🤖 machine learning

Reliable Hierarchical Operating System Fingerprinting via Conformal Prediction

Questo articolo introduce e valuta due strategie di Conformal Prediction strutturate, Level-wise CP e Projection-based CP, per affrontare i limiti della classificazione piatta nell'OS fingerprinting, dimostrando un compromesso fondamentale tra gli insiemi di predizione più stretti e comprensibili per l'uomo del primo e quelli strutturalmente coerenti e pronti per l'applicazione delle policy del secondo.

Autori originali: Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Pubblicato 2026-07-16

📖 6 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di essere un detective digitale che cerca di capire che tipo di computer sta comunicando con te su Internet. È un laptop Windows, un telefono Android o un server Linux? Questo lavoro da detective si chiama "OS fingerprinting" (impronta digitale del sistema operativo). Di solito, i detective cercano piccoli e unici particolari nel modo in cui questi computer inviano i messaggi, come il modo specifico in cui iniziano una stretta di mano o quanto siano grandi i loro pacchetti di dati. Ma ecco il problema: Internet è un luogo caotico. A volte gli indizi sono sfocati. Un detective standard potrebbe dichiarare con sicurezza: "È sicuramente un Android!", quando in realtà è un iPhone. In contesti di sicurezza ad alto rischio, un errore del genere può essere disastroso.

Per risolvere questo problema, gli scienziati usano uno strumento matematico chiamato "Conformal Prediction" (Predizione Conforme). Pensa a questo non come a una palla di cristallo che fornisce una singola risposta, ma come a una rete di sicurezza. Invece di dire "È X", dice: "È quasi certamente uno di questi tre: X, Y o Z". Questo fornisce una garanzia: se imposti la tua rete di sicurezza per catturare il 95% dei casi, catturerà effettivamente il 95% delle volte, indipendentemente da quanto diventino strani i dati. Ma c'è un trucco: i sistemi operativi non sono solo un elenco piatto di nomi; sono un albero genealogico. Windows è il nonno, Windows 10 è il genitore e Windows 10 22H2 è il figlio. Se la tua rete di sicurezza dice "È un Mac" ma anche "È Windows 10", è un pasticcio logico. Questo articolo esplora come costruire una rete di sicurezza che rispetti l'albero genealogico, assicurando che se indovini un figlio, tu indovini anche il suo genitore corretto.

Il Problema dell'Albero Genealogico

Nel mondo della sicurezza di rete, identificare un Sistema Operativo (OS) è come cercare di identificare una persona in mezzo alla folla solo dal suono dei suoi passi. Potresti sentire uno stivale pesante (Windows), una scarpa leggera (Linux) o una specifica marca di scarpe da corsa (Android). Tradizionalmente, i sistemi di sicurezza agiscono come un detective testardo che punta una persona e dice: "Quello è il sospettato!". Ma se il detective sbaglia, l'intero piano di sicurezza fallisce.

Gli autori di questo articolo hanno capito che gli OS hanno una gerarchia naturale, come un albero genealogico. In cima, hai grandi famiglie come "Windows" o "Linux". Sotto di essi, ci sono le versioni principali come "Windows 10" o "Ubuntu 20.04". All'estremo fondo ci sono le versioni minori specifiche, come "Windows 10 22H2". Il problema è che i metodi standard di "rete di sicurezza" (Conformal Prediction) trattano solitamente ogni OS come un elemento separato e non correlato in un elenco. Se chiedi loro di indovinare, potrebbero darti un elenco che include "Windows 10" e "Android 11" ma dimentica di includere la famiglia "Windows", o peggio, potrebbero dire che "Android" è la famiglia ma "Windows 10" è la versione specifica. È come dire: "Questo animale è un cane, ma è anche un gatto". Non ha senso.

Due Modi per Costruire la Rete di Sicurezza

I ricercatori hanno testato due diverse strategie per risolvere questo pasticcio logico, utilizzando un dataset di oltre 100.000 record di traffico di rete reali provenienti da un'università. Volevano vedere quale metodo potesse fornire un elenco di possibilità sicuro e logico senza essere troppo vago.

