Sieciowa pamięć krótkotrwała dwukierunkowa zintegrowana z technologią Blockchain do wykrywania wtrącania w czasie rzeczywistym w Internet of Medical Things w sektorze opieki zdrowotnej

Podsumowanie

Ten protokół opisuje implementację zintegrowanego z blockchainem dwukierunkowego systemu wykrywania włamań z pamięcią krótko- i długoterminową dla sieci Internetu Medycznych Rzeczy w opiece zdrowotnej, umożliwiającego wykrywanie ataków w czasie rzeczywistym, niemożliwe do sfałszowania logowanie forensiczne i zautomatyzowane łagodzenie.

Streszczenie

Środowiska Healthcare Internet of Medical Things (IoMT) wymagają systemów wykrywania włamań, które nie tylko dokładnie identyfikują ataki cybernetyczne, ale także zapewniają możliwość przeprowadzania dochodzeń, audyt i szybką reakcję. Konwencjonalne podejścia do wykrywania włamań koncentrują się głównie na wydajności klasyfikacji, oferując jednocześnie ograniczone wsparcie dla nienaruszalnego rejestrowania zdarzeń i dochodzenia po incydencie. Niniejsze badanie przedstawia framework wykrywania włamań z uwzględnieniem aspektów sądowych, który integruje rozszerzoną dwukierunkową sieć długookresowej pamięci krótkoterminowej (BiLSTM) z warstwą blockchain o uprawnieniach, aby wspierać wykrywanie w czasie rzeczywistym, bezpieczne logowanie i zautomatyzowane łagodzenie w systemach IoMT w opiece zdrowotnej. Protokół łączy przetwarzanie danych, selekcję cech AQU-IMF-RFE, modelowanie sekwencji czasowych, uczenie się oparte na uważności, połączenia resztkowe i rejestrowanie zdarzeń oparte na blockchain. Model Extended BiLSTM był trenowany i ewaluowany niezależnie na zbiorach danych benchmarkowych UNSW-NB15, CICIDS2017 i Bot-IoT przy użyciu możliwego do powtórzenia przetwarzania, warstwiowego podziału danych i stałych losowych ziaren. Zdarzenia włamań wykryte przez model były rejestrowane na blockchain Proof-of-Authority za pomocą kontraktów inteligentnych, które umożliwiały niezmienialne logowanie i zautomatyzowane działania w odpowiedzi. Wyniki eksperymentalne wykazały wysoką wydajność wykrywania włamań przy niskich współczynnikach fałszywych alarmów dla wszystkich ocenianych zbiorów danych, zachowując jednocześnie możliwość przeprowadzenia dochodzenia i możliwość szybkiego reagowania. Warstwa blockchain zapewniała odporne na manipulacje zapisy audytu i zautomatyzowane łagodzenie bez wprowadzania nadmiernego obciążenia obliczeniowego. Te wyniki pokazują, że integracja wykrywania włamań opartego na głębokim uczeniu się z logowaniem sądowym wspieranym przez blockchain poprawia wiarygodność, odpowiedzialność i praktyczną wdrożalność systemów cyberbezpieczeństwa w opiece zdrowotnej.

Wprowadzenie

W systemie opieki zdrowotnej cyfryzacja doprowadziła do nowej ery inteligentnych, połączonych i zorientowanych na pacjenta usług opieki zdrowotnej. Nowoczesna infrastruktura medyczna w dużym stopniu opiera się na komunikacji sieciowej i wymianie danych między nośnymi sensorykami, zdalnymi systemami monitorowania pacjentów, elektronicznymi aktaami zdrowotnymi (EHR)^1,2 oraz inteligentnymi platformami diagnostycznymi. Jednak ta rosnąca wzajemna łączność powiększa również powierzchnię ataku sieci opieki zdrowotnej, narażając je na zagrożenia cybernetyczne, takie jak wycieki danych, ransomware, ataki rozproszonego odmowy usług (DDoS) oraz ataki typu man-in-the-middle³. Te naruszenia skutkują znacznymi stratami finansowymi i, co ważniejsze, mogą zaryzykować bezpieczeństwo pacjentów, gdy wrażliwe dane medyczne lub krytyczna funkcjonalność urządzeń zostają naruszone.

Skala i złożoność systemów Internetu Medycznych Rzeczy (IoMT) dodatkowo pogarszają te wyzwania bezpieczeństwa. Nowoczesne sieci opieki zdrowotnej muszą jednocześnie zapewniać komunikację o niskiej latencji, wysoką niezawodność oraz solidne gwarancje bezpieczeństwa, wymagania, których tradycyjne mechanizmy zabezpieczeń często mają trudności z zaspokojeniem⁴. Szybki wzrost ruchu IoMT, charakteryzujący się heterogenicznymi źródłami danych, dynamicznymi wzorami komunikacji oraz surowymi wymaganiami regulacyjnymi, takimi jak Health Insurance Portability and Accountability Act (HIPAA) i Ogólne Rozporządzenie o Ochronie Danych (GDPR), wymaga inteligentnych systemów wykrywania intruzów (IDS) zdolnych do osiągania wysokich wskaźników wykrywania przy jednoczesnym minimalizowaniu fałszywych alarmów⁵.

