Learning to Detect Cyber Attacks: Neural Anomaly Detection for Cybersecurity with Theoretical Insights
Questo articolo propone un metodo di rete neurale teoricamente fondato per il rilevamento delle anomalie che si addestra esclusivamente su campioni normali utilizzando anomalie sintetiche, dimostrando di poter apprendere il confine della regione normale per raggiungere un rischio eccessivo minimax e rilevare in modo robusto diverse attacchi cyber non visti senza richiedere una conoscenza preventiva delle distribuzioni delle anomalie.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina di essere una guardia giurata in un museo enorme e frenetico. Il tuo compito è individuare l'unica persona tra la folla che sta facendo qualcosa di sbagliato. Nei vecchi tempi, avresti potuto avere un album fotografico di ogni ladro noto, completo dei loro volti, dei loro vestiti e dei loro attrezzi preferiti. Se qualcuno somigliava a una foto nell'album, lo avresti fermato. Ma cosa succede quando un ladro entra indossando un travestimento del tutto nuovo, usando uno strumento che nessuno ha mai visto prima? Il tuo album fotografico è inutile. Questo è l'incubo degli "attacchi zero-day" nella cybersicurezza: malvagi che inventano nuovi trucchi appositamente per aggirare le difese costruite sulla vecchia conoscenza.
Per risolvere questo problema, gli scienziati hanno cercato di adottare un approccio diverso: invece di memorizzare ogni cattivo, cercano di imparare esattamente cosa sia il "normale". Immagina di passare tutta la giornata a osservare i visitatori regolari del museo. Impari come camminano, come tengono i loro biglietti e come guardano l'arte. Costruisci una mappa mentale perfetta del "comportamento normale". Allora, chiunque esca da quella mappa — qualcuno che corre, salta o indossa un costume da clown in una galleria silenziosa — viene segnalato come sospetto, anche se non hai mai visto quel particolare clown prima d'ora. Questo è chiamato "rilevamento delle anomalie" (anomaly detection). La sfida è che il comportamento "normale" può essere incredibilmente complesso, come un labirinto ad alta dimensionalità, e capire i confini esatti di quel labirinto senza aver mai visto un criminale è come cercare di disegnare il bordo di una nuvola bendati.
Questo articolo, intitolato "Learning to Detect Cyber Attacks: Neural Anomaly Detection for Cybersecurity with Theoretical Insights", propone un nuovo modo intelligente di disegnare quella nuvola. Gli autori, Tian-Yi Zhou e colleghi, suggeriscono un metodo che non ha bisogno di un singolo esempio di un attacco reale per imparare. Invece, addestrano un programma informatico intelligente (una rete neurale) usando solo dati provenienti da un comportamento "buono". Ma ecco il colpo di scena: per insegnare al computer dove finisce la zona "normale", generano migliaia di esempi falsi e casuali di comportamenti "cattivi". Pensa a insegnare a un bambino cos'è un cane mostrandogli delle foto di cani, e poi mostrandogli creature casuali e inventate (come un gatto con la coda fatta di spaghetti) e dicendogli: "Questo certamente non è un cane".
La scoperta principale dell'articolo è che questo metodo funziona sorprendentemente bene, e possono effettivamente dimostrare perché funziona usando la matematica. Hanno dimostrato che se si generano il giusto numero di questi esempi falsi "cattivi — nello specifico, circa lo stesso numero dei vostri esempi reali "buoni" — il computer impara il confine del comportamento normale quasi perfettamente. Hanno dimostrato che man mano che si forniscono più dati al computer, i suoi errori scendono a zero alla velocità massima consentita dalla matematica. Questo è un grande passo avanti perché, fino ad ora, molti di questi metodi di IA erano come scatole nere: funzionavano nella pratica, ma nessuno poteva dimostrare che fossero teoricamente solidi o dire esattamente quanto materiale falso fosse necessario.
Gli autori hanno anche testato la loro idea su problemi del mondo reale, non solo sulla teoria. Hanno usato il loro metodo per intercettare attacchi informatici nel traffico di rete, trovare difetti in prodotti fabbricati in fabbrica e individuare schemi insoliti nei dati medici. Nel mondo della sicurezza informatica, il loro metodo è stato particolarmente bravo a individuare gli attacchi subdoli e invisibili che altri sistemi perdevano. Hanno scoperto che se si generano troppi esempi falsi, il computer in realtà si confonde e ottiene prestazioni peggiori, ma se si fa corrispondere il numero di esempi falsi con quelli reali, si raggiunge il punto ottimale. Sebbene non abbiano sostenuto di aver risolto ogni problema di sicurezza al mondo, i loro esperimenti hanno dimostrato che questo approccio è robusto, competitivo con i migliori strumenti esistenti e offre una solida base matematica per spiegare il perché del suo successo. In sostanza, ci hanno dato un nuovo modo, matematicamente provato, per insegnare ai computer a individuare le cose strane mostrando loro ciò che è normale e alcuni elementi casuali "non normali", senza mai aver bisogno di vedere i veri cattivi prima.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.