Strategia 1: Gli Indovinatori Indipendenti (Level-wise CP)
Immagina di avere tre detective diversi che lavorano sullo stesso caso. Un detective guarda solo il nome della famiglia, un altro solo la versione principale e un terzo solo la versione minore. Non si parlano tra loro.

Come funziona: Ogni detective costruisce la propria rete di sicurezza in modo indipendente.
Il Risultato: Questo metodo è molto acuto. Ti fornisce liste molto piccole e specifiche. Se il detective della famiglia è sicuro che sia "Windows", la lista è minuscola.
Il Difetto: Poiché non si parlano, a volte si contraddicono. Il detective della famiglia potrebbe dire "È Linux", mentre il detective della versione minore dice "È Windows 10". Questo crea un "Tasso di Incoerenza Gerarchica" (HIR) di circa il 30% o 40% nei loro test. È efficiente, ma è logicamente rotto.

Strategia 2: Il Proiettore Verso l'Alto (Projection-based CP)
Ora, immagina di avere un solo detective che osserva il dettaglio più piccolo (la versione minore) e poi risale l'albero genealogico.

Come funziona: Il detective trova la foglia specifica (ad esempio, "Windows 10 22H2") e poi dice: "Ok, se è questo, deve essere anche 'Windows 10' e 'Windows'". Proietta la risposta verso l'alto per riempire i vuoti.
Il Risultato: Questo metodo è perfettamente logico. Il "Tasso di Incoerenza Gerarchica" è esattamente zero. Non avrai mai una famiglia "Windows" con un figlio "Android".
Il Difetto: È un po' più cauto. Poiché deve includere ogni possibile genitore di una specifica ipotesi, le liste ai livelli superiori (il livello della famiglia) diventano più grandi. Se il detective non è sicuro della versione specifica, l'intero albero genealogico viene incluso nella rete di sicurezza, rendendo la lista meno precisa ai livelli superiori.

Il Grande Compromesso

La scoperta principale del documento è un compromesso fondamentale tra l'essere efficienti (liste piccole e precise) e l'essere coerenti (liste logicamente perfette).

Se hai bisogno che un essere umano legga i risultati: Gli "Indovinatori Indipendenti" (Level-wise CP) sono migliori. Un analista umano può guardare una lista che dice "Famiglia: Windows, Versione: Android 11" e capire: "Oh, la macchina è confusa sulla versione, ma è sicuramente Windows". Può usare il proprio cervello per correggere l'errore.
Se hai bisogno che un computer prenda una decisione: Il "Proiettore Verso l'Alto" (Projection-based CP) è il vincitore. I sistemi automatizzati non possono gestire le contraddizioni. Se un computer riceve l'ordine "Blocca Android" ma la lista dice "Famiglia: Windows", il computer si blocca. Il metodo di Proiezione garantisce che la lista abbia sempre senso, anche se la lista è un po' più lunga.

Cosa Hanno Scoperto

I ricercatori hanno eseguito i loro test 50 volte per esserne certi. Hanno scoperto che entrambi i metodi hanno catturato con successo la risposta corretta almeno il 95% delle volte (quando impostati su quel target), dimostrando che le reti di sicurezza funzionano. Tuttavia, il metodo "Indipendente" ha prodotto liste circa il 10-20% più piccole al livello della famiglia, ma erano logicamente disordinate. Il metodo "Proiezione" ha prodotto liste perfettamente logiche, ma le liste al livello della famiglia erano leggermente più grandi perché dovevano tenere conto di ogni possibilità.

In definitiva, il documento suggerisce che non esiste un unico metodo "migliore". Dipende da chi utilizza la risposta. Se un essere umano sta facendo il lavoro forense, il metodo disordinato ma preciso va bene. Ma se un robot sta bloccando l'accesso a una rete, ha bisogno della lista perfettamente logica e leggermente più lunga per evitare di commettere un errore banale. Gli autori hanno reso disponibili il codice e i dati affinché altri possano provare questi metodi sulle proprie reti, aiutando a rendere Internet un posto più sicuro dove sappiamo esattamente con cosa stiamo trattando.

