Migliorare i sistemi di rilevamento delle intrusioni per minacce informatiche sconosciute

L'aumento della tecnologia avanzata, soprattutto l'Internet delle Cose (IoT) e l'IoT Industriale, ha creato nuove sfide nella sicurezza delle nostre reti. Man mano che questi sistemi crescono, aumentano anche i rischi delle minacce informatiche. Per proteggere questi sistemi, abbiamo bisogno di sistemi di rilevamento delle intrusioni (IDS) efficaci che possano individuare attività sospette in tempo reale. Da molti anni, i ricercatori usano metodi di machine learning per costruire IDS in grado di distinguere tra traffico di rete normale e dannoso. Tuttavia, raccogliere abbastanza Dati, specialmente per attività dannose, è difficile perché gli attacchi reali accadono raramente. Questo rende complicato per questi sistemi riconoscere attacchi sconosciuti, che sono nuove forme di minacce non viste nei dati passati.

In questo articolo, presentiamo due metodi principali per migliorare le prestazioni degli IDS nella rilevazione di attacchi sconosciuti. Il primo metodo utilizza dati di attacco simulati distribuiti nello spazio delle caratteristiche per aiutare ad addestrare il sistema. Il secondo metodo impiega un modello di Classificazione a Una Classe (OCC) che funziona solo con dati normali. Abbiamo testato entrambi i metodi utilizzando dieci diversi set di dati per confrontare la loro efficacia.

#Importanza dei Sistemi di Rilevamento delle Intrusioni

I Sistemi di Rilevamento delle Intrusioni (IDS) sono fondamentali per proteggere le reti contro gli attacchi informatici. Monitorano il traffico di rete e inviano avvisi se notano attività sospette. Con il nostro crescente affidamento alla tecnologia, gli attacchi informatici mirati ai sistemi IoT sono aumentati, minacciando cose come la sicurezza nazionale e i dati personali. Per questo motivo, sviluppare IDS efficienti è cruciale.

Molti studi passati si sono basati su tecniche di machine learning che richiedono grandi set di dati sia normali che di attacco. Questi set di dati spesso non rappresentano i più recenti tipi di minacce informatiche. Di conseguenza, questi sistemi possono dare falsi negativi, il che significa che potrebbero perdere minacce reali.

Gli attacchi informatici sono categorizzati come noti o sconosciuti. Gli attacchi noti hanno firme distintive che gli IDS possono riconoscere grazie a un addestramento precedente. Questi attacchi sono più facili da gestire per gli IDS. D'altra parte, gli attacchi sconosciuti sono nuovi e non corrispondono a schemi che gli IDS hanno appreso, rendendoli più difficili da rilevare. Gli IDS tradizionali spesso fanno fatica con questi attacchi sconosciuti, poiché si basano sui dati passati per riconoscere le minacce.

#Sfide nella Rilevazione

I modelli di machine learning supervisionato apprendono schemi dai dati di addestramento, che includono sia le categorie normali che quelle di attacco. Tuttavia, quando si trovano ad affrontare nuovi tipi di attacco non inclusi nei dati di addestramento, questi modelli fanno fatica a identificarli accuratamente. Raccogliere abbastanza dati di attacco per l'addestramento è spesso difficile, poiché ci sono di solito più azioni normali che dannose. Inoltre, la natura degli attacchi può cambiare rapidamente, portando a un numero maggiore di falsi negativi nelle applicazioni pratiche.

Il problema principale con i falsi negativi è che permettono alle minacce reali di passare inosservate. Questo può comportare gravi conseguenze come perdite finanziarie, violazioni di dati e danni alla reputazione di un'azienda.

Per mostrare i limiti degli IDS basati su apprendimento supervisionato, abbiamo valutato il classificatore Random Forest (RF), una tecnica comune di apprendimento supervisionato. Escludendo intenzionalmente alcuni tipi di attacco dall'addestramento pur assicurandoci che tutti gli attacchi fossero presenti nei test, abbiamo analizzato la capacità del modello di identificare attacchi non addestrati in precedenza. Questo ha dimostrato che il modello RF fatica a rilevare attacchi sconosciuti, dimostrando ulteriormente che i metodi tradizionali supervisionati potrebbero non affrontare adeguatamente queste sfide.

#Soluzioni Proposte

Per affrontare le sfide nella rilevazione di attacchi sconosciuti, abbiamo esplorato due strategie principali:

1. Utilizzo di Dati di Attacco Simulati: Questo metodo prevede di mescolare dati di attacco generati casualmente con il set di dati di addestramento originale. Questo consente al modello di apprendere schemi che possono rappresentare attacchi sconosciuti, aiutandolo a identificarli meglio.

2. Utilizzo della Classificazione a Una Classe (OCC): Gli algoritmi OCC si concentrano sull'addestrare un modello esclusivamente su dati normali. Questo metodo è particolarmente utile per la rilevazione di attacchi informatici poiché i dati normali sono facilmente disponibili, mentre i dati di addestramento per gli attacchi sono spesso scarsi.

I metodi OCC esistenti come il Local Outlier Factor, One-Class SVM e Isolation Forest hanno mostrato promesse nella rilevazione delle intrusioni senza necessitare di campioni malevoli etichettati. Tuttavia, studi precedenti hanno spesso utilizzato set di dati limitati, che potrebbero non rappresentare efficacemente le sfide reali affrontate dagli IDS.

