NOS-Gate: Queue-Aware Streaming IDS for Consumer Gateways under Timing-Controlled Evasion

Résumé Technique : NOS-Gate – IDS de Streaming Sensible aux Files d'Attente pour les Passerelles Grand Public sous Évasion par Contrôle de Temps

Énoncé du Problème
Les passerelles grand public se situent entre les objets connectés (IoT) chiffrés et les services cloud, ceissant l'inspection profonde de paquets (DPI). Bien que le chiffrement masque le contenu de la charge utile, il n'élimine pas les canaux auxiliaires tels que le minutage des paquets, les tailles et les structures de rafales. Ces signaux de métadonnées peuvent être exploités pour l'identification des dispositifs et la surveillance de la sécurité. Cependant, un défi opérationnel critique surgit : un adversaire adaptatif peut remodeler les intervalles d'arrivée des paquets et les modèles de rafales pour imiter les rythmes de dispositifs bénins tout en poursuivant un objectif d'attaque caché. Cette « évasion par contrôle de temps » mine les systèmes de détection basés uniquement sur les métadonnées qui reposent sur des seuils statiques ou une précision hors ligne. De plus, les passerelles grand public opèrent sous des contraintes strictes de consommation CPU et de latence, rendant les modèles volumineux ou l'entraînement intensif peu pratiques. Le problème central abordé est de savoir si une passerelle autonome peut détecter ces attaques de forme temporelle suffisamment rapidement pour agir, en utilisant uniquement des métadonnées, avec un faible taux de fausses alarmes, et si la mitigation résultante réduit réellement les dommages de file d'attente visibles par l'utilisateur plutôt que de les exacerber.

Méthodologie
Le papier propose NOS-Gate, un système de détection d'intrusion (IDS) de streaming conçu spécifiquement pour les passerelles grand public autonomes.

• Architecture : NOS-Gate instancie une unité dynamique légère à deux états, dérivée de la dynamique Network-Optimised Spiking (NOS), pour chaque flux réseau.
  • État $v$ (Accumulation de preuves) : Agit comme une file d'attente d'évidence bornée qui augmente lorsque les caractéristiques de métadonnées normalisées dévient des modèles bénins. Elle inclut des termes de fuite pour éviter une accumulation illimitée et une non-linéarité bornée pour réduire la sensibilité aux transitoires rares.
  • État $u$ (Récupération/Suppression) : Un état de récupération qui augmente sous une élévation soutenue et fournit une rétroaction négative pour supprimer les déclenchements répétés (hystérésis).
  • Entrée : La « commande exogène » est réinterprétée, passant de l'interférence de file d'attente (dans le NOS original) à un signal d'évidence scalaire ($E_{i,t}$) calculé à partir de caractéristiques de métadonnées normalisées (temps, taille, contention et données optionnelles de handshake DNS/TLS).
• Logique de Détection : Le système score des fenêtres de longueur fixe (250 ms) de métadonnées. Pour stabiliser les décisions et éviter les oscillations, il applique une règle de persistance K-sur-M : un flux est marqué comme actionnable uniquement si $K$ alarmes surviennent au cours des $M$ fenêtres les plus récentes.
• Mécanisme d'Action : Lors d'une alarme persistante, NOS-Gate déclenche une mitigation réversible : il réduit temporairement le poids du flux signalé sous un système de Weighted Fair Queueing (WFQ). L'objectif est de réduire le dommage de queue-tail (latence pour l'attaque) tout en limitant le délai collatéral pour le trafic bénin, sans bloquer immédiatement le flux.
• Protocole de Calibrage : Le système fonctionne en mode autonome et sans étiquettes (label-free). Il utilise un segment de « burn-in » supposé bénin pour calculer des seuils de haut quantile (ex: 99,9e percentile) pour chaque flux. Ces seuils sont gelés pour la phase de test. Les étiquettes sont utilisées uniquement pour rapporter les mesures de performance, et non pour l'entraînement ou le réglage.

Cadre d'Évaluation : Le Benchmark « Worlds »
Pour évaluer rigoureusement le système sous évasion par contrôle de temps, les auteurs introduisent un benchmark exécutable de « mondes » (worlds).

