NOS-Gate: Queue-Aware Streaming IDS for Consumer Gateways under Timing-Controlled Evasion

Sintesi Tecnica: NOS-Gate – IDS Streaming Sensibile alle Code per Gateway Consumer sotto Evasione Controllata dal Tempo

Problema
I gateway consumer si posizionano tra i dispositivi IoT criptati e i servizi cloud, limitando la capacità di eseguire l'ispezione profonda dei pacchetti (DPI). Sebbene la crittografia nasconda il contenuto del payload, non elimina i canali laterali come il tempo dei pacchetti, le dimensioni e le strutture dei burst. Questi segnali di metadati possono essere sfruttati per l'identificazione dei dispositivi e il monitoraggio della sicurezza. Tuttavia, sorge una sfida operativa critica: un avversario adattivo può rimodellare gli intervalli di arrivo dei pacchetti e i pattern dei burst per imitare i ritmi dei dispositivi benigni mentre persegue un obiettivo d'attacco nascosto. Questa "evasione controllata dal tempo" mina i sistemi di rilevamento basati solo sui metadati che si affidano a soglie statiche o accuratezza offline. Inoltre, i gateway consumer operano sotto vincoli rigorosi riguardanti l'uso della CPU e la latenza, rendendo impraticabili modelli di grandi dimensioni o un addestramento pesante. Il problema centrale affrontato è se un gateway stand-alone possa rilevare questi attacchi modellati sul tempo abbastanza velocemente da poter agire, utilizzando solo i metadati, a un basso tasso di falsi allarmi, e se la relativa mitigazione riduca effettivamente il danno alle code visibile all'utente invece di esacerbarlo.

Metodologia
Il documento propone NOS-Gate, un sistema di rilevamento delle intrusioni (IDS) streaming progettato specificamente per gateway consumer stand-alone.

• Architettura: NOS-Gate istanzia un'unità dinamica leggera a due stati derivata dalla dinamica Network-Optimised Spiking (NOS) per ogni flusso di rete.
  • Stato $v$ (Accumulo di evidenza): Agisce come una coda di evidenza limitata che sale quando le caratteristiche dei metadati normalizzate deviano dai pattern benigni. Include termini di perdita (leak) per prevenire l'accumulo illimitato e una non linearità limitata per ridurre la sensibilità ai transitori rari.
  • Stato $u$ (Recupero/Soppressione): Uno stato di recupero che aumenta sotto elevazione sostenuta e fornisce un feedback negativo per sopprimere i trigger ripetuti (isteresi).
  • Input: L' "eccitazione esogena" viene reinterpretata da interferenza di coda (nel NOS originale) a un segnale di evidenza scalare ($E_{i,t}$) calcolato da caratteristiche di metadati normalizzate (tempo, dimensione, contesa e dati opzionali di handshake DNS/TLS).
• Logica di Rilevamento: Il sistema valuta finestre di lunghezza fissa (250 ms) di metadati. Per stabilizzare le decisioni ed evitare l'instabilità (flapping), applica una regola di persistenza K-di-M: un flusso viene segnalato come azionabile solo se $K$ allarmi si verificano entro le più recenti $M$ finestre.
• Meccanismo di Azione: Al verificarsi di un allarme persistente, NOS-Gate innesca una mitigazione reversibile: riduce temporaneamente il peso del flusso segnalato sotto un sistema di Weighted Fair Queueing (WFQ). Ciò mira a ridurre il danno alla coda (latenza per l'attacco) limitando al contempo il ritardo collaterale per il traffico benigno, senza bloccare immediatamente il flusso.
• Protocollo di Calibrazione: Il sistema opera in modalità stand-alone e senza etichette (label-free). Utilizza un segmento di "burn-in" assunto come benigno per calcolare le soglie ad alto quantile (ad es. il 99,9° percentile) per ogni flusso. Queste soglie vengono congelate durante la fase di test. Le etichette sono utilizzate solo per riportare le metriche di prestazione, non per l'addestramento o la calibrazione.

Framework di Valutazione: Il Benchmark "Worlds"
Per valutare rigorosamente il sistema sotto evasione controllata dal tempo, gli autori introducono un benchmark eseguibile denominato "worlds".

