Resource-Aware Layered Intrusion Detection Allocation Model

Riassunto Tecnico: Modello di Allocazione per l'Intrusione Detection a Livelli Consapevole delle Risorse

Problema
Il documento affronta la sfida di ottimizzare la sicurezza nelle reti eterogenee moderne. Sebbene l'ispezione dei protocolli a livelli superiori (come il livello applicativo) permetta di rilevare attacchi sofisticati (es. SQL injection o DDoS), essa comporta un costo computazionale e di archiviazione significativamente più elevato rispetto al monitoraggio a livelli inferiori (es. Ethernet). In una rete reale, i dispositivi hanno ruoli, rischi e capacità tecniche differenti: un server database è critico e complesso, mentre un sensore IoT è meno importante e spesso incapace di generare traffico applicativo utile per un'ispezione profonda. Il problema consiste quindi nel determinare il livello di monitoraggio ottimale per ogni dispositivo, bilanciando l'efficacia della rilevazione con i limiti di budget e le caratteristiche tecniche dei nodi.

Metodologia
Gli autori formulano il problema come un Programma Lineare Intero (Integer Linear Program - ILP). Il modello mira a massimizzare l'efficienza della rilevazione attraverso i seguenti componenti:

1. Variabili decisionali: Una variabile binaria $y_{i,l}$ che indica se il dispositivo $i$ viene monitorato fino al livello $l$ (dove $l$ varia da 1 a 4, coprendo Ethernet, IP, Trasporto e Applicazione).
2. Funzione Obiettivo: Massimizzare la somma ponderata del prodotto tra l'importanza del dispositivo ($w_i$), la probabilità di attacco ($p_i$) e il tasso di rilevamento del livello scelto ($d_l$). Questo assicura che le risorse vengano concentrate dove il rischio e il valore sono maggiori.
3. Vincoli:
   • Budget Globale: La somma dei costi di monitoraggio per tutti i dispositivi non deve superare una risorsa totale $R$.
   • Unicità del Livello: Ogni dispositivo riceve esattamente un livello di profondità di monitoraggio.
   • Dispositivi Critici: Un sottoinsieme di dispositivi essenziali deve essere monitorato almeno fino a un livello minimo $\alpha$.
   • Fattibilità Tecnica: Alcuni dispositivi (es. sensori IoT limitati) hanno un limite massimo di monitoraggio $\beta$ oltre il quale l'ispezione è inutile o impossibile.

Il modello è stato implementato e risolto utilizzando il framework di ottimizzazione SCIP (Solving Constraint Integer Programs).

Contributi Chiave

• Modellazione Matematica Rigorosa: A differenza di approcci che si concentrano solo sulla precisione del rilevamento, questo modello integra esplicitamente i vincoli di costo e la natura eterogenea dei dispositivi.
• Approccio Multi-Livello: Introduce una gerarchia di monitoraggio che riflette la struttura reale del modello OSI, permettendo una granularità variabile.
• Gestione dei Vincoli di Eterogeneità: Il modello è in grado di gestire simultaneamente requisiti di sicurezza minimi (per i server) e limiti di capacità massimi (per l'IoT).

Risultati
Il modello è stato testato su una rete simulata di sei dispositivi con profili di rischio e importanza differenti. I risultati dimostrano che:

• L'algoritmo alloca correttamente le risorse: con budget limitati, prioritizza i dispositivi ad alto rischio e alto valore; all'aumentare del budget, estende la profondità di ispezione su più nodi.
• I vincoli di criticità e fattibilità vengono rispettati rigorosamente (es. i dispositivi critici sono sempre monitorati almeno al livello 2, mentre i dispositivi limitati non superano il livello 3).
• Il modello identifica correttamente l'impossibilità di trovare una soluzione quando il budget $R$ è troppo esiguo per soddisfare i vincoli minimi di sicurezza.

Significato e Conclusioni
Il lavoro fornisce un metodo strutturato e riproducibile per la gestione strategica della sicurezza di rete. Invece di applicare un monitoraggio uniforme (spesso inefficiente o troppo costoso), questo approccio permette ai gestori di rete di ottimizzare l'investimento in cybersecurity, garantendo che la protezione sia massima dove il danno potenziale è più elevato, rispettando i limiti fisici e finanziari dell'infrastruttura. Il lavoro apre la strada a futuri sviluppi che integreranno l'incertezza delle probabilità di attacco e l'automazione tramite machine learning.