💻 computer science

A Crowdsensing Intrusion Detection Dataset For Decentralized Federated Learning Models

Questo articolo presenta un dataset di crowdsensing per il rilevamento di malware nell'IoT e uno studio sperimentale che dimostra come l'Apprendimento Federato Decentralizzato (DFL) offra prestazioni competitive, spesso superiori a quelle dell'approccio centralizzato, preservando al contempo la località dei dati.

Autori originali: Chao Feng, Alberto Huertas Celdran, Jing Han, Heqing Ren, Xi Cheng, Zien Zeng, Lucas Krauter, Gerome Bovet, Burkhard Stiller

Pubblicato 2026-03-20

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Chao Feng, Alberto Huertas Celdran, Jing Han, Heqing Ren, Xi Cheng, Zien Zeng, Lucas Krauter, Gerome Bovet, Burkhard Stiller

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina il mondo degli oggetti connessi (IoT) – come termostati intelligenti, telecamere di sicurezza o sensori industriali – come una grande città piena di milioni di piccoli cittadini. Ognuno di questi "cittadini" fa le sue cose: controlla la temperatura, apre una porta, invia un messaggio.

Il Problema: I Ladri nella Città

Purtroppo, in questa città ci sono dei ladri digitali (malware). Possono essere:

Botnet: Come un esercito di zombi che fa cose dannose tutti insieme.
Backdoor: Come una porta segreta che i ladri usano per entrare senza farsi vedere.
Ransomware: Come un sequestratore che blocca tutto chiedendo un riscatto.
Coinminer: Come un ladro che ruba la corrente della tua casa per fare soldi (criptovalute).

Il problema è che per scoprire questi ladri, di solito, si usava un metodo vecchio: mandare tutti i dati di ogni casa a un unico grande ufficio centrale (il server).

Il difetto: È come se ogni cittadino dovesse consegnare al capo di stato il suo diario personale, le sue foto e le sue conversazioni private. È un rischio enorme per la privacy e, se l'ufficio centrale viene attaccato o si rompe, tutto il sistema crolla.

La Soluzione: L'Allenamento "Senza Uscire di Casa"

Gli autori di questo studio hanno creato un nuovo modo di fare le cose, chiamato Federated Learning Decentralizzato (DFL).
Immagina che invece di portare i dati al centro, ogni cittadino impara da solo a riconoscere i ladri guardando solo i propri dati. Poi, invece di inviare i dati, invia solo un riassunto di ciò che ha imparato (un "consiglio") ai vicini. I vicini si scambiano questi consigli tra loro, come in una catena di sussurri, fino a creare un "super-intelligenza" collettiva senza che nessuno abbia mai visto i dati privati degli altri.

Cosa hanno fatto gli autori? (Il "Super-Dataset")

Per insegnare a queste macchine a riconoscere i ladri, serviva un libro di esercizi (un dataset) perfetto. Prima, i libri di esercizi esistenti erano vecchi o finti. Gli autori hanno creato qualcosa di nuovo e reale:

La Scena del Crimine Reale: Hanno usato 8 piccoli computer (Raspberry Pi, simili a piccoli PC economici usati nell'IoT) e li hanno infettati con 8 tipi diversi di malware reali.
Gli Occhi che Guardano Tutto: Hanno installato dei sensori che osservavano 6 cose diverse su ogni computer:
- Cosa fa il processore (se si stanca troppo).
- Cosa succede nel sistema operativo (i "sistemi di chiamata").
- Come si muove il file system (se qualcuno sta cancellando o modificando file).
- Il traffico di rete (chi parla con chi).
- E altro ancora.
Il Risultato: Hanno raccolto 21 milioni di righe di dati (come 21 milioni di pagine di un diario) per 288 ore. Poi li hanno puliti e trasformati in un formato facile da leggere per le macchine.

L'Esperimento: Chi vince?

Hanno fatto una gara tra tre metodi per vedere chi individuava meglio i ladri:

Metodo Vecchio (ML Centrale): Tutti i dati in un unico posto. (Vince in velocità, ma perde la privacy).
Federated Learning Classico (CFL): I dati restano a casa, ma c'è un "capo" che raccoglie i consigli. (Buono, ma il "capo" è un punto debole).
Federated Learning Decentralizzato (DFL): I dati restano a casa e i vicini si scambiano i consigli tra loro.

Il Risultato Sorprendente:
Il metodo Decentralizzato (DFL) ha funzionato quasi quanto quello centrale!