W uregulowanych środowiskach opieki zdrowotnej wykrywanie intruzów nie jest jedynie wymogiem operacyjnym, ale także funkcją odpowiedzialności. Alerty bezpieczeństwa mogą powodować odizolowanie urządzeń, wpływać na ciągłość opieki i następnie stać się przedmiotem audytów, przeglądów regulacyjnych lub dochodzeń prawnych. W rezultacie, efektywny IDS IoMT musi zapewniać dokładne wykrywanie w czasie rzeczywistym, wyjaśnialne decyzje, które wspierają tryb nagłych przypadków oraz niemożliwe do sfałszowania zapisy, które zapewniają niezaprzeczalność i śledzenie sądowe⁶. To wymóg przesuwa cel wykrywania intruzów z klasyfikacji opartej na wydajności ku zarządzaniu bezpieczeństwem opartym na zaufaniu i obowiązkach.

Techniki głębokiego uczenia, szczególnie sieci Long Short-Term Memory (LSTM) i dwukierunkowe Long Short-Term Memory (BiLSTM), wykazały silną zdolność modelowania zależności czasowych w ruchu sieciowym i wykrywania zachowania anomalitycznego⁷. Niemniej, istniejące IDSy oparte na BiLSTM często cierpią na przetrenowanie, niewystarczającą uwagę dla krytycznych zdarzeń czasowych i ograniczoną generalizację na różnorodne urządzenia IoMT i środowiska opieki zdrowotnej. Co więcej, sieci IoMT są narażone na różnorodne zagrożenia cybernetyczne, które wpływają na poufność, integralność i dostępność (CIA) danych i usług medycznych, jak podsumowano w Tabeli 1.

Typ Ataku	Kontekst IoMT	Wymiar CIA, który jest zagrożony	Wpływ na systemy opieki zdrowotnej
Nieuswojony dostęp19	Wykorzystanie słabych mechanizmów uwierzytelniania do dostępu do urządzeń pacjentów lub rejestrów medycznych	Poufność, Integralność	Ucieczka danych i nieautoryzowany dostęp do urządzeń medycznych
Podróbki / Impersonacja19	Złośliwe urządzenie naśladuje prawowite węzły IoMT	Integralność	Fałszywe odczyty, które mogą prowadzić do niewłaściwej diagnozy lub niebezpiecznego leczenia
Podsłuch21	Przechwytywanie niezaszyfrowanej danych medycznych podczas transmisji	Poufność	Naruszenie prywatności i ujawnione wrażliwe informacje o pacjencie
Fałszowanie danych / Eksploatacje oprogramowania układowego19	Modyfikacja oprogramowania układowego urządzenia lub przesyłanych danych opiece zdrowotnej	Integralność	Nieprawidłowa diagnoza lub niewłaściwe decyzje terapeutyczne
Ransomware20	Szyfrowanie danych pacjenta lub oprogramowania układowego urządzeń medycznych	Dostępność, Integralność	Blokada krytycznych systemów i opóźnienia w leczeniu
Odmowa usługi (DoS) / Rozproszona odmowa usługi (DDoS)6	Przeciążenie urządzeń medycznych lub sieci opieki zdrowotnej	Dostępność	Przerwania w działaniu systemów monitorujących i intensywnej opieki medycznej (ICU)
Ataki boczne

Protokół

Wszystkie eksperymenty przeprowadzono wyłącznie z wykorzystaniem publicznie dostępnych zestawów danych benchmarkowych do wykrywania intruzji w sieci (UNSW-NB15, CIC-IDS-2017 i Bot-IoT), które zawierają zapisy ruchu sieciowego bez identyfikowalnych danych osobowych lub medycznych. Zestawy danych były wykorzystywane zgodnie z ich odpowiednimi licencjami i warunkami użytkowania. Ponieważ nie było zaangażowanych ludzkich uczestników, próbek pacjentów lub identyfikowalnych danych osobowych, nie było wymagane zatwierdzenie instytucjonalnej etyki i zgoda na udział.

