Explainable Attention-Based LSTM Framework for Early Detection of AI-Assisted Ransomware via File System Behavioral Analysis

Titolo del Lavoro

Framework LSTM basato su Attenzione Esplicabile per la Rilevazione Precoce di Ransomware Assistito dall'IA tramite Analisi Comportamentale del File System

1. Il Problema

Il ransomware rappresenta una delle minacce informatiche più distruttive, con varianti recenti che sfruttano tecniche assistite dall'Intelligenza Artificiale (IA) per evadere le difese tradizionali.

• Limiti delle difese attuali: I sistemi basati su firme (signature-based) sono inefficaci contro malware polimorfici e varianti generate automaticamente dall'IA che modificano il codice per nascondere le firme statiche.
• Sfida della rilevazione precoce: È difficile identificare l'attività malevola nelle fasi iniziali dell'esecuzione, prima che avvenga la crittografia su larga scala, poiché il comportamento maligno può assomigliare a quello legittimo.
• Mancanza di interpretabilità: I modelli di Deep Learning esistenti (come le reti neurali ricorrenti) operano spesso come "scatole nere", fornendo scarse spiegazioni sulle decisioni prese. Questo limita la loro adozione in ambienti critici di sicurezza dove gli analisti necessitano di trasparenza e fiducia.

2. Metodologia Proposta

Gli autori propongono un framework innovativo che combina l'analisi comportamentale del file system con modelli di Deep Learning avanzati e tecniche di Intelligenza Artificiale Esplicabile (XAI).

Architettura del Framework

Il sistema è composto da quattro componenti principali:

1. Monitoraggio Comportamentale: Un modulo host-based che registra continuamente eventi del file system (creazione, modifica, cancellazione, rinominazione di file) durante l'esecuzione dei programmi.
2. Estrazione delle Caratteristiche: I dati grezzi vengono trasformati in vettori strutturati che catturano:
   • Frequenza di modifica dei file.
   • Variazione dell'entropia (indicatore di crittografia).
   • Intervalli di accesso ai file.
   • Conteggio delle operazioni di rinominazione.
   • Questi dati sono organizzati in sequenze temporali ordinate.
3. Modellazione Sequenziale (LSTM con Attenzione):
   • Viene utilizzata una rete LSTM (Long Short-Term Memory) per catturare le dipendenze temporali a lungo termine nelle sequenze di eventi.
   • Un meccanismo di Attenzione viene integrato per assegnare pesi maggiori ai passaggi temporali critici (es. burst di modifiche rapide o picchi di entropia), migliorando sia l'accuratezza che l'interpretabilità.
4. Analisi delle Decisioni Esplicabili (XAI):
   • Vengono applicate tecniche di XAI (come l'analisi dell'importanza delle caratteristiche) per interpretare le previsioni del modello.
   • Questo modulo identifica quali indicatori comportamentali hanno contribuito maggiormente alla decisione di classificazione come "ransomware", fornendo trasparenza agli analisti di sicurezza.

Modello Matematico

Il modello elabora una sequenza di eventi comportamentali $X = \{x_1, x_2, ..., x_T\}$.

• Le porte di Forget, Input e Output della LSTM aggiornano lo stato nascosto e la cella di memoria.
• Il meccanismo di attenzione calcola un punteggio per ogni stato nascosto $h_t$, normalizzato tramite softmax per ottenere pesi $\alpha_t$.
• Un vettore di contesto viene generato come somma pesata degli stati nascosti, focalizzandosi sugli eventi più rilevanti per la rilevazione.
• Un livello di classificazione finale produce la probabilità di attività ransomware.

3. Contributi Chiave

• Rilevazione Precoce: Il framework è progettato per identificare i ransomware nelle fasi iniziali di esecuzione, prima che la crittografia massiva danneggi i dati.
• Resistenza all'IA Avversaria: Utilizzando l'analisi comportamentale invece delle firme statiche, il sistema è in grado di generalizzare su varianti di ransomware generate o modificate da IA.
• Trasparenza e Fiducia: L'integrazione di XAI risolve il problema della "scatola nera", permettendo agli analisti di comprendere perché un processo è stato classificato come malevolo (es. evidenziando picchi di entropia o tassi di modifica anomali).
• Meccanismo di Attenzione: L'uso dell'attenzione migliora l'efficienza del modello concentrandosi sui segnali comportamentali più critici all'interno di sequenze lunghe.

4. Risultati Sperimentali

L'approccio è stato valutato in un ambiente sandbox controllato (VMware) utilizzando tracce comportamentali di ransomware reali e sintetiche (simulanti comportamenti assistiti da IA).

• Dataset: Tracce di file system divise in set di training (70%), validazione (15%) e test (15%).
• Metriche di Performance:
  • Il modello LSTM con Attenzione ha superato i modelli baseline (LSTM standard, Random Forest, CNN, GRU) in termini di accuratezza, precisione, recall e F1-score.
  • La curva ROC ha mostrato un'Area Sotto la Curva (AUC) superiore, indicando una migliore capacità di discriminazione tra attività malevola e legittima.
  • Convergenza: Le curve di perdita (loss) di training e validazione hanno mostrato una convergenza stabile senza overfitting significativo.
• Analisi delle Caratteristiche (XAI): L'analisi SHAP ha confermato che il modello si basa su indicatori logici e noti:
  • Tasso di modifica dei file.
  • Variazione dell'entropia.
  • Frequenza di rinominazione.
    Questi risultati confermano che il modello impara pattern comportamentali reali e non artefatti statistici.

5. Significato e Implicazioni

Questo lavoro rappresenta un passo significativo verso lo sviluppo di sistemi di difesa cibernetica di prossima generazione:

• Adattabilità: La capacità di rilevare varianti sconosciute e polimorfiche rende il sistema robusto contro l'evoluzione rapida delle minacce.
• Operatività Reale: L'aggiunta di spiegazioni (XAI) rende il sistema utilizzabile nei centri operativi di sicurezza (SOC), dove la fiducia nell'automazione è fondamentale per la risposta agli incidenti.
• Prevenzione del Danno: La rilevazione nelle fasi iniziali permette di mitigare l'attacco prima che si verifichi la perdita di dati, riducendo l'impatto finanziario e operativo.

In conclusione, la combinazione di modelli sequenziali profondi (LSTM), meccanismi di attenzione e tecniche esplicative offre un approccio equilibrato tra alta accuratezza di rilevazione e necessità di trasparenza, essenziale per contrastare le minacce ransomware assistite dall'IA.