Ha mantenuto la privacy (nessuno ha visto i dati altrui).
È stato più robusto: se un nodo si rompe, la rete continua a funzionare perché non c'è un "capo" unico.
Ha superato il metodo classico con il "capo" in molte situazioni.

In Sintesi

Questa ricerca ci dice che possiamo costruire sistemi di sicurezza intelligenti per le nostre case e città connesse senza sacrificare la nostra privacy. È come se ogni cittadino imparasse a difendersi e poi insegnasse ai vicini, creando una comunità sicura dove nessuno deve rivelare i propri segreti personali.

Hanno anche scoperto che questo sistema funziona bene anche se i dati sono diversi tra loro (alcuni cittadini hanno più traffico, altri meno) e resiste bene a piccoli tentativi di inganno, anche se, se troppi "vicini" diventano cattivi insieme, il sistema può vacillare (cosa normale per qualsiasi gruppo).

Il contributo principale: Hanno creato il "libro di esercizi" (il dataset) che mancava finora, permettendo a ricercatori di tutto il mondo di testare queste nuove tecnologie di sicurezza in modo reale e sicuro.

Titolo del Documento

Un dataset per il rilevamento delle intrusioni nel crowdsensing per modelli di Federated Learning Decentralizzato (DFL).

1. Il Problema

L'Internet delle Cose (IoT) e, in particolare, gli scenari di crowdsensing (dove dispositivi eterogenei collaborano per raccogliere dati ambientali), sono sempre più vulnerabili a malware e attacchi informatici.

Limiti degli approcci attuali: I metodi tradizionali di Machine Learning (ML) richiedono l'invio di tutti i dati a un server centrale, sollevando gravi preoccupazioni sulla privacy e creando un singolo punto di fallimento.
Limiti del Federated Learning Centralizzato (CFL): Sebbene il CFL mantenga i dati locali, dipende ancora da un server centrale per l'aggregazione, il che rimane un collo di bottiglia e un rischio per la sicurezza in reti dinamiche e su larga scala.
Mancanza di Benchmark: Esiste una carenza critica di dataset realistici, distribuiti e ben documentati progettati specificamente per valutare i framework di Federated Learning Decentralizzato (DFL) in contesti IoT. I dataset esistenti (es. NSL-KDD, CICIDS2017, Bot-IoT) sono spesso obsoleti, basati su traffico di rete sintetico o raccolti in modo centralizzato, non riflettendo l'eterogeneità e la natura peer-to-peer delle reti IoT reali.

2. Metodologia

Gli autori hanno sviluppato un approccio completo che va dalla creazione dell'ambiente sperimentale alla generazione e validazione del dataset.

Ambiente Sperimentale (Crowdsensing):
- È stato implementato un testbed utilizzando 8 dispositivi Raspberry Pi (6 Pi 3 e 2 Pi 4) con architetture CPU ARM, collegati alla piattaforma ElectroSense.
- I dispositivi sono stati monitorati in uno stato "benigno" e sottoposti a 8 diversi scenari di attacco malware appartenenti a 5 famiglie principali: Botnet (Bashlite), Backdoor (HttpBackdoor, Backdoor, TheTick), Rootkit (Beurk, Bdvl), Ransomware (Ransomware-PoC) e Coinminer (XMRig).
- La raccolta dati è durata 288 ore, generando oltre 21,5 milioni di record grezzi.
Dimensioni Comportamentali Monitorate:
Per catturare l'impatto eterogeneo dei malware, sono stati monitorati sei livelli comportamentali:
1. Utilizzo delle risorse (CPU, memoria, I/O).
2. Eventi del kernel.
3. Chiamate di sistema (System Calls).
4. Attività di rete (pacchetti TCP/UDP).
5. Operazioni di Input/Output.
6. Accesso al file system.
Costruzione del Dataset:
- Pulizia e Aggregazione: I log grezzi sono stati puliti, sincronizzati e aggregati in finestre temporali fisse di 30 secondi. Questo ha ridotto i dati da 21,5 milioni a 342.106 record strutturati.
- Estrazione delle Feature: Inizialmente sono state estratte 687 feature (vettori di frequenza, statistiche di rete, entropia dei file, ecc.).
- Selezione delle Feature: Utilizzando test statistici (Chi-quadro, ANOVA F-value, Informazione Mutua), è stata identificata una sottoinsieme ridotto di 32 feature più discriminative per l'addestramento di modelli leggeri su dispositivi IoT.
Validazione Sperimentale:
- Il dataset è stato testato sulla piattaforma Nebular per simulare scenari DFL.
- Sono stati confrontati tre approcci: ML Centralizzato, Federated Learning Centralizzato (CFL) e Federated Learning Decentralizzato (DFL).
- Sono state testate diverse topologie di rete (completa, anello, stella) e distribuzioni di dati (IID e Non-IID simulati con distribuzione di Dirichlet).
- Il modello utilizzato è un semplice Multilayer Perceptron (MLP) a tre strati (32-128-9).