Przegląd zaproponowanego frameworku
W tej sekcji przedstawiono zaproponowany dwuwarstwowowy framework do wykrywania i zapobiegania intruzom w celu zabezpieczenia środowisk IoMT. Framework integruje rozszerzoną sieć BiLSTM do wykrywania intruzji przestrzenno-czasowych z lekką warstwą blockchainu do nieusuwalnego logowania i automatycznej eliminacji. W przeciwieństwie do konwencjonalnych podejść IDS, które koncentrują się wyłącznie na dokładności wykrywania, zaproponowany projekt jest zaprojektowany tak, aby jednocześnie wspierać wykrywanie w czasie rzeczywistym, odpowiedzialność sądową i zgodność z regulacjami, które są kluczowymi wymaganiami w systemach opieki zdrowotnej. Ogólny przepływ pracy i architektura zaproponowanego rozszerzonego frameworku BiLSTM-Blockchain do wykrywania intruzji w sieciach IoMT są przedstawione na Rysunku 1.

Rysunek 1. Architektura zaproponowanego rozszerzonego frameworku BiLSTM-Blockchain do wykrywania intruzji w sieciach Internetu Rzeczy Medycznych. Schematyczne przedstawienie zaproponowanego frameworku pokazujące przepływy pracy szkoleniowe i wdrożeniowe. W przepływie szkoleniowym urządzenia Internetu Rzeczy Medycznych (IoMT) generuje ruch sieciowy, który podlega przetwarzaniu danych i inżynierii funkcji przed analizą przez model Extended Bidirectional Long Short-Term Memory (BiLSTM) z uwagomą czasową. Parametry modelu są optymalizowane poprzez obliczanie funkcji straty i iteracyjne szkolenie. W przepływie wdrożeniowym przetrenowany model wykrywa intruzje zgodnie z funkcją decyzyjną zdefiniowaną w Równaniu 13. Wykryte zdarzenia intruzyjne są przekazywane do modułu blockchainu, gdzie wykonywane są nieusuwalne logowanie, izolacja węzłów i generowanie alertów administratora. BiLSTM, Bidirectional Long Short-Term Memory; IoMT, Internet of Medical Things. Proszę kliknąć tutaj, aby zobaczyć większą wersję tego rysunku.

Urządzenia IoMT generuje heterogeniczne strumienie danych składające się z ruchu sieciowego, metadatek urządzeń i sygnałów związanych z pacjentami. Takie surowe wejścia są często szumowe, nadmiarowe i niespójne, co sprawia, że nie nadają się do bezpośredniego szkolenia modelu. Dlatego stosuje się potok przetwarzania wstępnego, aby zapewnić jakość i strukturę danych przed ich wprowadzeniem do modelu Extended BiLSTM. Szczegółowy pseudokod przetwarzania wstępnego znajduje się w Algorytmie 1 (Plik uzupełniający 1), który opisuje potok przetwarzania wstępnego stosowany do strumieni danych IoMT przed trenowaniem Extended BiLSTM (pseudokod w Pliku uzupełniającym 1; implementacja w Pliku uzupełniającym 2). Pełna architektura Extended BiLSTM jest podsumowania w Algorytmie 2 (Plik uzupełniający 1).

Pełny przepływ pracy replikacji
Pełne badanie można odtworzyć przy użyciu poniższych kroków. Oprogramowanie i sprzęt są wymienione w Ustawieniu eksperymentalnym, a uzupełniający kod obejmuje każdy krok.

Pobierz zestawy danych → Pobierz UNSW-NB15. Użyj plików UNSW_NB15_training-set.csv i UNSW_NB15_testing-set.csv. Pobierz CICIDS2017. Użyj pięciu plików MachineLearningCSV za dniami od poniedziałku do piątku. Pobierz Bot-IoT. Użyj plików podzbioru 5% UNSW_2018_IoT_Botnet_Full5pc_1_to_4. Wcześniejsze badania nad wykrywaniem intruzji często opierały się na zestawach danych benchmarkowych takich jak KDD Cup 99¹⁴; jednak niniejsze badanie wykorzystuje nowsze zestawy danych UNSW-NB15, CICIDS2017 i Bot-IoT, aby lepiej reprezentować współczesny ruch sieciowy. Przetwarzaj każdy zestaw danych osobno. Zestaw danych UNSW-NB15 jest dostępny na Uniwersytecie Nowej Południowej Walii pod adresem https://research.unsw.edu.au/projects/unsw-nb15-dataset (ostatnia zmiana: 8 lutego 2024). Zestaw danych CICIDS2017 jest dostępny w Kanadyjskim Instytucie Cyberbezpieczeństwa pod adresem https://www.unb.ca/cic/datasets/ids-2017.html (wydany: lipiec 2017). Zestaw danych Bot-IoT jest dostępny na Uniwersytecie Nowej Południowej Walii pod adresem https://research.unsw.edu.au/projects/bot-iot-dataset (ostatnia zmiana: 5 lutego 2024). Wszystkie zestawy danych zostały uzyskano w maju 2025 roku na potrzeby tego badania.

