Mitigating Evasion Attacks in Fog Computing Resource Provisioning Through Proactive Hardening

1. Problema e Contesto

Il paper affronta la vulnerabilità dei sistemi di provisioning delle risorse nelle reti di Fog Computing quando questi si basano su algoritmi di Machine Learning (ML), in particolare il clustering k-means.

• Contesto: Il Fog Computing avvicina le risorse computazionali alla fonte dei dati per ridurre la latenza, ma i nodi fog sono spesso limitati in termini di energia e capacità computazionale. La gestione dinamica delle risorse è critica.
• Vulnerabilità: I sistemi di provisioning basati su ML (RPS - Resource Provisioning Systems) sono esposti ad attacchi avversari. In particolare, il paper si concentra su un sistema che utilizza il k-means in due fasi:
  1. Fase Offline: Clustering dei carichi di lavoro richiesti per formare cluster (corrispondenti alle capacità delle VM).
  2. Fase Online: Classificazione dei nuovi carichi di lavoro in arrivo nei cluster preesistenti.
• La Minaccia: Un attore malevolo può sfruttare la mancanza di robustezza del modello ML per manipolare l'allocazione delle risorse. L'obiettivo dell'attacco è sovraccaricare le VM con risorse limitate, causando il rifiuto (drop) di carichi di lavoro critici e degradando le prestazioni del sistema.

2. Metodologia e Attacco Proposto

Gli autori modellano un attacco multiphase (multifase) basato sul framework MITRE ATLAS, che combina esplorazione ed evasione:

A. Fase 1: Attacco Esploratorio (Discovery)

L'attaccante utilizza un approccio basato su query (reverse engineering) per mappare i confini decisionali del classificatore k-means.

• L'attaccante invia richieste finte (query) per identificare i punti di confine tra i cluster (le cellule di Voronoi).
• Utilizzando l'ottimizzazione (discesa del gradiente stocastica - SGD), l'attaccante approssima le equazioni degli iperpiani di separazione tra i cluster, scoprendo la logica interna del modello.

B. Fase 2: Attacco di Evasione (Evasion)

Una volta mappati i confini, l'attaccante genera esempi avversari (perturbazioni) per le richieste di lavoro legittime.

• L'obiettivo è spostare artificialmente i carichi di lavoro ad alta richiesta (che richiederebbero VM potenti) verso cluster associati a VM con risorse limitate.
• Viene utilizzata la Projected Gradient Descent (PGD) per calcolare le perturbazioni minime necessarie per ingannare il classificatore, facendolo assegnare erroneamente un carico pesante a una VM debole.

C. Fase 3: Attacco Causativo (Causative)

L'attacco avviene in modo passivo durante la fase offline. L'attaccante "avvelena" il dataset di training (o i dati storici usati per il re-clustering) per spostare i centroidi dei cluster verso regioni che favoriscono l'overloading delle VM vulnerabili. Questo compromette l'integrità del modello a lungo termine.

3. Contributi Chiave e Soluzione

Il contributo principale del paper è la proposta di un meccanismo di indurimento proattivo (Proactive Hardening) basato sull'Adversarial Training (addestramento avversario).

• Adversarial Training: Invece di reagire agli attacchi dopo che sono avvenuti (approccio reattivo), il modello viene addestrato a riconoscere e resistere alle perturbazioni.
• Meccanismo: Durante l'addestramento, vengono generati esempi avversari (usando PGD) che cercano di massimizzare l'errore di classificazione. Il modello viene poi ri-addestrato su questi esempi "difficili" per imparare a mantenere la corretta classificazione anche in presenza di perturbazioni.
• Obiettivo: Rendere il classificatore robusto non solo agli esempi specifici dell'attacco, ma anche a bias di sottopopolazione e deviazioni di caratteristiche rare, garantendo che i carichi di lavoro critici vengano assegnati correttamente.

4. Risultati delle Simulazioni

Gli autori hanno simulato l'ambiente Fog Computing utilizzando Python, confrontando configurazioni senza attacco, sotto attacco e con indurimento proattivo.

• Metriche Valutate:
  • RU (Resource Utilization): Percentuale di risorse VM utilizzate.
  • TD (Task Drop Ratio): Percentuale di task che falliscono (superano la latenza o il tasso di errore consentito).
• Scenario Senza Attacco: Il sistema basato su ML supera le configurazioni statiche (VM-fixed), raggiungendo un'RU del ~90% con un TD del 6% (ottimizzando il parametro $\Lambda$).
• Scenario Sotto Attacco (Senza Difesa): L'attacco di evasione ha successo.
  • L'attaccante manipola l'allocazione, portando l'RU al 100% (sovraccarico totale).
  • Il TD schizza al 38%, indicando un fallimento critico del sistema nel servire i carichi di lavoro.
• Scenario con Indurimento Proattivo (Adversarial Training):
  • Il sistema difeso recupera quasi completamente le prestazioni originali.
  • L'RU rimane stabile al ~98% rispetto alla configurazione non attaccata.
  • Il TD scende al 6%, allineandosi ai livelli di sicurezza pre-attacco.
• Complessità: L'addestramento avversario introduce un overhead computazionale, ma gli autori dimostrano che può essere gestito tramite meccanismi di calcolo distribuito, rendendolo fattibile per applicazioni in tempo reale.

5. Significato e Conclusione

Questo lavoro è significativo perché:

1. Identifica nuove vulnerabilità: Dimostra come i sistemi di provisioning basati su clustering non supervisionato siano suscettibili a manipolazioni sofisticate che possono portare al collasso delle risorse.
2. Propone una difesa efficace: L'uso dell'adversarial training come misura proattiva si rivela superiore alle difese reattive (come l'anomaly detection) in questo contesto dinamico, garantendo la resilienza del sistema.
3. Validazione pratica: Le simulazioni confermano che l'indurimento del modello permette di mantenere la stabilità del servizio e la qualità del servizio (QoS) anche in presenza di attori malevoli determinati a manipolare l'allocazione delle risorse.

In sintesi, il paper dimostra che la sicurezza dei sistemi Fog Computing basati su ML non può essere un'aggiunta successiva, ma deve essere integrata proattivamente nel ciclo di vita del modello attraverso tecniche di addestramento robusto.