Cognitive Threat Intelligence and Explainable Federated Security Analytics for distributed Infrastructure Systems

Sintesi Tecnica: Intelligence sulle Minacce Cognitive e Analisi della Sicurezza Federata Spiegabile per Sistemi di Infrastruttura Distribuiti

Problematica
La rapida espansione dei sistemi di infrastruttura distribuiti, del cloud computing, dell'Internet of Things (IoT) e delle architetture edge ha aumentato significativamente la superficie di attacco informatico. I tradizionali sistemi di rilevamento delle intrusioni (IDS) centralizzati affrontano critiche limitazioni in questo ambiente, tra cui problemi di scalabilità, elevato overhead di comunicazione, risposta ritardata alle minacce e significativi rischi per la privacy associati alla trasmissione di traffico di rete grezzo e sensibile verso server centrali. Inoltre, molte soluzioni di cybersicurezza basate sull'IA esistenti operano come sistemi "black-box", privi della trasparenza necessaria affinché gli analisti possano comprendere il ragionamento dietro le previsioni di anomalie e le classificazioni delle minacce. Questa opacità ostacola la fiducia, l'investigazione sugli incidenti e la conformità normativa. Esiste la necessità premente di un framework che raggiunga simultaneamente la preservazione della privacy, l'intelligence collaborativa sulle minacce, la scalabilità e il processo decisionale spiegabile senza compromettere l'accuratezza del rilevamento.

Metodologia
Questo studio propone e valuta un framework di Intelligence sulle Minacce Cognitive e Analisi della Sicurezza Federata Spiegabile. La metodologia impiega un design di ricerca empirica e sperimentale utilizzando dataset di cybersicurezza benchmark: NSL-KDD e CIC-IDS2017.

1. Architettura di Federated Learning (FL): Invece di centralizzare i dati grezzi, il framework distribuisce il processo di addestramento. Modelli di sicurezza locali vengono addestrati indipendentemente presso nodi di rete distribuiti. Solo i parametri del modello criptati e gli aggiornamenti vengono condivisi con un aggregatore centrale tramite un meccanismo di Federated Averaging. Ciò garantisce che il traffico di rete grezzo e sensibile rimanga locale, preservando la privacy dei dati e riducendo il rischio di singoli punti di fallimento.
2. Implementazione Algoritmica: Lo studio implementa e confronta diversi algoritmi di machine learning e deep learning per il rilevamento di anomalie e la classificazione degli attacchi all'interno dell'ambiente federato. Questi includono:
   • Machine Learning: Random Forest, XGBoost.
   • Deep Learning: Autoencoder, reti Long Short-Term Memory (LSTM).
3. Integrazione di XAI (Explainable AI): Per affrontare il limite della "black-box", il framework integra SHAP (Shapley Additive Explanations) e LIME (Local Interpretable Model-Agnostic Explanations). Queste tecniche generano approfondimenti comprensibili dall'uomo riguardo alle previsioni del modello, spiegando quali caratteristiche di rete (ad es., byte sorgente, byte destinazione) hanno contribuito maggiormente a specifici rilevamenti di anomalie.
4. Pre-elaborazione dei Dati: I dataset sono stati sottoposti a pulizia, normalizzazione, selezione delle caratteristiche e gestione dello sbilanciamento delle classi (particolarmente per tipi di attacco rari come R2L e U2R) per garantire la robustezza del modello.
5. Metriche di Valutazione: Le prestazioni sono state valutate utilizzando metriche standard di cybersicurezza: Accuratezza, Precisione, Recall, F1-Score, ROC-AUC, latenza di rilevamento e overhead di comunicazione.

