Enhancing Adversarial Robustness in Network Intrusion Detection: A Layer-wise Adaptive Regularization Approach

Riepilogo Tecnico: Miglioramento della Robustezza Adversarial nel Rilevamento delle Intrusioni di Rete tramite LARAR

Enunciato del Problema
I Sistemi di Rilevamento delle Intrusioni di Rete (NIDS) basati sul deep learning sono sempre più vulnerabili agli attacchi adversarial, in cui perturbazioni impercettibili ai dati in ingresso causano una classificazione errata. Sebbene i metodi di training adversarial all'avanguardia abbiano migliorato la robustezza, essi soffrono di limitazioni significative: trattano le reti neurali come "scatole nere", applicando una regolarizzazione uniforme su tutti i livelli senza comprendere come le perturbazioni adversarial si propaghino o amplifichino attraverso specifici livelli nascosti. Questa mancanza di insight a livello di livello impedisce strategie di difesa mirate, portando a un'allocazione inefficiente delle risorse e a una mancanza di interpretabilità riguardo a quali parti della rete siano più suscettibili all'attacco. Inoltre, i metodi esistenti spesso non riescono a rilevare i campioni adversarial nelle fasi iniziali del processo di inferenza.

Metodologia: Il Framework LARAR
Il documento propone LARAR (Robustezza Adversarial a Livello di Livello tramite Regolarizzazione Adattiva), un framework progettato per estendere il training adversarial convenzionale con tre innovazioni fondamentali:

1. Metrica del Punteggio di Vulnerabilità del Livello (LVS):
   Gli autori introducono una metrica quantificata per misurare la sensibilità di ciascun livello nascosto agli attacchi adversarial. LVS è calcolata come la differenza normalizzata tra le attivazioni pulite e quelle adversarial per un dato livello $l$:
   $$LVS(l) = \frac{1}{B} \sum_{i=1}^{B} \frac{\|h^{(l)}(x_{adv}^i) - h^{(l)}(x_i)\|_2}{\|h^{(l)}(x_i)\|_2 + \epsilon_{small}}$$
   Questa metrica identifica quali livelli amplificano le perturbazioni, fornendo interpretabilità sul flusso interno del rumore adversarial.

2. Regolarizzazione Adattiva a Livello di Livello:
   A differenza degli approcci tradizionali che applicano penalità uniformi, LARAR impiega una funzione di perdita composita che include un termine di regolarizzazione specifico per il livello, apprendibile. La perdita totale ($L_{total}$) combina la Perdita di Entropia Incrociata ($L_{CE}$), la Perdita Ausiliaria ($L_{aux}$), la Perdita di Allineamento del Gradiente ($L_{GA}$), la Perdita di Smussamento delle Caratteristiche ($L_{FS}$) e il termine adattivo LVS:
   $$L_{total} = L_{CE} + \lambda_{aux}L_{aux} + \lambda_{GA}L_{GA} + \lambda_{FS}L_{FS} + \beta \sum_{l=1}^{L} w^{(l)} \cdot LVS^{(l)}$$
   I pesi $w^{(l)}$ sono parametri apprendibili aggiornati tramite discesa del gradiente. Ciò consente al modello di allocare automaticamente una regolarizzazione più forte ai livelli con maggiore vulnerabilità empirica (LVS elevato) e di ridurla per i livelli robusti.

3. Supervisione Multi-Livello e Rilevamento Precoce:
   Il framework integra Classificatori Ausiliari (singoli strati lineari) a livelli nascosti intermedi per fornire supervisione multi-livello, rafforzando le rappresentazioni delle caratteristiche prima dell'output finale. Inoltre, il sistema stabilisce soglie di rilevamento statistiche ($\tau^{(l)}$) basate sulla media e sulla deviazione standard dei valori LVS derivati da dati di validazione puliti. Se il LVS di un input in qualsiasi livello supera la sua soglia, il campione viene segnalato come adversarial, consentendo un'uscita anticipata e un rilevamento prima dello strato di classificazione finale.

Configurazione Sperimentale
Il framework è stato valutato sul dataset UNSW-NB15, un benchmark per il rilevamento delle intrusioni di rete contenente 82.332 campioni con 42 caratteristiche. Il modello di base consisteva in un MLP a due strati (dimensioni 128 e 64) con attivazioni ReLU e normalizzazione batch. Gli autori hanno confrontato LARAR con una NN Vanilla standard e una Base ADVNN (un metodo di training adversarial all'avanguardia senza analisi a livello di livello). La valutazione ha incluso l'accuratezza su dati puliti e la robustezza contro il Fast Gradient Sign Method (FGSM), la Discesa del Gradiente Proiettata (PGD) e attacchi di trasferimento.

Risultati Chiave

• Miglioramento della Robustezza: LARAR ha raggiunto un'accuratezza su dati puliti del 95,01%. In condizioni adversarial, ha dimostrato miglioramenti significativi rispetto alla Base ADVNN:
  • FGSM: 31,45% di accuratezza (vs. 27,00% per Base ADVNN), un miglioramento del 16,4%.
  • PGD: 33,18% di accuratezza (vs. 28,70% per Base ADVNN), un miglioramento del 15,6%.
  • Attacchi di Trasferimento: 42,51% di accuratezza (vs. 38,29% per Base ADVNN), un miglioramento dell'11,02%.
• Tasso di Successo dell'Attacco (ASR): LARAR ha ridotto il tasso di successo degli attacchi di circa dal 4,2% al 4,4% rispetto alla Base ADVNN su tutti i tipi di attacco.
• Analisi dei Livelli: La metrica LVS ha rivelato che il primo livello nascosto è stato costantemente più vulnerabile del secondo. I pesi adattivi sono convergenti con successo nell'assegnare una pressione di regolarizzazione più alta al livello più vulnerabile, validando la capacità del meccanismo di prioritizzare le risorse di difesa.
• Efficienza: Sebbene LARAR abbia introdotto un sovraccarico computazionale dell'18% nel tempo di training rispetto alla Base ADVNN (a causa del calcolo LVS e delle perdite ausiliarie), ha mantenuto lo stesso tempo di inferenza (0,8 ms) durante il funzionamento normale. Con il rilevamento precoce abilitato, il tempo di inferenza potrebbe essere ridotto del 25% per i campioni classificati con sicurezza.

Significato e Affermazioni
Il documento afferma che LARAR affronta la limitazione della "scatola nera" delle difese adversarial attuali fornendo punteggi di vulnerabilità interpretabili e a livello di livello. Questa granularità consente:

1. Difesa Mirata: Allocare risorse computazionali specificamente ai livelli più vulnerabili invece di applicare una regolarizzazione uniforme.
2. Rilevamento Precoce: Identificare i campioni adversarial a livelli intermedi, potenzialmente riducendo la latenza e il carico computazionale durante l'inferenza.
3. Insight di Progettazione: Fornire dati azionabili per i professionisti della sicurezza per comprendere come le perturbazioni si propaghino, suggerendo che gli estrattori di caratteristiche nelle fasi iniziali richiedono un irrobustimento specifico.

Gli autori concludono che, sebbene LARAR comporti un modesto sovraccarico di training, il compromesso è giustificato dai guadagni sostanziali in robustezza e dall'interpretabilità potenziata del meccanismo di difesa. Il lavoro posiziona LARAR come un passo verso una difesa adversarial più principiale, trasparente ed efficiente nei NIDS.