Explainable Threat Attribution for IoT Networks Using Conditional SHAP and Flow Behavior Modelling

1. Il Problema

La rapida proliferazione dei dispositivi Internet of Things (IoT) ha ampliato notevolmente la superficie di attacco, rendendo le reti IoT vulnerabili a minacce complesse come DDoS, spoofing, botnet (es. Mirai) e exploit web.

• Limiti degli approcci attuali: I sistemi di rilevamento delle intrusioni (IDS) tradizionali spesso si basano su classificazione binaria (benigno vs. maligno) o su modelli "black-box" (come le reti neurali profonde) che offrono alta accuratezza ma scarsa interpretabilità.
• La sfida: In ambienti critici (sanità, infrastrutture industriali), gli analisti della sicurezza non hanno bisogno solo di un allarme, ma di una spiegazione trasparente del perché un flusso è stato classificato come una specifica minaccia (es. distinguere un attacco brute-force da un DDoS). La mancanza di attribuzione delle minacce multiclasse e di spiegazioni basate sul comportamento del flusso limita l'adozione dell'AI nella cybersecurity.

2. Metodologia

Gli autori propongono un framework di attribuzione delle minacce spiegabile (XAI) basato sull'analisi del comportamento dei flussi di rete e sull'uso di SHAP (SHapley Additive exPlanations).

• Dataset: Utilizzo del dataset CICIoT2023, che contiene oltre 10 milioni di flussi di rete con 34 varianti di attacco.
• Raggruppamento Semantico: Per migliorare l'interpretabilità e ridurre la ridondanza, le 34 classi originali sono state raggruppate in 8 categorie semantiche coerenti:
  1. Traffico Benigno
  2. Attacchi DDoS
  3. Attacchi DoS
  4. Botnet Mirai
  5. Spoofing
  6. Ricognizione (Reconnaissance)
  7. Sfruttamento Web e Injection
  8. Brute Force
• Preprocessing e Analisi Esplorativa (EDA):
  • Analisi delle distribuzioni dei flussi (durata, IAT - Inter-Arrival Time, dimensioni dei pacchetti, flag TCP).
  • Identificazione e rimozione di feature ridondanti o multicollineari (es. Rate, Srate, Std, Radius) tramite analisi VIF (Variance Inflation Factor).
  • Gestione dello squilibrio delle classi (class imbalance) tramite l'uso di pesi di classe durante l'addestramento, evitando tecniche di sovracampionamento che potrebbero distorcere le distribuzioni.
• Modellazione Predittiva:
  • Confronto tra cinque ensemble tree-based: Random Forest, XGBoost, LightGBM, Gradient Boosting ed Extra Trees.
  • Modello Selezionato: Gradient Boosting, scelto per il miglior equilibrio tra Recall e F1-score (metriche critiche per dataset sbilanciati) e per la sua capacità di gestire feature importance.
• Spiegabilità (XAI) con SHAP:
  • Attribuzione Globale: Analisi dell'importanza media delle feature per comprendere quali variabili guidano il modello complessivamente.
  • Attribuzione Locale e per Classe: Utilizzo di beeswarm plots e waterfall plots per visualizzare come le feature specifiche influenzano la previsione per ogni singola classe di minaccia, rivelando i percorsi decisionali del modello.

3. Contributi Chiave

1. Modellazione Multiclasse Semantica: Spostamento dalla classificazione binaria o da 34 classi separate a 8 categorie logiche, bilanciando accuratezza e spiegabilità.
2. Framework XAI Consapevole della Classe: Applicazione di SHAP non solo per l'importanza globale, ma per mappare la logica decisionale specifica di ogni tipo di attacco, permettendo di distinguere le "firme comportamentali" uniche.
3. Ragionamento Basato sul Comportamento del Flusso: Interpretazione delle feature top-ranked (es. IAT, varianza, flag TCP) in termini di semantica di rete (es. "burstiness" per DDoS, "sessioni lunghe" per Brute Force), collegando i dati numerici al comportamento reale dell'attaccante.

4. Risultati Principali

Il modello addestrato ha dimostrato elevate prestazioni nella distinzione delle minacce, con un miglioramento significativo della Recall per le classi minoritarie grazie ai pesi di classe. L'analisi SHAP ha rivelato pattern comportamentali distinti:

• DDoS e DoS: Caratterizzati da basso IAT (pacchetti ravvicinati), bassa durata del flusso, piccole dimensioni totali e alta frequenza. Il modello identifica questi attacchi come traffico "minimalista e uniforme".
• Brute Force: Identificati da alta variabilità temporale, segnali orientati alla connessione (alti conteggi di SYN/ACK/URG) e sessioni prolungate con payload leggeri.
• Botnet Mirai: Distinguibili per dimensioni dei pacchetti più grandi, tempi di interarrivo (IAT) più lunghi e flussi strutturati e costanti, tipici del traffico di comando e controllo.
• Ricognizione (Reconnaissance): Associata ad alta varianza e irregolarità strutturale, riflettendo il comportamento di scansione e probing.
• Traffico Benigno: Caratterizzato da regolarità strutturale, header ben formati, dimensioni dei pacchetti consistenti e assenza di burstiness eccessiva.
• Spoofing e Web Exploits: Rilevati attraverso header allungati, tempi di interarrivo irregolari e manipolazioni specifiche dei flag TCP (es. RST, URG).

L'analisi dei waterfall plots ha confermato che il modello sposta la previsione di base verso la classe corretta basandosi su combinazioni specifiche di feature (es. per il Brute Force, ogni feature contribuisce negativamente alla probabilità di essere "benigno", rafforzando la classificazione di attacco).

5. Significato e Implicazioni

• Fiducia e Accountability: Questo lavoro colma il divario tra modelli ML ad alte prestazioni e la necessità di trasparenza nella cybersecurity. Permette agli analisti di verificare le decisioni del modello, riducendo i falsi positivi e facilitando l'analisi forense post-incidente.
• Validazione Semantica: Dimostra che i modelli ML possono "imparare" la semantica delle minacce (non solo correlazioni statistiche), riconoscendo pattern come la burstiness o la regolarità dei flussi.
• Limitazioni e Futuro: Il modello è attualmente sensibile a pattern specifici del dataset di addestramento (CICIoT2023) e richiede flussi completi per l'analisi, limitando l'uso in tempo reale proattivo.
• Direzioni Future: Gli autori suggeriscono l'integrazione di apprendimento semi-supervisionato, algoritmi di online learning per l'elaborazione in streaming e l'incorporazione di segnali cross-modali (topologia di rete, identità del dispositivo) per creare un sistema di intelligence sulle minacce IoT adattivo e in tempo reale.

In sintesi, la ricerca fornisce un passo fondamentale verso sistemi di rilevamento delle intrusioni per IoT che non siano solo accurati, ma anche auditabili, interpretabili e allineati con il ragionamento operativo umano.