An Optimized Decision Tree-Based Framework for Explainable IoT Anomaly Detection

Sintesi Tecnica: Un Framework Ottimizzato Basato su Alberi di Decisione per l'Anomalia Rilevabile e Spiegabile nell'IoT

Problematica
La rapida proliferazione di dispositivi Internet of Things (IoT) ha significativamente ampliato la superficie di attacco informatico, rendendo necessari sistemi di rilevamento delle intrusioni (IDS) robusti. Tuttavia, le soluzioni IDS esistenti per l'IoT affrontano una triade critica di sfide: spesso faticano con dati ad alta dimensionalità e sbilanciati, comportano costi computazionali troppo elevati per i dispositivi edge con risorse limitate e mancano di interpretabilità. La natura "black box" di molti modelli ad alte prestazioni (come gli ensemble di deep learning) mina la fiducia e ostacola la conformità alle emergenti normative sulla trasparenza dell'IA. Di conseguenza, esiste un urgente bisogno di un framework di rilevamento leggero, accurato e trasparente, capace di un dispiegamento in tempo reale su dispositivi edge.

Metodologia
Gli autori propongono un framework centrato su un classificatore di Albero di Decisione (DT) ottimizzato, integrato con tecniche di Intelligenza Artificiale Spiegabile (XAI) per garantire la trasparenza. La metodologia segue una pipeline strutturata:

1. Raccolta Dati e Pre-elaborazione: Lo studio utilizza il dataset WUSTL-EHMS-2020, composto da 16.318 campioni normali, 1.124 campioni di spoofing e 922 campioni di alterazione dei dati. La pre-elaborazione prevede la rimozione dei duplicati, la codifica delle etichette per le variabili categoriche e la gestione degli outlier tramite la tecnica dell'Interquartile Range (IQR) (sostituzione degli outlier con le medie). Le caratteristiche sono normalizzate tramite normalizzazione z-score per garantire la stabilità dell'addestramento.
2. Selezione delle Caratteristiche: Per ridurre la dimensionalità e migliorare la generalizzazione, gli autori impiegano un processo di selezione in due fasi:
   • Test Chi-Quadrato: Le caratteristiche con p-value > 0,05 vengono scartate per rimuovere le variabili irrilevanti.
   • Eliminazione Ricorsiva delle Caratteristiche (RFE) con Cross-Validation: Questa fase identifica il sottoinsieme di caratteristiche più predittive. L'analisi della correlazione di Pearson affina ulteriormente la selezione, mantenendo le caratteristiche con p-value aggiustati < 0,05.
3. Bilanciamento dei Dati: Per affrontare lo sbilanciamento delle classi nel set di addestramento, le classi minoritarie (Spoofing e Alterazione dei Dati) vengono sovracampionate tramite oversampling casuale per eguagliare la classe di maggioranza (Normal), risultando in un set di addestramento bilanciato di 34.272 campioni.
4. Addestramento del Modello e Confronto con i Baseline: Viene applicata un'iniezione di rumore Gaussiano (15% della deviazione standard originale) per simulare la variabilità del mondo reale. Il DT ottimizzato proposto viene addestrato e confrontato con i classificatori baseline: Random Forest, K-Nearest Neighbors (KNN), Multi-Layer Perceptron (MLP) e CatBoost.
5. Integrazione della Spiegabilità: Il framework incorpora due metodi XAI:
   • SHAP (SHapley Additive exPlanations): Fornisce l'attribuzione delle caratteristiche sia a livello locale che globale.
   • Analisi di Sensibilità di Morris: Identifica l'importanza globale delle caratteristiche misurando l'effetto complessivo delle perturbazioni degli input, inclusi gli effetti non lineari e le interazioni.

Contributi Chiave

• Framework di Albero di Decisione Ottimizzato: Sviluppo di un classificatore DT leggero specificamente tarato per gli ambienti IoT, bilanciando un'alta accuratezza con un basso overhead computazionale.
• Pipeline di Pre-elaborazione Completa: Implementazione di una robusta pipeline che include riduzione del rumore, normalizzazione e gestione dello sbilanciamento delle classi su misura per il traffico IoT.
• Spiegabilità a Doppia Modalità: Integrazione di SHAP e dell'analisi di sensibilità di Morris per fornire trasparenza sia locale (a livello di istanza) che globale (a livello di modello), affrontando il limite della "black box" dei modelli complessi.
• Validazione Pronta per l'Edge: Dimostrazione che il modello proposto raggiunge prestazioni allo stato dell'arte mantenendo velocità di inferenza adatte a dispositivi edge con risorse limitate, a differenza delle alternative più pesanti basate su ensemble o deep learning.

Risultati
Il framework proposto è stato valutato su un set di test e tramite cross-validazione a 5 fold, producendo i seguenti parametri di prestazione:

• Accuratezza: 99,91% sul set di test; 98,93% di accuratezza media in cross-validazione.
• F1-Score: 99,51%.
• Kappa di Cohen: 0,9960.
• Stabilità: Il modello ha dimostrato un'eccezionale stabilità con una deviazione standard della cross-validazione di soli 0,0003, superando Random Forest, KNN, MLP e CatBoost in termini di coerenza.
• Efficienza: L'DT ottimizzato ha mostrato tempi di addestramento e di inferenza minimi rispetto ai modelli ensemble, rendendolo superiore per applicazioni in tempo reale.

Approfondimenti sull'Importanza delle Caratteristiche
Sia l'analisi SHAP che quella di sensibilità di Morris hanno identificato SrcMac (indirizzo MAC sorgente) come il predittore più significativo per tutte le classi. Altre caratteristiche altamente influenti includevano SIntPkt (tempo inter-pacchetto sorgente) e DIntPkt (tempo inter-pacchetto destinazione). Al contrario, caratteristiche come DstLoad, Rate, Load e jitter sono risultate avere un impatto trascurabile sulle predizioni.

Significatività e Rivendicazioni
L'articolo sostiene che questo framework risolve con successo il compromesso tra qualità della rilevazione, interpretabilità del modello ed efficienza computazionale. Raggiungendo un'accuratezza quasi perfetta (99,91%) pur rimanendo computazionalmente leggero, la soluzione si posiziona come un'alternativa valida ai metodi basati su deep learning e blockchain che spesso soffrono di alto overhead e scarsa scalabilità. L'integrazione della XAI assicura che il processo decisionale sia trasparente, favorendo la fiducia e consentendo l'adesione alle normative sulla trasparenza dell'IA. Gli autori concludono che questa combinazione di alta accuratezza, spiegabilità e basso consumo di risorse rende il framework uno strumento affidabile per il rilevamento di anomalie in tempo reale in ambienti IoT con risorse limitate. Il lavoro futuro suggerisce di includere processi di apprendimento adattivo e la validazione su dataset più ampi e reali.