsnet extreem zeldzaam. Je hebt misschien een miljoen normale berichten voor elk enkel slecht bericht. Dit maakt het moeilijk om een computer te trainen om de slechte te herkennen zonder constant vals alarm te slaan.

De Oplossing: Het "Uitlegbare" Dubbelcheck-Systeem

De auteurs van dit paper stellen een nieuwe beveiligingsbewaker voor die geen "Gezocht"-poster nodig heeft. In plaats daarvan leert het wat normaal gedrag is en markeert het alles wat "afwijkend" voelt. Ze noemen dit een Explainable Autoencoder Framework.

Zo werkt het, met behulp van een eenvoudige analogie:

1. De Twee-Zichten-Benadering (Het "Wat" en het "Wanneer")

Het systeem splitst het verkeer in twee aparte categorieën om het gesprek beter te begrijpen:

Semantische Integriteit (Het "Wat"): Dit kijkt naar de inhoud van het bericht. In de GOOSE-taal zijn er strikte regels, zoals een reeks nummers die telkens met één moet toenemen (1, 2, 3...). Als een bericht "2" zegt en plotseling "5", dan is er een regel gebroken.
Temporele Beschikbaarheid (Het "Wanneer"): Dit kijkt naar de timing. Berichten komen op zeer voorspelbare intervallen aan. Als er plotseling een vloedgolf aan berichten binnenkomt, of als berichten te lang uitblijven, is dat verdacht.

2. De "Autoencoder" (Het Geheugenspel)

Stel je een student voor die maandenlang een tekstboek met "perfecte" GOOSE-berichten heeft bestudeerd. Deze student is een Autoencoder.

Training: De student krijgt alleen normaal, gezond verkeer te zien. De student leert deze berichten samen te vatten in een kleine mentale samenvatting en ze vervolgens weer perfect uit te breiden.
De Test: Wanneer een nieuw bericht arriveert, probeert de student het te comprimeren en weer uit te breiden.
- Als het bericht normaal is, kan de student het perfect reconstrueren.
- Als het bericht een hacker-nepbericht is (zelfs als het op een normaal bericht lijkt), raakt de student in de war. Ze kunnen het niet nauwkeurig reconstrueren. De "fout" in hun reconstructie is enorm.
Het Alarm: Een grote fout betekent "Afwijkend gedrag gedetecteerd!"

3. Waarom het "Uitlegbaar" is (Het Detectivewerk)

De meeste AI-systemen zijn "black boxes"—ze zeggen "Aanval!", maar je weet niet waarom. Dit systeem is anders. Omdat het het bericht afbreekt in specifieke onderdelen (zoals de volgnummers of de timing), kan het met een vinger wijzen en zeggen:

"Ik heb dit gemarkeerd omdat het volgnummer sprong van 10 naar 50, wat de regels overtreedt."
"Ik heb dit gemarkeerd omdat er 1.000 berichten in één seconde arriveerden, wat onmogelijk is voor normaal verkeer."

Dit is cruciaal voor technici. Ze krijgen niet alleen een alarm, maar ook een reden, wat hen helpt het probleem snel op te lossen.

De Resultaten: De Slechteriken Vangen Zonder Vals Alarm te Slaan

De onderzoekers hebben dit systeem getest met echte gegevens van een onderstation in Spanje en een publieke dataset met gesimuleerde aanvallen. Ze zochten naar drie soorten aanvallen:

Berichtonderdrukking (Message Suppression): Berichten verbergen zodat apparaten geen updates ontvangen.
Datamanipulatie (Data Manipulation): De inhoud van een bericht veranderen (bijv. een schakelaar vertellen om te openen terwijl deze gesloten moet blijven).
Denial-of-Service (DoS): Het netwerk overspoelen met troep om echte berichten te overstemmen.

De bevindingen waren indrukwekkend:

Hoog Succespercentage: Het systeem ving meer dan 99% van de aanvallen.
Lage Foutmarge: Het gaf minder dan 5% van de tijd een vals alarm. In een wereld met miljoens berichten betekent dit dat het beveiligingsteam niet wordt overspoeld door nep-meldingen.
Generalisatie: Het werkte goed, ook al was het getraind alleen op normaal verkeer en heeft het tijdens de training nooit de specifieke aanvallen gezien. Het heeft de "spelregels" zo goed geleerd dat het iedereen die de regels breekt direct kan herkennen.