• Struttura: Un "world" è un'istanza sintetica, completamente specificata e riproducibile, contenente processi di dispositivi benigni, generatori di episodi malevoli e una struttura di contesa (clique di flussi che condividono un dominio di scheduling).
• Budget Avversari: Gli attacchi sono vincolati da budget operativi auditabili:
  1. Pavimento di Throughput ($R_{min}$): L'attacco deve mantenere un tasso minimo di dati.
  2. Distorsione Temporale ($\epsilon$): La distanza di Wasserstein tra la distribuzione dell'intervallo di arrivo (IAT) malevolo e un riferimento benigno deve rimanere al di sotto di una soglia.
  3. Stealth della Contesa ($\delta_q$): L'attacco non deve aumentare significativamente il ritardo medio di accodamento della clique di contesa rispetto al traffico benigno.
• Fattibilità: Il benchmark include un protocollo per determinare se un set specifico di budget è fattibile; in caso contrario, il generatore tenta di ripristinare la fattibilità o segnala l'infattibilità.
• Misurazione dell'Impatto: La valutazione prevede il replay dei pacchetti tramite WFQ per quantificare il ritardo della coda (p99.9) e il ritardo collaterale (impatto sui flussi benigni) sotto l'azione di gating.

Contributi Chiave

1. Rilevatore NOS-Gate: Un IDS streaming basato solo su metadati che mappa la dinamica NOS al rilevamento delle intrusioni a livello di flusso, caratterizzato da un gancio d'azione diretto (deprioritizzazione WFQ) guidato da un meccanismo di allerta basato sulla persistenza.
2. Benchmark Executable Worlds: Un benchmark riproducibile con strutture di contesa pubblicate e budget avversari auditabili, che consente la valutazione degli esiti della coda e della contesa sotto attacchi modellati sul tempo.
3. Protocollo Operativo Standardizzato: Un metodo di calibrazione stand-alone e senza etichette che utilizza la soglia di quantile di burn-in, che fissa un budget esplicito di falsi allarmi senza tuning supervisionato, permettendo un confronto equo tra l'impatto del rilevamento e quello dell'azione.

Risultati
Valutato attraverso molteplici mondi riproducibili ed episodi malevoli sotto un rigoroso punto operativo di 0,1% di tasso di falsi positivi (FPR):

• Prestazioni di Rilevamento: NOS-Gate ha raggiunto un recall di incidenti di 0,952 (mancando solo 1 incidente su 21), superando il miglior baseline (TinyGRU, 0,857 recall) e altri baseline senza etichette (KitNET, Autoencoder). La regola di persistenza ha permesso a NOS-Gate di accumulare modeste deviazioni nel tempo, rendendo più difficile per gli avversari controllati dal tempo sopprimere i punteggi al di sotto della soglia di alto quantile.
• Impatto sulla Coda: Quando il gating WFQ era abilitato, NOS-Gate è stato l'unico metodo che ha costantemente migliorato sia il ritardo di accodamento p99.9 (ridotto di circa 3,24 ms) sia il ritardo collaterale p99.9 (ridotto di circa 3,16 ms) rispetto al replay baseline senza gating. Altri metodi, quando sottoposti a gating, hanno spesso aumentato i ritardi della coda a causa di un gating meno mirato.
• Efficienza: NOS-Gate ha dimostrato un costo medio di scoring di ≈2,09 µs per finestra di flusso su una CPU standard, paragonabile a un autoencoder compatto e significativamente più veloce di KitNET e TinyGRU.

Significatività e Rivendicazioni
Il documento afferma che NOS-Gate affronta un vuoto di implementazione specifico: la necessità di un IDS per gateway che non sia solo accurato sotto l'evasione temporale, ma che sia anche capace di intraprendere azioni che migliorino misurabilmente le prestazioni di rete visibili all'utente (esiti della coda) piuttosto che limitarsi a generare allarmi.

• Modestia delle Rivendicazioni: Gli autori dichiarano esplicitamente di non rivendicare l'ispezione del payload, l'implementazione in firmware di classe ISP o che i loro mondi sintetici riproducano perfettamente ogni dataset del mondo reale.
• Contributo Centrale: Il lavoro fornisce un protocollo falsificabile e un insieme di artefatti (mondi, budget, strutture di contesa) che rendono misurabili sia l'evasione che l'impatto sulla coda. Dimostra che, sotto rigorosi budget di falsi allarmi, un rilevatore streaming leggero a due stati può ottenere un rilevamento degli incidenti superiore e migliori esiti della coda rispetto a baseline più complesse quando accoppiato con un'azione reversibile WFQ.
• Limitazioni: L'attuale valutazione si concentra sull'attività sostenuta su flussi specifici. Gli autori notano che un av