A Hybrid CNN-LSTM Intrusion Detection Framework for Cybersecurity in Smart Renewable Energy Grids

Resumo Técnico: Uma Estrutura de Detecção de Intrusão Híbrida CNN-LSTM para Cibersegurança em Redes Inteligentes de Energia Renovável

Declaração do Problema
A digitalização acelerada das redes inteligentes de energia renovável, impulsionada por sensores IoT, Infraestrutura de Medição Avançada (AMI) e sistemas SCADA, expandiu a superfície de ataque para ameaças cibernéticas sofisticadas. Estas incluem ataques de Injeção de Dados Falsos (FDI), que distorcem furtivamente a estimação de estado, e ataques de Negação de Serviço (DoS/DDoS), que inundam os canais de comunicação. Embora os Sistemas de Detecção de Intrusão (IDS) sejam essenciais, as soluções existentes enfrentam três limitações inerentes:

1. Déficits de Modelagem Temporal: Falham em modelar adequadamente a progressão temporal de campanhas de ataque de múltiplos passos, do tipo "low-and-slow" (lentas e persistentes).
2. Problemas de Escalabilidade: O desempenho degrada-se sob as distribuições de classes extremamente desequilibradas encontradas em conjuntos de dados de referência padrão (ex: onde o tráfego benigno domina).
3. Restrições de Generalização: Exibem generalização restrita através de ambientes de rede heterogêneos.
   Os modelos tradicionais de aprendizado de máquina (SVM, Random Forest, KNN) tratam os fluxos de rede como amostras independentes, ignorando a ordenação temporal crucial, enquanto modelos de aprendizado profundo isolados (CNN ou LSTM) lutam para capturar simultaneamente padrões de características espaciais e dependências temporais de longo prazo.

Metodologia
O estudo propõe um IDS Híbrido CNN-LSTM projetado como uma estrutura treinável de ponta a ponta. A abordagem integra Redes Neurais Convolucionais (CNN) para extração de características espaciais com redes de Longa Memória de Curto Prazo (LSTM) para modelagem de sequências temporais.

• Arquitetura do Sistema: O modelo é implantado como um tap passivo na fronteira entre a camada de medição/sensoriamento (Camada 3) e a rede de comunicação (Camada 4) de uma arquitetura de rede inteligente de cinco camadas. Ele monitora o tráfego de medição sem introduzir latência operacional.
• Pipeline de Pré-processamento de Sete Estágios: Para lidar com a qualidade e o desequilíbrio dos dados, um rigoroso pipeline é empregado:
  1. Tratamento de Valores Ausentes: Imputação de NaNs e substituição de valores infinitos.
  2. Normalização: Escalonamento Min-Max aplicado exclusivamente à divisão de treinamento.
  3. Codificação: Codificação one-hot para características categóricas (protocolo, flags).
  4. Balanceamento de Classes: Aplicação de SMOTE (Synthetic Minority Oversampling Technique) exclusivamente ao conjunto de treinamento para abordar o severo desequilíbrio de classes (ex: ataques de Infiltração <0,01% dos registros).
  5. Seleção de Características: Classificação por Informação Mútua (MI) para reter as 40 principais características discriminativas.
  6. Construção de Sequência Temporal: Criação de sequências causais ($T=10$) onde cada fluxo é primeiro processado por uma CNN para gerar um embedding de 128 dimensões, que são então empilhados para formar a entrada da LSTM.
  7. Particionamento Estratificado: Divisão 70/15/15 para evitar vazamento de dados (data leakage).
• Arquitetura do Modelo:
  • Componente CNN: Dois blocos de Convolução 1D (64 e 128 filtros, tamanho do kernel 3) com Normalização de Lote (Batch Normalization), MaxPooling e Dropout. Isso extrai padrões de coocorrência local dos vetores de fluxo de 40 características.
  • Componente LSTM: Uma camada LSTM de 128 unidades processa a sequência de embeddings da CNN ($T=10$) para modelar a evolução do comportamento da rede ao longo do tempo, abordando o problema do desaparecimento do gradiente das RNNs tradicionais.
  • Saída: Uma camada densa seguida por um classificador Softmax para detecção multiclasse.
• Treinamento: O modelo utiliza o otimizador Adam ($\eta=0,001$), perda de entropia cruzada categórica e interrupção precoce (early stopping) com um agendador ReduceLROnPlateau.

