Dynamic Management of a Deep Learning-Based Anomaly Detection System for 5G Networks

Sintesi Tecnica: Gestione Dinamica di un Sistema di Rilevamento delle Anomalie Basato sul Deep Learning per le Reti 5G

Definizione del Problema
La transizione verso le reti mobili di quinta generazione (5G) introduce sfide significative per la cybersicurezza, caratterizzate da un massiccio aumento di dispositivi connessi, volume di dati e la necessità di latenza ultra-bassa. I sistemi tradizionali di rilevamento delle intrusioni (IDS), che spesso si basano sull'ispezione di pacchetti grezzi o set di regole statiche, stanno diventando insufficienti per gli ambienti 5G. Queste soluzioni legacy faticano a scalare con l'enorme volume di traffico e mancano dell'agilità necessaria per adattarsi alle dinamiche condizioni di rete. Inoltre, gli approcci esistenti basati sul deep learning spesso non riescono ad affrontare la gestione efficiente, in tempo reale e autonoma delle risorse computazionali necessarie per eseguire modelli di rilevamento complessi entro i vincoli del Mobile Edge Computing (MEC). Esiste una critica necessità di una soluzione che possa non solo rilevare anomalie utilizzando l'IA avanzata, ma anche gestire dinamicamente l'infrastruttura sottostante per gestire carichi di traffico fluttuanti senza compromettere le prestazioni.

Metodologia
Gli autori propongono un'architettura orientata al MEC progettata per rilevare anomalie di rete in tempo reale e gestire le risorse in modo autonomo. La soluzione si basa sull'architettura ETSI NFV (Network Functions Virtualization) e integra tre componenti funzionali principali:

1. Sistema di Rilevamento Distribuito: Il sistema opera a due livelli: il livello del Mobile Edge System (orchestrazione) e il livello del Mobile Edge Host (esecuzione). Il processo di rilevamento è diviso in tre fasi:

   • Raccolta dei Flussi (Flow Collection - FC): Recupera e memorizza i flussi di rete, estraendo caratteristiche (feature) adatte all'analisi.
   • Rilevamento dei Sintomi di Anomalia (Anomaly Symptom Detection - ASD): Un modulo di deep learning che analizza rapidamente le caratteristiche dei flussi per identificare i "sintomi" (tracce di anomalie). Questo modulo utilizza Reti Neurali Profonde (DNN) ed è progettato per essere eseguito su CPU o GPU a seconda del carico.
   • Rilevamento di Anomalie di Rete (Network Anomaly Detection - NAD): Un collettore centrale che aggrega i sintomi temporizzati da molteplici moduli ASD attraverso diverse reti di accesso radio (RAN) per identificare pattern di attacco complessi e filtrare i falsi positivi.

2. Gestione Guidata dalle Policy: Per ottenere un comportamento autonomico, il sistema impiega un framework di gestione basato su policy. Le policy sono definite per controllare l'infrastruttura di rete, le funzioni di rilevamento e le applicazioni edge mobili. Queste policy attivano azioni specifiche basate su metriche quali l'utilizzo di CPU/memoria, il volume dei flussi di rete e il rilevamento di specifici tipi di anomalia. Le principali azioni delle policy includono:

   • Adattamento dell'Infrastruttura Virtuale: Aumento dinamico della RAM o distribuzione di nuove Macchine Virtuali (VM) quando vengono superate le soglie di risorse.
   • Aggiornamento dei Modelli: Sostituzione automatica dei modelli di rilevamento quando sono disponibili versioni migliorate.
   • Orchestrazione delle Applicazioni: Istanziazione di nuovi moduli ASD (ad esempio, passando dall'elaborazione basata su CPU a quella basata su GPU) o distribuzione di strumenti di Deep Packet Inspection (DPI) come Snort quando vengono sospettati specifici attacchi (ad esempio, canali Command and Control).

