INTACT: Intent-Aware Representation Learning for Cryptographic Traffic Violation Detection

1. Il Problema

Il panorama della sicurezza di rete è cambiato radicalmente a causa della proliferazione del traffico crittografato (SSL/TLS, VPN), che rende inefficaci le tecniche tradizionali di ispezione dei pacchetti (DPI). Di conseguenza, l'analisi si basa su caratteristiche statistiche a livello di flusso.

Tuttavia, esiste un mismatch concettuale fondamentale negli attuali sistemi di rilevamento delle anomalie:

• Approccio Statistico Tradizionale: I modelli attuali trattano le violazioni come "rari deviazioni statistiche" dalle distribuzioni dei dati osservati (anomalie basate sulla densità).
• Realtà delle Policy di Sicurezza: Nelle reti moderne, le violazioni sono definite da vincoli espliciti (policy) e non dalla rarità statistica. Esempi includono: il riutilizzo delle chiavi crittografiche, il downgrade degli algoritmi di cifratura, o il superamento di una durata massima della chiave (lifetime).
• Limitazione: Un flusso può essere statisticamente "normale" ma violare una policy specifica (es. una chiave riutilizzata in un contesto diverso), oppure un comportamento può essere accettabile sotto una policy ma vietato sotto un'altra. I modelli attuali non incorporano esplicitamente queste intenzioni (intent) o vincoli formali nel processo di apprendimento delle rappresentazioni, rendendo i sistemi poco interpretabili e poco adattabili ai cambiamenti delle policy.

2. Metodologia: Il Framework INTACT

Per colmare questo divario, gli autori propongono INTACT (INTent-Aware Cryptographic Traffic), un framework che riformula il rilevamento delle violazioni come un problema di apprendimento di vincoli condizionati.

Concetto Chiave

Invece di apprendere una funzione statica $g(x) \approx P(y=1|x)$ (dove $x$ sono le caratteristiche del traffico), INTACT apprende una funzione condizionata:
$$f(x, z) \approx P(y=1 | x, z)$$
Dove:

• $x$: Rappresentazione comportamentale del traffico (flussi o tracce).
• $z$: Codifica strutturata dell'intento di sicurezza (es. soglia di durata, divieto di riutilizzo, vincoli di downgrade).
• $y$: Probabilità di violazione.

Architettura

Il modello è una rete neurale a due rami (dual-branch) che fonde le informazioni comportamentali e semantiche:

1. Behavioral Encoder: Codifica le caratteristiche osservabili del traffico (es. durata del flusso, numero di pacchetti, throughput) in un embedding comportamentale ($h_b$).
2. Intent Encoder: Codifica i parametri della policy di sicurezza (es. la soglia temporale o il tipo di vincolo) in un embedding semantico ($h_z$).
3. Fusion Layer: I due embedding vengono concatenati e passati attraverso strati fully-connected per produrre un punteggio di violazione.

Questa architettura permette al modello di generare una famiglia di confini decisionali parametrizzati dalla policy, anziché un singolo confine statico. Se la policy cambia (es. si modifica la durata massima della chiave), è sufficiente aggiornare l'input $z$ senza riaddestrare l'intero modello.

3. Contributi Chiave

1. Identificazione del Mismatch Concettuale: Dimostrazione che il rilevamento di anomalie basato sulla rarità statistica è inadeguato per la sicurezza basata su policy, dove le violazioni sono definite da vincoli formali.
2. Framework di Apprendimento Condizionato: Proposta di un metodo che integra esplicitamente la semantica della policy nel processo di rappresentazione, trasformando il rilevamento in un problema di minimizzazione del rischio condizionato.
3. Strategia di Valutazione Ibrida: Utilizzo di due dataset distinti per una valutazione completa:
   • Un dataset reale di flussi di rete (2,8 milioni di record) per validità ecologica.
   • Un dataset sintetico su larga scala (210.000 tracce, 4,2 milioni di operazioni) con meccanismi di violazione controllati (riutilizzo, downgrade, durata) per testare la separabilità delle diverse tipologie di intenti.
4. Dimostrazione di Robustezza: Evidenza che il condizionamento esplicito migliora la discriminazione e la robustezza sotto shift di distribuzione (cambiamenti nelle caratteristiche del traffico).

4. Risultati Sperimentali

Il framework è stato valutato confrontandolo con baselines supervisionate e non supervisionate (Autoencoder, Deep SVDD, Isolation Forest).

• Dataset Reale (Violazioni di Durata):

  • INTACT ha raggiunto prestazioni quasi perfette (AUROC = 1.0000), paragonabili o superiori alle reti neurali supervisionate standard.
  • Ha dimostrato una maggiore stabilità rispetto ai modelli basati sulla ricostruzione (Autoencoder) sotto shift di distribuzione (es. moltiplicazione della durata dei flussi), dove i modelli tradizionali mostravano un'alta AUROC ma un basso F1-score a causa di una scarsa calibrazione.

• Dataset Sintetico (Multi-Intent):

  • Rilevamento di Violazioni Complesse: INTACT ha eccelso nel rilevare violazioni relazionali (es. riutilizzo delle chiavi), un compito in cui i metodi non supervisionati fallivano (AUROC ~0.50) e i modelli supervisionati standard faticavano.
  • Performance: Ha raggiunto AUROC di 0.7820 per il riutilizzo, 0.9797 per la durata e 1.0000 per il downgrade, superando o eguagliando le baselines supervisionate.
  • Interpretabilità: Il modello è stato in grado di unificare la discriminazione di intenti multipli in un'unica architettura senza degradazione delle prestazioni.

5. Significato e Implicazioni

Il lavoro di INTACT rappresenta un cambio di paradigma significativo nella sicurezza del traffico crittografato:

• Dalla Statistica alla Semantica: Sposta il focus dalla stima della densità dei dati all'apprendimento di operatori di vincoli differenziabili.
• Adattabilità alle Policy: Permette di adattare il sistema di rilevamento a nuove normative o policy di sicurezza semplicemente modificando l'input di intent ($z$), eliminando la necessità di riaddestramento completo.
• Interpretabilità: Fornisce un meccanismo per allineare semanticamente le decisioni del modello con le intenzioni operative dichiarate, rendendo il sistema più trasparente e affidabile in ambienti enterprise.
• Fondazione per il Futuro: Stabilisce una base per sistemi di monitoraggio crittografico scalabili e guidati dalle policy, essenziali per le reti moderne dove la crittografia è onnipresente e le policy di sicurezza sono dinamiche.

In sintesi, INTACT dimostra che integrare esplicitamente la conoscenza delle policy di sicurezza nel processo di apprendimento automatico migliora drasticamente l'accuratezza, l'interpretabilità e la robustezza dei sistemi di rilevamento delle intrusioni su traffico cifrato.