Przetwarzaj dane →

Wyniki

Wyniki są zorganizowane w sposób, który odzwierciedla kroki metodologiczne Protokołu, przy czym każda podsekcja raportuje obserwacje wyprodukowane przez odpowiedni krok.

Obsługa zestawów danych i konfiguracja eksperymentu
Trzy zestawy danych punktów odniesienia były analizowane niezależnie, a nie łączone. Ponieważ UNSW-NB15, CICIDS2017 i Bot-IoT używają różnych schematów funkcji i konwencji etykietowania, każdy zestaw danych był przetwarzany, okienkowany i oceniał osobno...

Dyskusja

Niniejsze badanie proponuje zintegrowane rozwiązanie Extended BiLSTM-Blockchain do wykrywania i zapobiegania włamaniam w środowiskach IoMT. Wyniki wykazują, że rozwiązanie skutecznie identyfikuje wzorce włamania w heterogenicznym ruchu sieciowym IoMT, łącząc dwukierunkowe uczenie czasowe z logowaniem forenzycznym opartym na blockchainie. Dwukierunkowa architektura umożliwia modelowi uchwycenie zależności czasowych zarówno w przód, jak i w tył w ruchu sieciowym, co skutkuje wysoką dokładnością (99,44%), recallem 98,54% or...

Materiały

Lista materiałów użytych w tym artykule

Nazwa	Firma	Numer katalogowy	Komentarze
AQU-IMF-RFE Feature Selection Module	Self-developed	N/A	Hybridowa metoda wyboru funkcji integrująca współzależność informacyjną, Optimizera Aquila i Rekurencyjne Eliminowanie Funkcji
Attention Layer	Self-developed (Keras-based)	N/A	Mechanizm uwagi czasowej używany do ważenia funkcji w rozszerzonym modelu BiLSTM
Bot-IoT Dataset	UNSW Canberra Cyber	N/A	Publiczny zestaw danych punktów odniesienia używany do ewaluacji wykrywania intruzji
CICIDS2017 Dataset	Canadian Institute for Cybersecurity	N/A	Publiczny zestaw danych punktów odniesienia do wykrywania intruzji
Ethereum Client (Geth)	Ethereum Foundation	1.13.15	Klient blockchain używany do wdrożenia i obsługi sieci Proof-of-Authority
Extended BiLSTM Model	Self-developed	N/A	Model wykrywania intruzji głębokiego uczenia się integrujący Conv1D, BiLSTM, uczenie resztowe i wagę czasową
Jupyter Notebook	Project Jupyter	7.x	Interaktywne środowisko używane do implementacji, eksperymentów i wizualizacji wyników
NumPy	NumPy Developers	2.4.4	Biblioteka obliczeń numerycznych używana do przetwarzania wstępnego i trenowania modelu
Pandas	Pandas Development Team	3.0.2	Biblioteka przetwarzania danych używana do przetwarzania wstępnego i analizy danych
Proof-of-Authority Blockchain Network	Self-developed	N/A	Uprawniona sieć blockchain używana do nieusuwalnego rejestrowania intruzji i automatycznej mitygacji
Python	Python Software Foundation	3.12.7	Język programowania używany do przetwarzania danych, rozwoju modelu, integracji z blockchainem i ewaluacji
Random Forest Estimator	Scikit-learn Developers	N/A	Klasyfikator Random Forest używany do Rekurencyjnego Eliminowania Funkcji (RFE)
Scikit-learn	Scikit-learn Developers	1.8.0	Biblioteka uczenia maszynowego używana do przetwarzania wstępnego, wyboru funkcji i ewaluacji modelu
Solidity Compiler (solc)	Solidity Team	0.8.19	Kompilator używany do kompilacji i wdrażania kontraktów inteligentnych
Solid-State Drive (SSD)	Dell	512 GB	Pamięć używana do przechowywania zbiorów danych, przetrenowanych modeli i księgi blockchain
System Memory (RAM)	Dell	128 GB	Główna pamięć używana podczas przetwarzania wstępnego, trenowania modelu, wykonywania blockchainu i ewaluacji
TensorFlow	Google	2.16.1	Framework głębokiego uczenia się używany do implementacji i trenowania rozszerzonego modelu BiLSTM
UNSW-NB15 Dataset	UNSW Canberra Cyber	N/A	Publiczny zestaw danych punktów odniesienia używany do trenowania i ewaluacji
Web3.py	Web3.py Developers	6.15.1	Interfejs Pythona używany do komunikacji między systemem wykrywania intruzji i siecią blockchain
Windows Operating System	Microsoft	Windows 11	System operacyjny używany we wszystkich eksperymentach
Workstation / Server	Dell	PowerEdge R740	Platforma komputerowa używana do trenowania modelu, wdrażania blockchainu i ewaluacji