3. Implementazione del Deep Learning: Il modulo ASD utilizza una Deep Belief Network (DBN) seguita da uno strato di classificazione. Il sistema è progettato per dare priorità alla bassa latenza rispetto alla massima accuratezza a livello di sintomo, facendo affidamento sul modulo NAD per raffinare i risultati finali del rilevamento. Gli autori hanno valutato i framework tra cui TensorFlow (ottimizzato per CPU) e Caffe2 (ottimizzato per GPU) per determinare gli ambienti di runtime più efficienti.

Contributi Chiave

• Architettura Orientata al MEC: Il documento estende il lavoro precedente presentando un'architettura completa che integra il rilevamento delle anomalie basato sul deep learning direttamente nel framework MEC, consentendo un'analisi decentralizzata e in tempo reale vicino all'utente.
• Gestione Dinamica delle Risorse: Un contributo innovativo è l'uso di policy di gestione per scalare autonomamente le risorse computazionali. Il sistema può rilevare picchi di traffico e approvvigionare automaticamente VM accelerate da GPU o regolare gli offset dei collettori di flusso per mantenere la capacità di throughput.
• Workflow di Orchestrazione: Gli autori dettagliano una specifica sequenza di orchestrazione per distribuire nuove capacità di rilevamento (ad esempio, il passaggio da un ASD basato su CPU a uno basato su GPU) senza interrompere i servizi di rete, inclusa la riconfigurazione dei collettori di flusso e lo smantellamento delle VM obsolete.
• Modellazione delle Prestazioni: Lo studio fornisce un modello matematico per stimare il tempo di rilevamento delle anomalie in funzione del tasso di flusso, della dimensione del batch e del throughput del framework, dimostrando come il sistema si adatti ai carichi di traffico che vanno da 50.000 a oltre 17 milioni di flussi al secondo.

Risultati Sperimentali
Gli autori hanno valutato la proposta utilizzando il dataset CTU-13, che contiene traffico botnet reale.

• Prestazioni di Classificazione: Testato su botnet note, un modello DNN 128-64-32 ha raggiunto una precisione di 0,9537 e un richiamo (recall) di 0,9954. In un test di generalizzazione più impegnativo (addestramento su alcune famiglie di botnet e test su altre non viste), un modello più semplice 16-8-4 ha ottenuto un richiamo di circa il 71% (0,7096), dimostrando la capacità di rilevare comportamenti sconosciuti.
• Throughput e Latenza: Gli esperimenti confrontando TensorFlow (CPU) e Caffe2 (GPU) hanno mostrato che Caffe2 su GPU ha superato significativamente TensorFlow su CPU per grandi dimensioni di batch. Il sistema ha dimostrato la capacità di gestire alti tassi di flusso passando dinamicamente a VM basate su GPU e regolando l'offset delle feature.
• Adattamento Dinamico: Le simulazioni di un improvviso afflusso di utenti (modellato come una funzione sigmoide) hanno mostrato che il sistema può prevedere la saturazione delle risorse tramite l'analisi della derivata del carico di traffico. Ciò ha permesso al sistema di richiedere nuove risorse GPU o regolare gli offset in modo proattivo, garantendo che la latenza di rilevamento rimanesse entro limiti accettabili anche quando il traffico scalava a milioni di flussi al secondo.

Significatività e Rivendicazioni
Il documento afferma che la sua principale significatività risiede nel colmare il divario tra il rilevamento avanzato basato sul deep learning e i requisiti pratici della gestione delle reti 5G. Combinando il deep learning con la gestione autonoma guidata dalle policy, la soluzione proposta affronta i limiti degli IDS statici negli ambienti 5G. Gli autori asseriscono che la loro architettura fornisce un metodo scalabile, efficiente e fluido per gestire il rilevamento delle anomalie, capace di auto-adattarsi ai carichi di traffico e ai vincoli di risorse in tempo reale. Enfatizzano che il sistema è progettato per essere estensibile, consentendo l'integrazione di specifici strumenti di analisi (come il DPI) solo quando necessario, ottimizzando così l'uso delle risorse. Il lavoro si pone come un passo fondamentale verso una gestione di rete completamente auto-organizzata nelle reti 5G virtualizzate, con lavori futuri pianificati per validare il sistema utilizzando dati da veri testbed 5G, specificamente nel contesto del progetto SELFNET.