Ogni giorno, miliardi di dispositivi scambiano dati attraverso internet, creando una vasta, invisibile rete di comunicazione. La maggior parte di questo traffico è innocua, fluendo come un fiume costante di richieste e risposte di routine. Tuttavia, nascosti all'interno di questo flusso, vi sono attori malevoli che tentano di violare i sistemi, rubare informazioni o interrompere i servizi. Individuare questi intrusi è una sfida costante per i team di sicurezza perché gli attaccanti sono astuti; cambiano frequentemente le loro tattiche e spesso imitano il comportamento normale per evitare il rilevamento. Gli strumenti di sicurezza tradizionali si affidano alla conoscenza esatta di come appare un attacco, confrontando il nuovo traffico con una libreria di minacce note. Questo approccio funziona bene per pericoli familiari, ma fallisce quando appare un nuovo tipo di attacco mai visto prima. Per risolvere questo problema, i ricercatori hanno iniziato a rivolgersi a una strategia diversa: insegnare ai computer a comprendere così profondamente cosa sia la "normalità" da rendere qualsiasi deviazione immediatamente evidente, proprio come una guardia giurata che conosce il ritmo regolare di un edificio e nota istantaneamente quando qualcuno si muove in un modo insolito.

In uno studio recente, un team di ricercatori francesi ha proposto un nuovo sistema chiamato GraphIDS per affrontare questo problema. Invece di cercare di memorizzare specifici modelli di attacco, il loro sistema apprende la struttura naturale del traffico di rete sano. Trattano la rete non come un elenco di messaggi isolati, ma come una mappa vivente dove i computer sono le località e i dati che scorrono tra di essi sono le strade. Studiando questa mappa, il sistema può vedere come i dispositivi solitamente comunicano tra loro. I ricercatori hanno scoperto che, combinando due potenti tipi di intelligenza artificiale, potevano costruire un modello capace di apprendere questo comportamento normale senza bisogno di alcun esempio di attacco su cui addestrarlo. Il sistema funziona cercando di ricreare i modelli del traffico normale che ha osservato. Quando incontra un pezzo di traffico strano o sospetto, fatica a ricrearlo, e questa difficoltà segnala una potenziale minaccia.

Il nucleo di questo nuovo metodo risiede nel modo in cui i ricercatori hanno organizzato i dati. Hanno preso i record grezzi del traffico di rete, noti come dati NetFlow, e li hanno trasformati in un grafo. In questo grafo, ogni computer sulla rete è un punto e ogni connessione tra due computer è una linea. Ogni linea trasporta dettagli sulla conversazione, come quanti pacchetti sono stati inviati o che tipo di dati sono stati trasferiti. La prima parte del loro sistema, una rete neurale a grafi, agisce come un osservatore locale. Esamina una specifica connessione ed esamina i vicini immediati dei computer coinvolti. Si pone domande come: "Con chi altro sta parlando questo computer in questo momento?" e "Questa conversazione è tipica per questo gruppo?". Ciò consente al sistema di comprendere il contesto locale di un singolo flusso di dati, catturando i modelli su piccola scala che definiscono il comportamento di routine.

Una volta che il sistema ha compreso questi dettagli locali, passa l'informazione a una seconda parte, un motore basato su transformer che osserva il quadro generale. Questa componente raggruppa molte connessioni e analizza come esse si relazionino tra loro attraverso l'intera rete. Apprende le abitudini globali del sistema, come quali gruppi di computer tendono a comunicare frequentemente o come il traffico fluisce solitamente durante diversi momenti. Per insegnare a questo sistema, i ricercatori hanno utilizzato una tecnica chiamata autoencoder mascherato. Immaginate di mostrare al sistema un'immagine completa del traffico normale, ma poi di nascondere piccole parti di essa. Il compito del sistema è indovinare come dovrebbero apparire le parti nascoste basandosi sul resto dell'immagine. Poiché è addestrato solo su traffico sicuro e normale, diventa molto bravo a prevedere come dovrebbe apparire una connessione sana. Impara le regole del gioco così bene da poter riempire i vuoti per qualsiasi flusso normale incontri.

