FalsEye: proaktywne wykrywanie ataków wstrzykiwania fałszywych danych w sieciach inteligentnych przy użyciu zespołowego uczenia zoptymalizowanego algorytmem IceCube

Utrzymanie zasilania w cyfrowym świecie

Nowoczesne sieci energetyczne szybko przekształcają się w systemy „inteligentne”, które polegają na stałych strumieniach danych cyfrowych, aby elektryczność płynęła bez zakłóceń. Jednak ta sama łączność, która zwiększa efektywność, otwiera też drzwi dla cyberprzestępców, którzy mogą dyskretnie manipulować odczytami czujników i sygnałami sterującymi. W artykule przedstawiono FalsEye — nowego inteligentnego strażnika zaprojektowanego do wczesnego wykrywania takich ukrytych ataków na dane, tak aby przerwy w dostawie prądu, uszkodzenia sprzętu i zakłócenia usług można było zapobiec, zanim dotrą do domów i firm.

Kiedy fałszywe dane zagrażają rzeczywistej energii

Sieci inteligentne opierają się na czujnikach i urządzeniach sterujących, które w czasie rzeczywistym informują operatorów o stanie linii przesyłowych. Ataki typu False Data Injection (FDIA) polegają na subtelnym zmienianiu tych pomiarów tak, że sieć wydaje się zdrowa, podczas gdy w rzeczywistości jest pod obciążeniem, lub na zwodzeniu urządzeń, aby podjęły niewłaściwe działania. Zdarzenia w realnym świecie — między innymi w Ukrainie — oraz próby ataków w Stanach Zjednoczonych pokazują, że to nie jest kwestia teoretyczna: starannie spreparowane złośliwe dane mogą wyłączyć stacje transformatorowe i spowodować awarie na dużą skalę. Ponieważ faktyczne ataki są rzadkie w porównaniu z normalną pracą, a sprawcy mogą nieustannie zmieniać taktykę, tradycyjne reguły alarmowe i standardowe narzędzia ML często nie wykrywają najbardziej niebezpiecznych przypadków.

Dlaczego wcześniejsze obrony zawodziły

Naukowcy testowali wiele metod wykrywania FDIA — od kontroli statystycznych i technik przetwarzania sygnałów po zaawansowane sieci neuronowe. W wielu kontrolowanych testach te metody wypadają dobrze, lecz mają trudności w rzeczywistych warunkach sieci. Kluczowym problemem jest nierównowaga danych: przykładów normalnego działania jest znacznie więcej niż przykładów ataków, więc modele uczą się rozpoznawać codzienne zjawiska i bardzo słabo wykrywać rzadkie, lecz szkodliwe zdarzenia. Inne podejścia używają tylko jednego typu modelu lub polegają na stałych, ręcznie dobranych ustawieniach, które mogą nie dopasować się, gdy sieć się zmienia lub gdy atakujący zmieniają strategię. Autorzy przeanalizowali dekady wcześniejszych badań i stwierdzili, że żaden istniejący system nie łączył w pełni trzech składników, które pomagają: potężnych zespołów modeli, inteligentnego wyrównywania rzadkich zdarzeń w danych oraz systematycznego dostrajania ustawień modeli.

Budowanie mądrzejszego strażnika

FalsEye łączy te brakujące elementy w jednym potoku. Zaczyna od pomiarów z publicznie dostępnego testowego systemu sieci inteligentnej, który obejmuje zarówno zdarzenia naturalne, jak i szerokie spektrum symulowanych ataków. Przy użyciu techniki zwanej selekcją cech ramy wybierają najinformacyjniejsze części danych, takie jak zmiany napięcia, prądu i częstotliwości, które zwykle przesuwają się podczas ataku. Następnie stosuje adaptacyjną metodę oversamplingu nazwaną ADASYN, która generuje realistyczne dodatkowe przykłady rzadkich wzorców ataków, zwłaszcza w najtrudniejszych do nauki obszarach przestrzeni danych. Pomaga to systemowi nauczyć się, jak wyglądają ataki, nie przytłaczając go sztucznym szumem.

Łączenie wielu „umysłów” i ich dopieszczanie

W sercu FalsEye znajduje się zespół głosujący, który łączy kilka różnych modeli uczenia maszynowego, w tym szybkie metody oparte na drzewach, takie jak Extra Trees, LightGBM i CatBoost, oraz bardziej tradycyjne klasyfikatory. Zamiast polegać na pojedynczym modelu, system łączy ich estymacje prawdopodobieństw przy użyciu „soft voting”, dzięki czemu słabości jednego modelu mogą być pokryte przez mocne strony innego. Aby wycisnąć z tych komponentów jak najlepsze rezultaty, autorzy wprowadzają nowe podejście optymalizacyjne inspirowane sposobem, w jaki cząstki dyfundują i zamrażają się w lodzie — nazwane algorytmem IceCube Optimization (IO). IO eksploruje różne kombinacje ustawień dla modeli bazowych, kierując je ku konfiguracjom najlepiej rozpoznającym mniejszościową klasę ataku. Drugi etap, wykorzystujący standardowe przeszukiwanie siatkowe (grid search), precyzyjnie dopracowuje te obiecujące ustawienia, aby zapewnić ich niezawodność w różnych podzbiorach danych.

Jak dobrze to działa?

Aby przetestować FalsEye, badacze użyli oznakowanego zbioru danych z Oak Ridge National Laboratory, który naśladuje rzeczywistą sieć przesyłową z różnymi scenariuszami awarii i ataków. Porównali FalsEye z wieloma powszechnymi modelami uczenia maszynowego oraz kilkoma nowoczesnymi schematami wykrywania z ostatnich badań. W miarach najistotniejszych dla bezpieczeństwa — szczególnie recall (czułość), czyli odsetka wykrytych rzeczywistych ataków — nowe rozwiązanie konsekwentnie zajmowało czołowe miejsca. Osiągnęło ogólną dokładność na poziomie 99%, z wysokim odsetkiem wykryć ataków nawet gdy ataki były wyjątkowo rzadkie, na przykład jeden atak na tysiąc normalnych zdarzeń. System pozostał stabilny w szerokim zakresie poziomów nierównowagi, co sugeruje, że potrafi radzić sobie z rzeczywistością, w której cyberataki są rzadkie, lecz potencjalnie katastrofalne.

Co to oznacza dla użytkowników

FalsEye pokazuje, że dzięki uważnemu łączeniu wielu metod uczenia, wyrównywaniu skąpych danych o atakach i starannemu dostrajaniu ustawień systemu można zbudować znacznie czujniejszego strażnika dla sieci inteligentnych. Dla osób niebędących specjalistami przekaz jest prosty: mądrzejsze oprogramowanie może utrudnić oszukanie coraz bardziej cyfrowej infrastruktury energetycznej fałszywymi danymi. Jeśli podejścia takie jak FalsEye zostaną przyjęte i zintegrowane z monitorowaniem w czasie rzeczywistym, mogą przyczynić się do większej niezawodności i odporności dostaw energii, nawet w obliczu rosnącej liczby i złożoności zagrożeń cybernetycznych.

Cytowanie: Sheta, A.N., Osman, S.F., Eladl, A.A. et al. FalsEye: proactive detection of false data injection attacks in smart grids using IceCube-optimised ensemble learning. Sci Rep 16, 9093 (2026). https://doi.org/10.1038/s41598-026-38723-0

Słowa kluczowe: bezpieczeństwo sieci inteligentnych, fałszywe wstrzykiwanie danych, wykrywanie cyberataków, zespołowe uczenie maszynowe, nierównomierne dane