DSS a protezione delle infrastrutture critiche: l’esperienza SAFEGUARD

Seminario CAMO - 28 ottobre 2003I Sistemi di Supporto alle Decisioni

Progetto SAFEGUARD

Progettare ed implementare una rete di componenti software (agent oriented) che

incrementino la capacità di sopravvivenza delle infrastrutture critiche

(di tipo altamente informatizzato)

in presenza di attacchi, intrusioni o anomalie

OBIETTIVO:

DUE INFRASTRUTTURE DI RIFERIMENTO:

Sistema di Dispacciamento e Tele-controllo della energia elettrica su reti di trasmissione ad alta-media tensione Sistema di Call Centres di reti di telecomunicazioni pubbiche

Modellare una infrastruttura come una popolazione di agenti residenti su layers differenti

Modellare una infrastruttura come una popolazione di agenti residenti su layers differenti

Un modello a tre strati per l’infrastruttura di trasmissione dell’elettricità

Un modello a tre strati per l’infrastruttura di trasmissione dell’elettricità

Componenti rete elettricaComponenti rete elettricageneratori, trasformatori, generatori, trasformatori,

interruttori, linee, etcinterruttori, linee, etc

Componenti hardware/software di gestione e controllo

(SCADA/EMS systems)

Gestore della Rete ElettricaOperatore indipendente

per la gestione ed il trasporto dell’elettricità

Intra-dipendenze

Rete di trasmissione elettrica nazionale

Rete di telecomunicazione

Sistema di trasporto Olio/Gas

Rete di trasmissione

esteraInter-dipendenze

Perché è così difficile costruire questo modello

Strato Strato InformativoInformativo

Strato Strato OrganizzazivoOrganizzazivo

Intra-dipendenze

Inter-dipendenze

Strato Strato FisicoFisico

Complessità strutturale

Evoluzione della rete

Diversità nei nodi

Diversità nelle connessioni

Complessità dinamica

Configurazione dello strato fisico ed informativo della rete elettrica di trasmissione

Strato Fisico

Strato

Informativo

Gestione Rete(Dati)

SIA-R

SIA-RSIA-R

CNCCC CC

SIA-C SIA-CSIA-C

RTU (Unità di gestione locali)

SIA-C Concentratori Dati

CC Centri Controllo

Area elettrica 1

Area elettrica

2

Area elettrica

3

GeneratoriSottostazioni elettriche

CarichiCollegamenti fisici

Bus

Generatori

Transformatori

Linee connessione (tra bus)

Utenze

Elementi fisici

Sottostazioni

Misure di flussi di potenza (Mw, Mvar)

Segnali di stato (Connessioni tra gli elementi dei bus)

Elementi informativi(Usati per il controllo e supervisione)

Misure di voltaggi ed angoli (Kv, Dg)

Elementi della Rete Elettrica(fisici ed informativi)

Simulazione dei flussi di potenza in funzione delle manovre di connessione o distacco

(PowerWorld Simulator)

Interruzione di una connessione

critica

Simulazione dei flussi di potenza in funzione delle manovre di connessione o distacco

(PowerWorld Simulator)

Distacco programmato del carico 1

Simulazione dei flussi di potenza in funzione delle manovre di connessione o distacco

(PowerWorld Simulator)

Distacco programmato del carico 2

Simulazione dei flussi di potenza in funzione delle manovre di connessione o distacco

(PowerWorld Simulator)

Simulazione del sistema di telecontrollo (SCADA system)

Su

b

1S

ub

2

Su

b

3S

ub

n

CC Master

CC Reserve

Data Base rete elettrica

(Modalità Update)

Data Base rete elettrica

(Modalità On-line)

Unità remote

Sottostazioni

Centri di Controllo

Rete Locale di area

Sorg

en

te d

i d

ati

sim

ula

ti

Sistema Telecontrollo Rete Elettrica (RTUs e Centri Controllo)

Home LCCIs

Topology agent

Negotiation agent

MMI agent

Altre LCCIsReti elettriche estere

Reti di telecomunicazioni -------------------

Correlation agent

Action agent

Ag

en

ti d

i b

asso liv

ello

Ag

en

ti d

i alt

o liv

ello

Diagnosticwrappers

Intrusion Detection wrappers

Anomaly detector agents

Actuators

Comandi ed informazioni Solo informazioni

Protezione della rete a livello

globale

Architettura multi-agente SAFEGUARD applicata alle LCCI (Large Complex Critical Infrastructures)