3. Contributi Chiave

Primo Dataset DFL per IoT: Fornisce un benchmark realistico e distribuito specifico per la valutazione del rilevamento delle intrusioni in ambienti IoT decentralizzati, colmando un vuoto nella letteratura esistente.
Multidimensionalità Comportamentale: A differenza dei dataset basati solo sul traffico di rete, questo dataset integra dati a livello di sistema operativo (chiamate di sistema, kernel, file system), offrendo una visibilità cross-layer essenziale per rilevare malware sofisticati come rootkit e ransomware.
Validazione Sperimentale Completa: Include una valutazione estensiva delle prestazioni del modello DFL rispetto a CFL e ML, analizzando l'impatto della topologia di rete, della scalabilità (numero di nodi) e dell'eterogeneità dei dati (Non-IID).
Riproducibilità: Il dataset è disponibile pubblicamente insieme a script per la raccolta, l'elaborazione e l'addestramento, permettendo la riproduzione completa degli esperimenti.

4. Risultati

Prestazioni del Modello:
- Il modello DFL ha mantenuto prestazioni competitive rispetto al ML centralizzato, pur preservando la località dei dati.
- In configurazioni con 4 nodi e topologia completamente connessa, il DFL ha raggiunto un punteggio F1 di circa 0,95, leggermente inferiore al ML centralizzato (0,96) ma superiore al CFL nella maggior parte delle configurazioni testate.
- L'aumento del numero di nodi (da 4 a 32) ha portato a un calo delle prestazioni (F1 sceso a ~0,81-0,91) a causa della frammentazione dei dati per nodo, ma il DFL ha dimostrato una maggiore robustezza rispetto al CFL in diverse topologie.
Robustezza e Convergenza:
- Il dataset supporta una convergenza stabile in scenari DFL.
- Sotto condizioni di Non-IID (eterogeneità dei dati simulata con $\alpha=0,1$ ), le prestazioni sono diminuite (F1 ~0,80), ma l'AUC è rimasto alto (0,986), indicando che la struttura delle feature rimane discriminativa.
- Attacchi Avversariali: Il sistema è robusto fino a un tasso di avvelenamento (label flipping) del 25% (F1 ~0,84), ma collassa quando il 50% o più dei nodi è compromesso.
Analisi delle Feature: Le feature selezionate variano a seconda del tipo di malware (es. chiamate di sistema per i ransomware, eventi di kernel per i rootkit, consumo di risorse per i miner), confermando la validità semantica del dataset.

5. Significato e Impatto

Questo lavoro è significativo per la ricerca sulla sicurezza IoT per diversi motivi:

Abilitazione della Ricerca DFL: Fornisce l'infrastruttura dati necessaria per sviluppare e testare algoritmi di apprendimento decentralizzato che non dipendono da server centrali, migliorando la privacy e la resilienza delle reti IoT.
Realismo Operativo: L'uso di hardware reale (Raspberry Pi) e malware open-source in esecuzione continua offre un livello di realismo superiore rispetto ai dataset sintetici o basati su simulazioni di traffico di rete.
Guida per Progettazione di Sistemi: I risultati mostrano i compromessi (trade-off) tra numero di nodi, topologia di rete e prestazioni, fornendo indicazioni pratiche per la progettazione di sistemi di rilevamento intrusioni scalabili e privi di punti singoli di fallimento.
Standard di Valutazione: Stabilisce un nuovo standard per valutare la capacità dei modelli di generalizzare su dispositivi eterogenei e in condizioni di dati non uniformi (Non-IID), una sfida cruciale per il futuro dell'IoT.

In sintesi, il paper introduce non solo un dataset, ma un ecosistema completo di validazione che dimostra come il Federated Learning Decentralizzato possa essere una soluzione efficace e sicura per la protezione degli ambienti IoT contro le minacce moderne.