Nel nostro studio, abbiamo valutato un programma chiamato usfAD, una nuova tecnica OCC progettata per migliorare la rilevazione di attacchi sconosciuti. Abbiamo anche combinato usfAD con altri metodi OCC esistenti per vedere se questo migliorava l'Accuratezza.

#Sperimentazione e Valutazione

Abbiamo utilizzato dieci set di dati benchmark IDS ampiamente utilizzati per valutare i nostri nuovi approcci. Questi set di dati, come NSL-KDD e UNSW-NB15, sono comunemente usati nella ricerca sulla sicurezza informatica. Utilizzando questi set di dati, abbiamo eseguito esperimenti approfonditi per testare l'efficacia dei nostri modelli nell'identificare attacchi sconosciuti.

#Preparazione dei Dati

Per condurre i nostri esperimenti, abbiamo iniziato con la pre-elaborazione dei set di dati. Questo ha comportato la conversione dei dati categorici in valori numerici, la compilazione dei valori mancanti e la normalizzazione dei valori delle caratteristiche. Abbiamo cercato di mantenere la pre-elaborazione al minimo per assicurarci che i nostri risultati riflettessero la natura intrinseca dei modelli utilizzati.

Per ogni set di dati, abbiamo utilizzato una suddivisione stratificata 80/20 per l'addestramento e il test. Questo metodo assicura che sia il set di addestramento che quello di test mantengano una proporzione equilibrata delle classi normali e di attacco.

#Metriche di Prestazione

Per misurare l'efficacia dei nostri modelli, abbiamo utilizzato metriche chiave come accuratezza, precisione, richiamo e punteggio F1. Queste metriche aiutano a valutare quanto bene i modelli differenziano tra dati normali e di attacco. L'accuratezza riflette la proporzione di previsioni corrette, mentre la precisione indica la percentuale di veri positivi tra i positivi previsti. Il richiamo misura la capacità del modello di identificare tutte le istanze di un particolare attacco. Infine, il punteggio F1 combina precisione e richiamo in una metrica unica per una visione equilibrata delle prestazioni.

#Risultati e Discussione

Attraverso i nostri esperimenti, abbiamo constatato che il modello usfAD ha performato costantemente bene in vari set di dati. I nostri risultati hanno mostrato che usfAD e i modelli combinati superano molti metodi esistenti, specialmente per quanto riguarda l'accuratezza e i punteggi F1.

Il modello usfAD ha anche raggiunto alti tassi di richiamo, il che significa che ha identificato efficacemente molte istanze di attacco. Al contrario, i modelli tradizionali supervisionati come Random Forest hanno faticato notevolmente quando sono stati introdotti attacchi sconosciuti. I risultati hanno chiaramente dimostrato che i modelli che si basano esclusivamente sui dati passati erano meno efficaci negli scenari reali, dove spesso sorgono nuove minacce.

#Confronto con Modelli Tradizionali

Il modello Random Forest, addestrato con tutte le istanze di attacco, ha ottenuto un'accuratezza impressionante. Tuttavia, man mano che iniziavamo a escludere tipi di attacco, le sue prestazioni deterioravano rapidamente. Quando siamo arrivati a scenari in cui più tipi di attacco erano esclusi, il modello Random Forest riusciva a malapena a rilevare attacchi sconosciuti.

Al contrario, il modello usfAD ha mantenuto prestazioni stabili indipendentemente dalle condizioni di addestramento, rafforzando la sua efficacia nell'identificare anomalie senza richiedere conoscenze precedenti su specifici tipi di attacco.

#Approcci Ensemble

Abbiamo anche sperimentato modelli ensemble, che combinano previsioni di più classificatori per migliorare l'accuratezza. I nostri risultati hanno mostrato che i metodi ensemble, in particolare quelli che incorporano usfAD, hanno ottenuto risultati eccellenti, spesso superando modelli standalone.

I modelli ensemble ci hanno permesso di bilanciare efficacemente richiamo e precisione. Sfruttando più modelli, abbiamo potuto migliorare le capacità di rilevamento complessive riducendo le possibilità di perdere attacchi reali.

#Conclusione e Lavori Futuri

In sintesi, lo studio identifica chiaramente le sfide affrontate dai modelli tradizionali supervisionati nella rilevazione di attacchi sconosciuti all'interno delle reti informatiche. I nostri metodi proposti, specialmente l'uso di usfAD e approcci ibridi che combinano diversi modelli, mostrano promesse nel superare queste sfide. I risultati indicano che le tecniche di rilevamento degli outlier possono migliorare significativamente i sistemi di rilevamento delle intrusioni, rendendoli più adattabili al panorama in evoluzione delle minacce informatiche.

Per la ricerca futura, pianifichiamo di approfondire il miglioramento delle capacità di usfAD, in particolare per la classificazione multi-classe per rilevare vari tipi di attacchi informatici. Inoltre, sviluppare strategie più efficaci per generare rumore etichettato come attacchi potrebbe ulteriormente aiutare i sistemi di apprendimento supervisionato a riconoscere minacce precedentemente sconosciute.

Crediamo che la ricerca continua in quest'area sia vitale per creare soluzioni di sicurezza robuste in grado di difendersi contro il panorama in continua evoluzione degli attacchi informatici, assicurando che le nostre reti rimangano sicure e protette.