Principais Contribuições

1. Arquitetura Híbrida: Uma nova estrutura que unifica a extração espacial baseada em CNN e a modelagem temporal baseada em LSTM, permitindo a detecção tanto de anomalias volumétricas instantâneas quanto de ataques graduais "low-and-slow".
2. Pré-processamento Abrangente: Um pipeline de sete estágios que aborda explicitamente valores ausentes, normalização, balanceamento via SMOTE e seleção de características, identificados como críticos para lidar com a natureza desequilibrada dos conjuntos de dados modernos de IDS.
3. Generalização entre Conjuntos de Dados: Avaliação extensiva nos benchmarks CICIDS2017 (moderno, desequilibrado) e NSL-KDD (legado, transgeracional) sob configurações idênticas.
4. Viabilidade de Implantação na Borda (Edge): Demonstração de capacidades de inferência em tempo real adequadas para Dispositivos Eletrônicos Inteligentes (IEDs) com recursos limitados de memória (<128MB), incluindo análise de quantização INT8.

Resultos Experimentais
A estrutura foi avaliada contra seis modelos de base: KNN, SVM, Random Forest, CNN isolada e LSTM isolada.

• Desempenho no CICIDS2017: O modelo híbrido CNN-LSTM alcançou 98,7% de acurácia, 98,2% de precisão, 97,9% de recall, 98,0% de F1-score e 0,995 de AUC-ROC. Isso superou o melhor modelo de aprendizado profundo isolado (LSTM) em 2,6 pontos percentuais de acurácia e o melhor modelo de ML tradicional (Random Forest) em 5,2 pontos percentuais.
• Desempenho no NSL-KDD: O modelo alcançou 98,2% de acurácia e 0,990 de AUC-ROC, demonstrando uma generalização robusta com uma diferença mínima de desempenho (0,5 pp) entre os conjuntos de dados em comparação com as quedas maiores observadas nos modelos de base.
• Análise de Ablação: A remoção do balanceamento de classes por SMOTE resultou na maior queda de desempenho (−3,7 pp no F1), confirmando que o tratamento do desequilíbrio de classes é mais crítico do que escolhas arquiteturais específicas. A remoção do segundo bloco convolucional e da normalização de lote também causou quedas significativas (−1,5 pp e −1,2 pp, respectivamente).
• Eficiência Computacional:
  • Vazão (Throughput): 27.800 fluxos/segundo em GPU.
  • Latência: 0,082 ms/amostra em CPU (com tamanho de lote de 100).
  • Quantização: A quantização INT8 proporcionou um aceleração de 3,1× com apenas uma perda de acurácia de 0,3%, validando a implantação em dispositivos de borda.
• Análise Temporal: O estudo confirmou que, embora as CNNs detectem efetivamente picos súbitos de volume (ex: DoS Hulk), elas perdem variações graduais (ex: DoS Slowloris). O componente LSTM foi essencial para detectar essas campanhas "low-and-slow" ao modelar sequências de $T=10$ fluxos.

Significância e Alegações
O artigo afirma fornecer uma estrutura de aprendizado profundo implantável especificamente adaptada para assegurar a infraestrutura de redes inteligentes de energia renovável de próxima geração. Sua significância reside em:

• Preencher a Lacuna: Combinar com sucesso a modelagem espacial-temporal para abordar as características duais do tráfego de rede de redes inteligentes, algo que modelos isolados falham em capturar.
• Viabilidade Operacional: Provar que o aprendizado profundo de alto desempenho pode atender às restrições de tempo real (latência submilissegundo) e rodar em hardware com recursos limitados via quantização, indo além dos benchmarks teóricos.
• Robustez: Estabelecer que o pré-processamento rigoroso, particularmente o balanceamento via SMOTE, é um fator dominante para alcançar alto recall em tipos de ataques raros mas críticos (como Infiltração) sem sacrificar a precisão no tráfego benigno.
• Generalização: Demonstrar que a representação de características espaciais-temporais do modelo generaliza-se eficazmente através de ambientes de rede heterogêneos, ao contrário dos modelos de ML tradicionais que sofrem com mudanças de conjunto de dados (dataset shifts).

Os autores concluem que, embora o modelo seja menos intensivo computacionalmente do que arquiteturas baseadas em transformers, ele ainda requer mais recursos do que o ML tradicional, e trabalhos futuros devem explorar aprendizado federado, mecanismos de atenção e a integração de conjuntos de dados SCADA do mundo real para aumentar ainda mais a robustez e adaptabilidade.