GMA-SAWGAN-GP: A Novel Data Generative Framework to Enhance IDS Detection Performance

1. Il Problema

I Sistemi di Rilevamento delle Intrusioni (IDS) moderni soffrono di due limitazioni fondamentali:

• Scarsa generalizzazione: Sono spesso calibrati su attacchi noti e faticano a rilevare minacce sconosciute (zero-day).
• Sfide nella generazione di dati misti: Le reti di traffico contengono sia attributi discreti (es. protocollo, servizio) che continui. Le soluzioni esistenti basate su GAN (Generative Adversarial Networks) tendono a gestire male i dati discreti:
  • L'uso dell'one-hot encoding causa dimensionalità elevate, sparsità e perdita di vicinanza semantica tra categorie.
  • L'eliminazione dei campi discreti rimuove segnali critici per il rilevamento.
  • I modelli esistenti spesso falliscono nel catturare le dipendenze a breve e lungo raggio tra le caratteristiche di un singolo record di flusso e soffrono di mode collapse (crollo delle modalità), portando a instabilità nell'addestramento e scarsa copertura dei pattern minoritari.

2. Metodologia Proposta: GMA-SAWGAN-GP

Il paper propone GMA-SAWGAN-GP, un framework di augmentazione generativa basato su una Wasserstein GAN con Gradient Penalty (WGAN-GP) potenziata da meccanismi specifici per gestire dati misti e migliorare la stabilità.

L'architettura si compone di quattro pilastri principali:

1. Generatore Discrete-Aware (G):

   • Utilizza la regolarizzazione Gumbel-Softmax per modellare i campi discreti. Invece dell'one-hot encoding, utilizza "codebook" apprendibili per ogni campo categorico, permettendo un'ottimizzazione end-to-end differenziabile.
   • I campi continui sono generati tramite un layer denso con attivazione tanh.
   • Un meccanismo di Self-Attention (SA) a livello di caratteristiche (feature-wise) viene integrato nel generatore per catturare le dipendenze sia a breve che a lungo raggio tra le diverse caratteristiche all'interno dello stesso record di flusso.

2. Regolarizzazione Manifold con AutoEncoder (AE):

   • Un AutoEncoder (Encoder + Decoder) agisce come regolarizzatore del manifold. Durante l'aggiornamento del generatore, l'AE (congelato) impone che i campioni sintetici possano essere ricostruiti fedelmente, costringendo il generatore a rimanere vicino alla geometria locale dei dati reali e riducendo il mode collapse.

3. Gating Network Adattivo basato sull'Entropia:

   • Una rete di gating leggera bilancia dinamicamente la loss di ricostruzione (AE) e la loss avversaria (GAN).
   • Utilizza una regolarizzazione basata sull'entropia per evitare che i pesi del gating collassino prematuramente su un solo obiettivo, garantendo una stabilità di addestramento superiore e una copertura più ampia dei pattern di attacco rari.

4. Framework di Addestramento (WGAN-GP):

   • Il sistema adotta il framework WGAN-GP per garantire stabilità e convergenza, sostituendo il weight clipping con un Gradient Penalty che impone il vincolo di Lipschitz.

3. Contributi Chiave

• Metodo di Augmentation Consapevole dei Dati Discreti: Preserva la semantica categorica tramite Gumbel-Softmax e codebook apprendibili, evitando la sparsità dell'one-hot encoding.
• Meccanismo di Self-Attention a Livello di Caratteristica: Modella esplicitamente le dipendenze incrociate tra caratteristiche discrete e continue senza bisogno di raggruppamenti manuali.
• Regolarizzazione Guidata dall'AutoEncoder: Vincola la sintesi dei dati verso una geometria ricostruibile, mitigando il crollo delle modalità.
• Gating Adattivo dell'Entropia: Bilancia automaticamente gli obiettivi di ricostruzione e avversariali, migliorando la stabilità e la copertura delle classi minoritarie critiche.

4. Risultati Sperimentali

Il framework è stato valutato su tre dataset pubblici (NSL-KDD, UNSW-NB15, CICIDS2017) utilizzando cinque modelli IDS rappresentativi (CNN, DNN, LSTM, CNN-BiLSTM, CNN-LSTM).

• Classificazione Binaria e Multi-classe:
  • Rispetto ai dati originali, l'augmentazione ha migliorato l'accuratezza binaria media del 5,3% e quella multi-classe del 2,2%.
  • I modelli basati su architetture ibride (CNN-LSTM, CNN-BiLSTM) hanno mostrato i guadagni più significativi, grazie alla capacità di sfruttare le dipendenze cross-feature introdotte dai dati sintetici.
• Generalizzazione ad Attacchi Sconosciuti (LOAO):
  • Utilizzando la metodologia Leave-One-Attack-type-Out (LOAO), i modelli addestrati con dati augmentati hanno mostrato una maggiore robustezza.
  • L'AUROC per attacchi sconosciuti è aumentato in media del 3,9%.
  • Il TPR@5%FPR (True Positive Rate a un tasso di falsi positivi del 5%) è migliorato del 4,8%, indicando una migliore capacità di rilevare minacce zero-day mantenendo bassi i falsi positivi.
• Confronto con lo Stato dell'Arte:
  • GMA-SAWGAN-GP ha superato cinque metodi GAN-based avanzati (SYN-GAN, DAE-GAN, ecc.) in termini di accuratezza media e copertura geometrica dei dati reali (verificata tramite visualizzazione PCA), mostrando una migliore allineamento con i manifold dei dati reali e una minore contrazione delle modalità.

5. Significato e Impatto

Questo lavoro affronta una lacuna critica nella ricerca sulla sicurezza informatica: la generazione di dati sintetici di alta qualità per traffico di rete misto (discreto e continuo).

• Robustezza Operativa: Dimostra che l'augmentazione generativa non serve solo a bilanciare le classi, ma migliora la capacità degli IDS di generalizzare su scenari di attacco mai visti prima.
• Stabilità dell'Addestramento: L'introduzione del gating adattivo e della regolarizzazione AE risolve i problemi di instabilità tipici delle GAN applicate a dati tabulari complessi.
• Implicazioni Future: Il framework offre una base solida per la rilevazione di attacchi zero-day, riducendo la dipendenza da dataset etichettati massicci e costosi, e suggerendo direzioni per l'uso di rappresentazioni strutturali e contestuali nei dati di rete.

In sintesi, GMA-SAWGAN-GP rappresenta un avanzamento significativo verso IDS più resilienti, capaci di adattarsi all'evoluzione dinamica delle minacce informatiche attraverso una generazione sintetica fedele e semanticamente coerente.