Protezione della rete a livello

locale

Sistema Telecontrollo Rete Elettrica (RTUs e Centri Controllo)

Home LCCIs

Topology agent

Negotiation agent

MMI agent

Altre LCCIsReti elettriche estere

Reti di telecomunicazioni -------------------

Correlation agent

Action agent

Ag

en

ti d

i b

asso liv

ello

Ag

en

ti d

i alt

o liv

ello

Diagnosticwrappers

Intrusion Detection wrappers

Anomaly detector agents

Actuators

Comandi ed informazioni Solo informazioni

“Anomaly detection”

locale

Architettura multi-agente SAFEGUARD applicata alle LCCI (Large Complex Critical Infrastructures)

Sistema Telecontrollo Rete Elettrica (RTUs e Centri Controllo)

Home LCCIs

Topology agent

Negotiation agent

MMI agent

Altre LCCIsReti elettriche estere

Reti di telecomunicazioni -------------------

Correlation agent

Action agent

Ag

en

ti d

i b

asso liv

ello

Ag

en

ti d

i alt

o liv

ello

Diagnosticwrappers

Intrusion Detection wrappers

Anomaly detector agents

Actuators

Comandi ed informazioni Solo informazioni

“Anomaly detection”

locale

Correlazione e diagnosi globale

Architettura multi-agente SAFEGUARD applicata alle LCCI (Large Complex Critical Infrastructures)

Sistema Telecontrollo Rete Elettrica (RTUs e Centri Controllo)

Home LCCIs

Topology agent

Negotiation agent

MMI agent

Altre LCCIsReti elettriche estere

Reti di telecomunicazioni -------------------

Correlation agent

Action agent

Ag

en

ti d

i b

asso liv

ello

Ag

en

ti d

i alt

o liv

ello

Diagnosticwrappers

Intrusion Detection wrappers

Anomaly detector agents

Actuators

Comandi ed informazioni Solo informazioni

“Anomaly detection”

locale

Correlazione e diagnosi globale

Architettura multi-agente SAFEGUARD applicata alle LCCI (Large Complex Critical Infrastructures)

Attuazione politiche di

difesa

Metodi di stima e di “action planning” impiegati in Safeguard

“Event Base reasoning” come estensione dei metodi di Case Base reasoning. Riconoscimento di “invarianti” come parametri per il controllo della congruenza dei dati della rete elettrica. Tecniche di “Data Mining” per classificare la bontà dei pacchetti che transitano sui canali di comunicazione Metodi basati su Reti Neurali come controllori intelligenti delle unità di controllo remoto (RTUs)

Anomaly detection localeAnomaly detection locale

Correlazione globale e generazione delle politiche di Correlazione globale e generazione delle politiche di difesadifesa Correlazione mediante “reti causali” di tipo temporale e spaziale Ricerca delle priorità di difesa e ottimizzazione delle politiche

RicercaRicerca

Caso proposto

Confronta usando una metrica

RiusaRiusa

Produci la soluzione

Caso trovato

Nuovo Caso

RiaggiornaRiaggiorna

RevisionaRevisionaCaso non trovatoApprendimento

Base di Casi

Caso correnteAttività

CBR: la metodologia delle quattro R

SCADA INSTRUMENTATION

Intelligence

Information

Command

Editor della

Base di Casi

Componente di

addestramento

CBR

off-line

Base di Casi

Componente di

riconoscimento

CBR

on-line

Dal Correlato

r

Verso il Correlator

e

Da Action Agent

CBR: architettura dei componenti

CBR: viene proposto in SAFEGUARD per il riconoscimento di “sequenze di eventi”

Attibute ID Attribute type Fact 1 Fact 2 Fact 3 .. .. Fact n

12

…..m

BooleanNumerical

……Time

X11X21…

Xm1

X12X22…

Xm2

X13X23…

Xm3

X1nX2n…

Xmn

Struttura “generica” di un Caso

CBR: viene proposto in SAFEGUARD per il riconoscimento di “sequenze di eventi”