Il vero potere di questo approccio si rivela quando il sistema incontra qualcosa di nuovo. Se appare un flusso malevolo, esso rompe le regole che il sistema ha appreso. Quando il sistema cerca di prevedere come dovrebbe apparire questo flusso strano basandosi sul suo addestramento, fallisce. La previsione è scarsa e la differenza tra ciò che il sistema si aspettava e ciò che è effettivamente accaduto è grande. I ricercatori chiamano questa differenza errore di ricostruzione. Nei loro test, hanno scoperto che questo errore era un segnale affidabile di intrusione. I flussi che facevano parte di un attacco producevano costantemente errori elevati, mentre il traffico normale produceva errori bassi. Ciò ha permesso al sistema di segnalare potenziali minacce senza aver mai ricevuto un singolo esempio di attacco durante la sua fase di addestramento.

Il team ha testato il loro sistema su due grandi dataset del mondo reale contenenti milioni di flussi di rete provenienti da ambienti diversi. Un dataset proveniva da una rete più piccola, mentre l'altro rappresentava un'infrastruttura molto più grande e complessa. In entrambi i casi, il sistema si è comportato con una precisione sorprendente. Sul dataset più piccolo, ha identificato correttamente quasi tutti gli attacchi mantenendo un tasso molto basso di falsi allarmi. Sul dataset più grande e impegnativo, ha comunque superato i metodi esistenti con un margine significativo, raggiungendo punteggi che si avvicinavano alla perfezione in alcune misurazioni. I ricercatori hanno confrontato il loro lavoro con altri sistemi avanzati che cercano anch'essi di rilevare anomalie senza dati di attacco etichettati. Il loro sistema si è classificato costantemente più in alto, dimostrando che combinare la visione locale della rete neurale a grafi con la visione globale del transformer fosse più efficace rispetto all'uso di uno dei due approcci da solo.

Uno dei risultati più importanti è stato che il sistema non aveva bisogno di sapere cos'era un attacco per imparare come riconoscerne uno. Concentrandosi interamente sulla ricostruzione del comportamento normale, il modello ha naturalmente imparato a rifiutare qualsiasi cosa non corrispondesse. Questo è un vantaggio cruciale perché, nel mondo reale, gli attaccanti inventano continuamente nuovi trucchi e i team di sicurezza spesso non dispongono di dati etichettati sufficienti per insegnare a un computer ogni possibile variazione di una minaccia. Il sistema GraphIDS evita questo problema imparando la forma della sicurezza. Se il traffico sembra sicuro, il sistema può ricrearlo facilmente. Se sembra pericoloso, il sistema inciampa, e quell'inciampo è l'allarme.

I ricercatori hanno anche esplorato cosa accadeva se rimuovevano certe parti del loro sistema. Quando hanno rimosso la componente a grafo e hanno fornito al sistema solo i dati grezzi, le prestazioni sono calate, specialmente sulla rete più grande e complessa. Ciò ha dimostrato che comprendere le connessioni tra i dispositivi era essenziale per individuare attacchi sottili. Allo stesso modo, quando hanno sostituito l'avanzato motore transformer con uno più semplice, il sistema funzionava ancora bene ma era meno costante e leggermente meno accurato. Questi test hanno confermato che sia il contesto locale che i modelli globali erano necessari affinché il sistema raggiungesse il suo pieno potenziale. Lo studio suggerisce che il modo migliore per rilevare le intrusioni sia costruire un modello che comprenda profondamente la struttura e le abitudini della rete, piuttosto che limitarsi a memorizzare un elenco di comportamenti negativi.

Sebbene i risultati siano promettenti, i ricercatori riconoscono che nessun sistema è perfetto. Il loro modello presuppone che la rete si comporti in modo relativamente costante nel tempo. Se la rete cambia drasticamente, come durante un importante aggiornamento o un improvviso cambiamento nel comportamento degli utenti, il sistema potrebbe confondersi e generare falsi allarmi. Suggeriscono che il lavoro futuro potrebbe consistere nell'insegnare al sistema di adattarsi continuamente mentre la rete evolve, invece di richiedere un riaddestramento completo. Hanno inoltre notato che in scenari in cui viene monitorato un singolo dispositivo, il sistema ha meno informazioni a disposizione poiché non può vedere il contesto della rete più ampia. Nonostante queste limitazioni, lo studio dimostra un passo avanti significativo nel modo in cui possiamo proteggere le infrastrutture digitali. Unificando lo studio delle connessioni locali con i modelli globali, il sistema GraphIDS offre un modo robusto e auto-supervisionato per mantenere le reti sicure, imparando il ritmo della normalità per poter sentire la discordanza di un intruso.