De Kernboodschap

Dit paper presenteert een slim, aanpasbaar beveiligingsbewaker voor elektriciteitsnetten. In plaats van een lijst met bekende criminelen te memoriseren, leert het het ritme en de regels van een normaal gesprek. Als iemand probeert het ritme of de regels te breken, merkt het systeem dit onmiddellijk op en legt het precies uit wat er mis is gegaan. Dit maakt het een krachtig hulpmiddel voor de bescherming van kritieke infrastructuur tegen zowel bekende als gloednieuwe cyberdreigingen.

Technische Samenvatting: Uitlegbare Autoencoder-gebaseerde Anomaliedetectie in IEC 61850 GOOSE-netwerken

Probleemstelling
Het IEC 61850 Generic Object-Oriented Substation Event (GOOSE) protocol is cruciaal voor real-time bescherming en automatisering in digitale onderstations. Het ontwerp geeft echter prioriteit aan communicatie met een lage latentie boven beveiliging, waardoor het gebrek aan native encryptie- of authenticatiemechanismen bestaat. Deze kwetsbaarheid stelt energiesystemen bloot aan geavanceerde cyberaanvallen, waaronder Message Suppression (MS), Data Manipulation (DM) en Denial-of-Service (DoS). Traditionele op regels gebaseerde en gesuperviseerde Intrusion Detection Systems (IDS) worstelen in deze context vanwege hun afhankelijkheid van bekende aanvalssignaturen, de schaarste aan gelabelde aanvalsdata in operationele omgevingen, en de uitdaging om zero-day of protocol-conforme aanvallen te detecteren die legitiem gedrag nabootsen. Bovendien bemoeilijkt de extreme klassenonbalans tussen normaal verkeer en zeldzame gebeurtenissen van aanvallen het trainen van gesuperviseerde modellen.

Methodologie
Het artikel stelt een ongesuperviseerd, uitlegbaar, multi-view anomaliedetectiekader voor dat semantische integriteit (protocolsequentieregels) expliciet scheidt van temporele beschikbaarheid (timing en transmissiedynamiek). De methodologie verloopt via de volgende fasen:

Feature Engineering: GOOSE-verkeer wordt verwerkt met behulp van sliding windows ( $T_w$ ) van 0,1, 0,5, 1,0 en 3,0 seconden. Kenmerken worden gedecomposeerd in twee disjuncte sets:
- Sequentie-gebaseerde kenmerken ( $F_{seq}$ ): Afgeleid van IEC 61850 applicatielaag-semantiek, inclusief stappen in het statusnummer ($stNum$), de evolutie van het sequentienummer ($sqNum$) en de geldigheid van het bestemmingsadres.
- Temporele kenmerken ( $F_{temp}$ ): Beschrijvend voor de transmissiedynamiek, inclusief intervallen tussen aankomsttijden (inter-arrival times), pakketfrequenties, jitter, framelengtes en de Time-Allowed-To-Live (TTL) waarden.
Asymmetrische Autoencoder (AE) Architectuur: Twee verschillende Autoencoders worden uitsluitend getraind op real-world operationeel GOOSE-verkeer (dat alleen normale data bevat):
- Een Semantische AE verwerkt $F_{seq}$ met een diepere architectuur om niet-lineaire protocolafhankelijkheden te vangen.
- Een Temporele AE verwerkt $F_{temp}$ met een smallere bottleneck om de reconstructie van volumetrische flooding-gedragingen te voorkomen.
- Beide modellen leren een gecomprimeerde latente representatie van het normale verkeer.
Anomalie Score en Drempelwaarde: Anomaliedetectie is gebaseerd op de reconstructiefout (Mean Squared Error) van de inputdata. In plaats van vaste drempelwaarden gebruikt het kader Extreme Value Theory (EVT) om de staart van de reconstructiefoutdistributie van de normale trainingsdata te modelleren. Dit levert statistisch onderbouwde, dynamische drempelwaarden ( $z^*$ ) voor elk view op. Een window wordt als anomalie gemarkeerd als de fout in ofwel het semantische of het temporele view de respectieve drempelwaarde overschrijdt.
Uitlegbaarheid: Het kader biedt intrinsieke interpreteerbaarheid door de anomaliescore te deconstrueren in per-feature bijdragen op basis van gekwadrateerde reconstructiefouten. Dit koppelt detectieresultaten direct aan specifieke IEC 61850 protocolkenmerken zonder dat er surrogaatmodellen nodig zijn.