Sintesi Tecnica: Fingerprinting Gerarchico Affidabile dei Sistemi Operativi tramite Conformal Prediction

Definizione del Problema
Il fingerprinting dei sistemi operativi (OS) è una componente critica della sicurezza di rete, della gestione degli asset e della risposta agli incidenti. Tuttavia, i metodi convenzionali di fingerprinting si affidano tipicamente a predizioni puntuali (output di un singolo label di OS), che risultano fragili in condizioni di severo sbilanciamento delle classi e della natura "open-set" del traffico di rete. In ambienti ad alto rischio come l'applicazione delle policy BYOD (Bring-Your-Own-Device), una predizione sicura ma errata può portare a violazioni della sicurezza. Inoltre, gli approoli standard trattano l'identificazione dell'OS come un problema di classificazione piatta, ignorando l'inerente gerarchia tassonomica dei sistemi operativi (ad esempio, Famiglia $\to$ Versione Maggiore $\to$ Versione Minore). Questa semplificazione non riesce a distinguere tra la gravità operativa di confondere due versioni della stessa famiglia di OS rispetto al classificare erroneamente l'intera famiglia. Inoltre, i metodi esistenti mancano di meccanismi formali di quantificazione dell'incertezza.

Metodologia
Gli autori propongono di inquadrare il fingerprinting dell'OS come un problema di classificazione gerarchica e di applicare la Conformal Prediction (CP) per generare set di predizione con garanzie di copertura marginale. Lo studio utilizza un dataset di 109.663 record di flussi di rete passivi provenienti da un ambiente universitario, caratterizzato da 112 feature distribuite su livelli IP, TCP, TLS e HTTP. I label della verità fondamentale (ground truth) sono strutturati in tre livelli: famiglia dell'OS, versione maggiore e versione minore.

Il nucleo della metodologia consiste nell'addestrare classificatori Multi-Layer Perceptron (MLP) indipendenti per ogni livello della gerarchia e nel racchiuderli in due distinte strategie di CP strutturata:

Level-wise CP (L-CP): Questo approccio applica la Conformal Prediction indipendentemente a ogni livello della gerarchia. Ogni livello (famiglia, versione maggiore, versione minore) viene calibrato separatamente utilizzando i propri punteggi di non-conformità e il proprio set di calibrazione. Ciò produce set di predizione separati per ogni livello con garanzie di copertura marginale specifiche per quel livello.
Projection-based CP (P-CP): Questo approccio applica la CP solo al livello foglia (versione minore). Il set di predizione risultante viene poi proiettato verso l'alto ai livelli più grossolani includendo tutti gli antenati di qualsiasi foglia mantenuta. Ciò garantisce che i set di predizione siano gerarchicamente coerenti e annidati (ovvero, una "figlia" predetta implica che anche il suo "genitore" sia predetto).

L'valutazione impiega un rigoroso framework utilizzando 50 iterazioni Monte Carlo e introduce una nuova metrica, l'Hierarchical Inconsistency Rate (HIR), per quantificare le violazioni logiche (ad esempio, violazioni di tipo "orphan", dove un figlio è predetto senza il suo genitore, o violazioni di tipo "sterile", dove un genitore è predetto senza alcun figlio).

Contributi Chiave

Prima Applicazione della CP Gerarchica: Il documento presenta la prima applicazione della Conformal Prediction al fingerprinting gerarchico dell'OS, affrontando le sfide specifiche della coerenza tassonomica e dell'incertezza multi-livello.
Strategie di CP Strutturata: L'introduzione e la valutazione di L-CP e P-CP, che offrono diversi compromessi tra efficienza locale e coerenza strutturale globale.
Nuova Metrica di Valutazione: La proposta dell'Hierarchical Inconsistency Rate (HIR) per misurare la coerenza logica nelle predizioni gerarchiche, andando oltre le metriche standard di copertura e dimensione del set.
Riproducibilità: Il rilascio di un'implementazione completa e open-source del framework e della pipeline sperimentale.

