Resilient Computing Lab
Piano Triennale 2022-2024 Ricerca di Sistema nel Settore elettrico - Obiettivo 2_Digitalizzazione ed evoluzione delle reti- 2.1 Progetto Integrato Cyber security dei sistemi energetici
Una Smart Grid è una rete di fornitura di energia elettrica basata su tecnologie dell'informazione e della comunicazione (ICT) e informazioni digitali, che collega fornitori e prosumer consentendo il monitoraggio, l'analisi e il controllo di molti aspetti della produzione e distribuzione di energia elettrica. Le smart grid rappresentano uno dei sistemi, tra quelli emergenti, che mostrano un certo grado di criticità dove l'effettiva e tempestiva rilevazione sia di malfunzionamenti che di tentativi intenzionali di attacco informatico è di fondamentale importanza. Al giorno d'oggi, infatti, la sicurezza informatica nei sistemi di smart grid sta diventando una delle principali preoccupazioni, poiché esiste un ampio elenco di attacchi informatici che possono essere condotti contro di essi. Sono state proposte soluzioni che promettono di mitigare il rischio di attacchi informatici e guasti, ma riteniamo che ci sia ancora spazio per nuove metodologie in grado di rilevare tempestivamente il verificarsi di eventi indesiderati causati da attacchi intenzionali o guasti nel sistema e non possiamo fare affidamento sulle mitigazioni esistenti per sempre a causa di un panorama in continua evoluzione nella sicurezza informatica e nella tecnologia (ad esempio, minacce emergenti e i cosiddetti 0-day attacks).
I rilevatori di anomalie si propongono di "identificare modelli che non sono conformi a una nozione ben definita di comportamento normale". Classificano il comportamento del sistema come normale o anomalo, suggerendo la presenza di tentativi di intrusioni o di altri problemi. I rilevatori di anomalie si basano su due componenti principali: una strategia di monitoraggio per raccogliere dati da un sistema target e un classificatore per etichettare i dati monitorati come normali o anomali.
Tramite una attività di monitoraggio si raccolgono valori di indicatori specifici a intervalli di tempo predeterminati o quando si verificano eventi specifici. I valori monitorati vengono quindi pre-elaborati, combinati o utilizzati così come sono per creare data-points e infine creare data-sets tabulari.
Algoritmi di Machine Learning (ML) eseguono quindi una classificazione binaria, mappando la classe negativa al comportamento normale, mentre le anomalie vengono mappate alla classe positiva. Diversi classificatori possono essere usati per realizzare rilevatori di anomalie con prestazioni di rilevamento diverse. Diventa quindi necessario poter analizzare le prestazioni dei classificatori e possibilmente combinare più classificatori nella stessa struttura di rilevazione per da un lato diminuire la occorrenza di classificazioni sbagliate e dall'altro calibrare la soluzione più adatta per uno specifico sistema. È stato dimostrato che i classificatori supervisionati ottengono eccellenti prestazioni di rilevamento nei sistemi semi-statici. In alternativa, i classificatori non supervisionati, che non richiedono dati etichettati per l'addestramento, sono buoni candidati per il rilevamento di anomalie in vari casi, ad esempio quando i dati a disposizione non sono etichettati (per dati storici spesso le etichette sono troppo costose da derivare) o quando il sistema da proteggere evolve dinamicamente per rndere l'apprendimento presto obsoleto e non più calzante alla situazione da fronteggiare, oppure se l'obiettivo e' anche di proteggere il sistema da minacce sconosciute, vulnerabilità non note o 0-day attacks.
In particolare le smart grid sono sistemi dinamici esposti a comportamenti imprevedibili e sopratutto a minacce molte volte sconosciute che hanno un impatto negativo. Ciò apre importanti domande di ricerca su come adattare i rilevatori di anomalie ai sistemi in evoluzione o affrontare anomalie dovute ad attacchi sconosciuti. Studi recenti mostrano tendenze promettenti che suggeriscono di combinare più clssificatori insieme seguendo l'approccio cosiddetto di meta-learning, in cui un meta-classificatore apprende e lavora osservando non direttamente il sistema ma il comportamento di altri classificatori base. Inoltre combinare insieme piu classificatori consente anche di utizizzare insieme sia classificatori supervisionati che non supervisionati per costruire un rilevatore di anomalie in grado di far fronte a sistemi complessi. Questi rilevatori di intrusioni hanno il potenziale per i) richiedere molti meno dati e conoscenze per l'addestramento, la valutazione e l'implementazione del rilevatore e ii) essere più robusti per eventi sconosciuti che possono esporre il sistema ad attacchi zero-day.
La attività proposta farà avanzare la ricerca e la pratica sull'applicazione del rilevamento delle anomalie studiando soluzioni per rilevare anomalie dovute sia a eventi noti ma anche ad eventi sconosciuti. Studieremo inltre in che modo la dinamica del sistema smart grid va a rendere obsoleto un apprendimento eseguito precedentemente, richiedendo quindi un aggiornamento del rilevatore. In particolare, questa dinamica evoluzione puo esporre nuove vulnerabilità o portare a nuovi difetti che sono difficili da rilevare. L'approccio che si propone sfrutterà le informazioni iniziali (offline) che descrivono il comportamento e la configurazione del sistema e saranno utilizzate per creare il rilevatore di anomalie in una prima fase. Il rilevatore verrà successivamente aggiornato in base ai dati recuperati dai diversi componenti dello smart grid, unendo e addestrando dai dati raccolti dai nodi (ad esempio, sfruttando il paradigma di apprendimento federato quando necessario). Ciò consente di adattare il modello iniziale del rilevatore di anomalie all'ambiente attuale, regolandone i parametri o apprendendo nuove informazioni non appena viene rilevata un'evoluzione o un cambiamento di configurazione.