Belangrijkste Bijdragen

Multi-View Separatie: De expliciete ontkoppeling van semantische en temporele dynamiek stelt het model in staat om de afzonderlijke gedragsmodaliteiten van GOOSE-verkeer aan te pakken, die in single-model benaderingen vaak worden samengevoegd.
Ongesuperviseerd Leren met Real-World Data: De aanpak elimineert de afhankelijkheid van gelabelde aanvalsdata voor training, door uitsluitend real-world operationeel verkeer te gebruiken om normaal gedrag te leren, wat de schaarste aan aanvalssamples in industriële controlesystemen aanpakt.
Statistisch Onderbouwde Drempelwaarde: Het gebruik van EVT voor dynamische drempelwaarde zorgt voor robuuste detectie onder zware klassenonbalans terwijl controle over fout-positieven behouden blijft.
Intrinsieke Uitlegbaarheid: Door het analyseren van feature-niveau reconstructiefouten biedt het systeem directe inzichten in waarom een anomalie werd gedetecteerd, wat overeenkomt met specifieke protocolovertredingen (bijv. discontinuïteiten in sequentienummers of timing-floods).

Experimentele Resultaten
Het kader werd geëvalueerd met behulp van een real-world dataset van een hoogspanningsonderstation (voor training) en een publieke dataset met gelabelde MS, DM en DoS aanvallen (voor testen).

Detectieprestaties: De Semantische AE behaalde consistent een hoge recall (vaak 1,00) over alle aanvalstypes en window-groottes, waarbij onderbrekingen in de sequentieregels effectief werden gedetecteerd. De Temporele AE vertoonde een lagere precisie vanwege de inherente variabiliteit van timing-kenmerken, maar behield een recall boven de 0,80 voor de meeste scenario's.
Fout-positieven: De proportie fout-positieven bleef onder de 5% van het totale verkeersvolume, een niveau dat acceptabel wordt geacht voor operationele onderstations waar aanvallen zeldzaam zijn.
Impact van Window-grootte: Intermediaire windowlengtes ( $T_w = 0,5$ s en $1,0$ s) boden de optimale balans tussen temporele resolutie en stabiliteit. Kortere windows ($0,1$ s) verhoogden de gevoeligheid voor ruis, terwijl langere windows ($3,0$ s) kortstondige anomalieën wegfilterden.
Generalisatie: Het model demonstreerde sterke generalisatie door zowel real-world baseline verkeer als synthetische normale samples naar dezelfde compacte latente regio te mappen, terwijl aanvalssamples in afzonderlijke regio's werden gescheiden.

Betekenis en Claims
De auteurs beweren dat dit kader een robuuste oplossing biedt voor anomaliedetectie in IEC 61850 GOOSE-netwerken, met name in scenario's waar gelabelde aanvalsdata niet beschikbaar is. Door het scheiden van semantische en temporele views vangt het systeem complementaire aspecten van GOOSE-gedrag op die single-model detectoren missen. De combinatie van asymmetrische autoencoders, EVT-gebaseerde drempelwaardebepaling en feature-niveau attributie maakt nauwkeurige detectie van MS, DM en DoS aanvallen mogelijk met interpreteerbare uitkomsten. Het artikel stelt dat deze aanpak geschikt is voor operationele omgevingen, inclusive die met voorheen ongeziene aanvallen, door te vertrouwen op de fundamentele structuur van normaal protocolgedrag in plaats op specifieke aanvalssignaturen.