Attibute ID Attribute type Fact 1 Fact 2 Fact 3 .. .. Fact n

12

…..m

BooleanNumerical

……Time

X11X21…

Xm1

X12X22…

Xm2

X13X23…

Xm3

X1nX2n…

Xmn

Struttura “generica” di un Caso

Attibute ID Attribute type Event 1 Event 2 Event 3 .. .. Event n Total Time

T 1 2 3

Time, tolerancePresence flag

Sequence constraint

t1,d1yes/noEx,Ey

t2,d2yes/noEx,Ey

t3,d3yes/noEx,Ey

tn,dnyes/noEx,Ey

Struttura di un Caso come modello di una sequenza di eventi

CBR: metrica atta a riconoscere le sequenze di eventi

n

d

tct

S

n

i ti

ii

1

S -> “distanza” or “similarity” tra la sequenza X e la sequenza corrente

t i -> etichetta temporale dell’evento i all’interno della sequenza correntetc i -> etichetta temporale dell’evento i all’interno della sequenza Xd i -> toleranza temporale dell’evento i nella sequenza X

n -> numero di eventi nella sequenza X

NN: vengono proposte in SAFEGUARD per monitorare lo stato degli elementi informativi della sottostazione elettrica

Misure di flussi di potenza (Mw, Mvar)

Segnali di stato (Connessioni tra gli elementi dei bus)

Misure di voltaggi ed angoli (Kv, Dg)

Matrice dei pesi

Addestrare una rete neurale significa aggiustare i valori (dei pesi) in modo tale the a certe configurazioni dei

dati di input corrisponda un output desiderato

La rete “riconosce” patterns di inputs “simili” a quelli sui quali è stata addestrata.

NN: il processo di addestramento di una rete neurale

Apprende implicitamente certe caratteristiche tipiche dei dati di input (dati di processo) ed indica che il sistema non si trova più in uno stato normale, bensì nuovo.

Qui avviene il processo di “encoding”.

La rete è di tipo “auto-encoder” poichè è addestrata a produrre un output esattamente uguale al suo input.

NN: Auto-encoder novelty neural detector

Data Mining: Monitoraggio di pacchetti anomali sulle porte di comunicazione

Questa metodologia è stata trattata in una presentazione precedente

Dislocazione degli agenti nell’ambiente di test per il sistema “Safeguard“

Unità remote

Sottostazioni

Centri di Controllo

Su

b

1S

ub

2

Su

b

3S

ub

n

CC Master

CC Reserve

Data Base rete elettrica

(Modalità Update)

Data Base rete elettrica

(Modalità On-line)

Agenti di alto livello (Correlator, Action

ect.)

Controllore di sequenze di eventi

Controllore di invarianti

Interfaccia di generazione degli

attacchi e dei guasti

Interfaccia di monitoraggio e logging

Sensore basato su Reti Neurali

Controllore basto su Data Mininig

Rete Locale di area

Sorg

en

te d

i d

ati

sim

ula

ti

Attualmente il sistema SAFEGUARD è in fase di implementazione

La fine del progetto è prevista per giugno 2004 La piattaforma di test sviluppata sarà dedicata anche in

futuro alla ricerca di metodi innovativi per affrontare le problematiche di gestione delle reti elettriche

Sulla base dei tests effettuati, il primo prototipo SAFEGUARD potrà essere decicato alla individuazione di nuove funzionalità intelligenti per prevenire e gestire le situazioni di rischio da introdurre sui sistemi SCADA.

CONCLUSIONI

Ringraziamenti

Partners Progetto SAFEGUARDPartners Progetto SAFEGUARD

Queen Mary, University of London, England AIA (Applicaciones en Informatica Avanzada), Spain ENEA (Institute for New Technology, Energy, Environment), ItalyLinköping University (Real-time system laboratory), Sweden Swisscom (Telecommunication provider), Switzerland

Principali Partners con interesse industrialePrincipali Partners con interesse industriale• Swedish Defence Establishment for Research (FOI) at Linköping• GRTN, the Italian Independent System Operator for electrical transmission network• INVENSYS-Foxboro Scada • Red Electrica de España• UK Cabinet Office• Swisscom Business Units• ACEA electricity, gas and water distributor• Foxboro SCADA