Risultati
I risultati sperimentali, valutati attraverso livelli di significatività ( $\alpha$ ) da 0,02 a 0,20, rivelano un compromesso fondamentale tra efficienza per livello e coerenza strutturale:

Validità: Entrambi i metodi soddisfano le garanzie di copertura marginale. L-CP raggiunge tassi di copertura vicini al target nominale ( $1-\alpha$ ) a tutti i livelli. P-CP mostra una sovra-copertura sistematica ai livelli più grossolani (ad esempio, raggiungendo una copertura del livello famiglia di circa il 96% quando il target è il 90%) perché il set della famiglia è costruito come l'unione degli antenati delle foglie valide.
Efficienza (Dimensione del Set): L-CP produce set di predizione più stretti al livello di famiglia (ad esempio, dimensione media del set $\approx$ 0,92 a $\alpha=0,10$ ) rispetto a P-CP ( $\approx$ 1,06). I set di L-CP possono scendere sotto la dimensione 1,0 a causa di frequenti set vuoti, segnalando alta incertezza o campioni fuori distribuzione (out-of-distribution).
Coerenza Strutturale (HIR): P-CP raggiunge un HIR esattamente pari a 0,0 per tutti gli $\alpha$ , garantendo set annidati e coerenti. Al contrario, L-CP soffre di frequenti violazioni tassonomiche, con un HIR che raggiunge il picco intorno al 37% a $\alpha=0,25$ . L'HIR di L-CP è non monotono, guidato dalla desincronizzazione tra i livelli (ad esempio, un genitore che restituisce un singleton mentre un figlio restituisce un set vuoto).
Usabilità: L-CP raggiunge alti tassi di singleton (predizioni precise) al livello di famiglia più velocemente di P-CP. Tuttavia, P-CP produce meno set vuoti ai livelli grossolani, poiché una famiglia viene scartata solo se tutti i suoi discendenti foglia vengono rifiutati.

Significatività e Implicazioni Operative
Il documento conclude che la scelta tra L-CP e P-CP dipende dallo specifico scenario di deployment operativo:

Automazione delle Policy: Gli autori raccomandano P-CP. I sistemi automatizzati richiedono coerenza logica per eseguire le policy (ad esempio, "Blocca tutte le versioni di Android tranne la 11+"). Un output inconsistente di L-CP (ad esempio, predire "Android 11" mentre la predizione della famiglia è "Windows") è inattuabile per la logica automatizzata. La garanzia di P-CP di set annidati assicura che ogni predizione corrisponda a un percorso valido nella tassonomia dell'OS.
Triage Forense: Gli autori suggeriscono che L-CP possa essere preferibile per gli analisti umani. Gli analisti spesso danno priorità alla famiglia dell'OS per indirizzare gli incidenti e possono usare la conoscenza del dominio per risolvere le inconsistenze strutturali. Una predizione della famiglia più stretta e calibrata di L-CP è più preziosa di un set gonfiato dal rumore del livello foglia, anche se le predizioni della versione minore sono inconsistenti.

Il lavoro fornisce un passo fondamentale verso una visibilità di rete più affidabile, passando da predizioni puntuali fragili a set gerarchici calibrati, permettendo agli operatori di scambiare esplicitamente la dimensione del set di predizione con l'affidabilità. Si propone come lavoro futuro l'uso di una calibrazione ibrida o di funzioni di perdita gerarchiche per mitigare le perdite di efficienza nei metodi coerenti, e l'esplorazione della Mondrian CP per gestire lo sbilanciamento estremo delle classi.

Il Problema dell'Albero Genealogico

Due Modi per Costruire la Rete di Sicurezza

Il Grande Compromesso

Cosa Hanno Scoperto

Articoli simili