• Structure : Un « monde » est une instance synthétique entièrement spécifiée, reproductible, contenant des processus de dispositifs bénins, des générateurs d'épisodes malveillants et une structure de contention (cliques de flux partageant un domaine d'ordonnancement).
• Budgets Adversaires : Les attaques sont contraintes par des budgets opérationnels auditables :
  1. Plancher de Débit ($R_{min}$) : L'attaque doit maintenir un débit de données minimal.
  2. Distorsion Temporelle ($\epsilon$) : La distance de Wasserstein entre la distribution de l'intervalle inter-arrivée (IAT) malveillant et une référence bénigne doit rester en dessous d'un seuil.
  3. Discrétion de Contention ($\delta_q$) : L'attaque ne doit pas augmenter significativement le délai moyen de file d'attente de la clique de contention par rapport au trafic bénin.
• Faisabilité : Le benchmark inclut un protocole pour déterminer si un ensemble spécifique de budgets est réalisable ; sinon, le générateur tente de restaurer la faisabilité ou signale l'infaisabilité.
• Mesure d'Impact : L'évaluation implique une relecture (replay) de paquets par WFQ pour quantifier le délai de queue-tail (p99.9) et le délai collatéral (impact sur les flux bénins) sous l'action de filtrage.

Contributions Clés

1. Détecteur NOS-Gate : Un IDS de streaming, basé uniquement sur les métadonnées, qui mappe la dynamique NOS à la détection d'intrusion par flux, présentant un crochet d'action direct (dépriorisation WFQ) piloté par un mécanisme d'alerte basé sur la persistance.
2. Benchmark de Mondes Exécutable : Un benchmark reproductible avec des structures de contention publiées et des budgets d'attaquants auditables, permettant l'évaluation des résultats de queue-tail et de collision sous des attaques de forme temporelle.
3. Protocole Opérationnel Standardisé : Une méthode de calibrage autonome et sans étiquette utilisant le seuillage par quantile de burn-in, qui fixe un budget explicite de faux positifs sans réglage supervisé, permettant une comparaison équitable des impacts de détection et d'action.

Résultats
Évalué à travers de multiples mondes reproductibles et épisodes malveillants sous un point de fonctionnement strict de taux de faux positifs (FPR) de 0,1 % :

• Performance de Détection : NOS-Gate a atteint un rappel d'incident de 0,952 (ne manquant que 1 incident sur 21), surpassant la meilleure base de référence (TinyGRU, 0,857 de rappel) et les autres bases de référence sans étiquettes (KitNET, Autoencoder). La règle de persistance a permis à NOS-Gate d'accumuler de modestes déviations au fil du temps, rendant plus difficile pour les adversaires contrôlant le temps de maintenir les scores sous le seuil de haut quantile.
• Impact sur la File d'Attente : Lorsque le filtrage WFQ était activé, NOS-Gate était la seule méthode qui améliorait systématiquement à la fois le délai de file d'attente p99.9 (réduit de ~3,24 ms) et le délai collatéral p99.9 (réduit de ~3,16 ms) par rapport à la relecture de base sans filtrage. Les autres méthodes, lorsqu'elles appliquaient un filtrage, augmentaient souvent les délais de queue en raison d'un filtrage moins ciblé.
• Efficacité : NOS-Gate a démontré un coût de scoring moyen de ≈2,09 µs par fenêtre de flux sur un CPU standard, comparable à un autoencodeur compact et nettement plus rapide que KitNET et TinyGRU.

Signification et Revendications
Le papier affirme que NOS-Gate comble un écart de déploiement spécifique : le besoin d'un IDS de passerelle qui soit non seulement précis sous l'évasion temporelle, mais aussi capable de prendre des actions qui améliorent mesurablement les performances réseau visibles par l'utilisateur (résultats de file d'attente) plutôt que de simplement générer des alertes.

• Modestie des Revendications : Les auteurs déclarent explicitement qu'ils ne revendiquent pas l'inspection de la charge utile, le déploiement dans des firmwares de classe ISP, ou que leurs mondes synthétiques reproduisent parfaitement chaque jeu de données du monde réel.
• Contribution Principale : Ce travail fournit un protocole falsifiable et un ensemble d'artefacts (mondes, budgets, structures de contention) qui rendent à la fois l'évasion et l'impact sur la file d'attente mesurables. Il démontre que, sous des budgets de faux positifs stricts, un détecteur de streaming léger à deux états peut atteindre une détection d'incident plus élevée et de meilleurs résultats de file d'attente que des bases de référence plus complexes lorsqu'il est couplé à une action WFQ réversible.
• Limites : L'évaluation actuelle se concentre sur une activité soutenue sur des flux spécifiques. Les auteurs notent qu'un adversaire adaptatif pourrait tenter de diluer les preuves