Hybrid ResNet-1D-BiGRU with Multi-Head Attention for Cyberattack Detection in Industrial IoT Environments

Titolo: Rilevamento degli Attacchi Informatici negli Ambienti IIoT tramite un Modello Ibrido ResNet-1D–BiGRU con Attenzione Multi-Testa

1. Il Problema

La rapida diffusione dei dispositivi IoT e la loro integrazione nei sistemi industriali (IIoT) hanno introdotto sfide di sicurezza critiche. I sistemi di rilevamento delle intrusioni (IDS) tradizionali soffrono di diverse limitazioni:

• Alto tasso di falsi positivi (FPR): I team di sicurezza sono sovraccarichi di allarmi errati.
• Falsi negativi: Attacchi sofisticati possono passare inosservati, con conseguenze gravi in settori critici come l'energia e la sanità.
• Squilibrio delle classi: Nei dataset reali, i campioni di attacco sono molto più rari del traffico normale, rendendo difficile l'apprendimento per le classi minoritarie.
• Complessità temporale e spaziale: Le reti IIoT generano dati sequenziali complessi che richiedono l'analisi simultanea delle dipendenze spaziali (caratteristiche del pacchetto) e temporali (comportamento nel tempo).

2. Metodologia Proposta

Gli autori propongono un framework ibrido di deep learning che integra tre componenti principali per estrarre caratteristiche spaziali e temporali e pesare dinamicamente le feature:

• Architettura Ibrida:

  • ResNet-1D (Residual Network 1D): Utilizzato come primo strato per l'estrazione delle caratteristiche spaziali. Le connessioni residue permettono di costruire reti profonde evitando il problema del vanishing gradient, catturando rappresentazioni gerarchiche dai dati di rete.
  • BiGRU (Bidirectional Gated Recurrent Unit): Inserito dopo il ResNet per modellare le dipendenze temporali. A differenza delle GRU unidirezionali, la versione bidirezionale analizza il contesto sia passato che futuro della sequenza, riducendo la complessità computazionale rispetto alle LSTM.
  • Multi-Head Attention (MHA): Integrato per assegnare dinamicamente pesi diversi alle diverse feature della serie temporale, permettendo al modello di focalizzarsi sulle parti più rilevanti dei dati per il rilevamento degli attacchi.

• Preprocessing e Gestione dei Dati:

  • Dataset: Il modello è stato addestrato e testato su due dataset: Edge-IIoTset (dati reali da un banco di prova IoT/IIoT) e CICIoV2024 (dati relativi all'Internet of Vehicles).
  • SMOTE (Synthetic Minority Over-sampling Technique): Applicata per risolvere lo squilibrio delle classi, generando istanze sintetiche per le classi minoritarie (attacchi) durante l'addestramento.
  • Normalizzazione: Conversione dei dati categorici in numerici e ridimensionamento delle feature per l'input del modello.

• Struttura del Modello:

  1. Input Layer (60 feature).
  2. Blocco ResNet (2 strati convoluzionali 1D + connessioni residue).
  3. Strato BiGRU (64 unità).
  4. Meccanismo MHA (4 teste).
  5. Strati Dense con attivazione ReLU e Dropout (0.5) per prevenire l'overfitting.
  6. Output Layer con Softmax per la classificazione multiclasse.

3. Contributi Chiave

• Integrazione Sinergica: Dimostrazione che la combinazione di estrazione spaziale (ResNet), modellazione temporale bidirezionale (BiGRU) e pesatura delle feature (MHA) supera i metodi esistenti.
• Gestione dello Squilibrio: Applicazione efficace di SMOTE per migliorare la rilevazione di attacchi rari senza degradare le prestazioni sulle classi maggioritarie.
• Generalizzazione: Validazione del modello su due dataset distinti (IIoT generico e Veicoli Connessi), dimostrando una forte capacità di adattamento a diversi ambienti industriali.
• Efficienza in Tempo Reale: Focus critico sulla latenza di inferenza, rendendo il modello adatto per sistemi di sicurezza operativi in tempo reale.

4. Risultati Sperimentali

Il modello è stato valutato utilizzando metriche standard (Accuratezza, Precisione, Recall, F1-Score, FPR) e confrontato con tecniche dello stato dell'arte.

• Dataset Edge-IIoTset:

  • Accuratezza: 98,71%.
  • Loss: 0,0417.
  • FPR: 0,002% (tasso di falsi allarmi estremamente basso).
  • Latenza di Inferenza: 0,0001 secondi per istanza.
  • Performance per Classe: Raggiunge il 100% di accuratezza per traffico benigno, raccolta informazioni, MITM e malware.

• Dataset CICIoV2024 (Test di Generalizzazione):

  • Accuratezza: 99,99%.
  • F1-Score: 99,99%.
  • FPR: 0%.
  • Latenza di Inferenza: 0,00014 secondi per istanza.

• Studio di Ablazione:
  L'analisi ha confermato che la versione completa (ResNet-1D + BiGRU + MHA + SMOTE) è superiore alle configurazioni parziali. In particolare, l'aggiunta di SMOTE e del meccanismo di attenzione ha portato i miglioramenti più significativi rispetto ai modelli base.

5. Significato e Conclusioni

Questo studio presenta una soluzione robusta per la sicurezza degli ambienti IIoT, superando le limitazioni dei modelli precedenti in termini di accuratezza, tasso di falsi positivi e velocità di elaborazione.

• Impatto Pratico: La bassissima latenza di inferenza (nell'ordine dei microsecondi) rende il sistema ideale per il dispiegamento in tempo reale su dispositivi edge, dove il ritardo è critico.
• Robustezza: L'elevata accuratezza su dataset diversi conferma che il modello non è soggetto a overfitting su un singolo tipo di traffico.
• Direzioni Future: Gli autori suggeriscono l'uso di Transfer Learning per adattabilità, Reinforcement Learning per il tuning degli iperparametri e l'integrazione di Explainable AI (XAI) per migliorare l'interpretabilità delle decisioni del modello.

In sintesi, l'approccio proposto rappresenta un avanzamento significativo verso sistemi di rilevamento delle intrusioni autonomi, efficienti e altamente precisi per le infrastrutture critiche industriali.