Contributi Chiave

• Rilevamento Decentralizzato che Preserva la Privacy: Lo studio dimostra un'architettura viabile per il rilevamento collaborativo delle minacce dove i dati grezzi non vengono mai condivisi, mitigando le preoccupazioni sulla privacy inerenti a un IDS centralizzato.
• Integrazione di XAI con il Federated Learning: Esso colma il divario tra modelli federati ad alte prestazioni e la necessità di interpretabilità, fornendo un meccanismo per gli analisti di sicurezza per validare le decisioni guidate dall'IA.
• Benchmarking Algoritmico: La ricerca fornisce un'analisi comparativa di Random Forest, XGBoost, Autoencoder e LSTM all'interno di un contesto federato, identificando i loro relativi punti di forza negli ambienti distribuiti.
• Analisi dell'Importanza delle Caratteristiche: Applicando l'XAI, lo studio identifica specifiche attributi del traffico di rete (in particolare src_bytes e dst_bytes) che sono più critici per il rilevamento di attività malevole, aumentando la trasparenza del processo di rilevamento.

Risultati
I risultati sperimentali sui dataset NSL-KDD e CIC-IDS2017 hanno prodotto i seguenti risultati:

• Prestazioni del Modello: Tutti i modelli valutati hanno dimostrato un'elevata efficacia, con metriche di prestazione medie (Accuratezza, Precisione, Recall) costantemente superiori al 90%.
• Top Performer: XGBoost ha raggiunto l'accuratezza più elevata e il miglior punteggio ROC-AUC (0.98), seguito da vicino da LSTM (0.97) e Random Forest (~0.95). Il modello Autoencoder ha mostrato prestazioni inferiori, attribuite alle sfide del rilevamento di anomalie non supervisionato.
• Tassi di Rilevamento degli Attacchi: Il framework ha raggiunto un tasso di rilevamento di circa il 98% per gli attacchi Denial of Service (DoS) e del 95% per gli attacchi Probe. I tassi di rilevamento sono stati inferiori per gli attacchi Remote-to-Local (R2L) e User-to-Root (U2R), riflettendo la complessità e la scarsità di questi tipi di attacco nei dataset.
• Spiegabilità: SHAP e LIME hanno identificato con successo l'importanza delle caratteristiche, confermando che le metriche del volume dei dati (src_bytes, dst_bytes) erano indicatori primari di anomalie.
• Overhead di Comunicazione: Lo studio ha osservato costi di comunicazione variabili tra i nodi client, con alcuni nodi (ad es., Client 4) che hanno subito un overhead maggiore a causa di aggiornamenti del modello più grandi o di un addestramento locale complesso, evidenziando l'efficienza della comunicazione come una sfida di ottimizzazione rimanente.
• Matrice di Confusione: Il modello ha dimostrato un'elevata affidabilità, con 987 Veri Positivi e 950 Veri Negativi, e relativamente bassi Falsi Positivi (35) e Falsi Negativi (28).

Significato dello Studio
Il documento afferma che questa ricerca contribuisce allo sviluppo di architetture di cybersicurezza intelligenti, spiegabili e resilienti progettate per le moderne infrastrutture distribuite. Integrando il Federated Learning con l'IA Spiegabile, il framework proposto affronta le doppie sfide della privacy dei dati e della trasparenza decisionale. Lo studio suggerisce che tali framework possono ridurre la dipendenza dalle infrastrutture di sicurezza centralizzate, minimizzare l'esposizione dei dati sensibili e favorire la fiducia nei sistemi di sicurezza automatizzati. In definitiva, il lavoro mira a supportare le organizzazioni nella distribuzione di soluzioni scalabili, trasparenti e consapevoli della privacy per proteggere i sistemi digitali critici contro le evoluzioni delle minacce informatiche.

Direzioni Future
Gli autori osservano che il lavoro futuro dovrebbe concentrarsi sull'ottimizzazione dell'efficienza della comunicazione per migliorare la scalabilità e le prestazioni in tempo reale. Suggeriscono inoltre di esplorare modelli di IA ibridi, federated security basata su blockchain e sistemi di intelligence sulle minacce adattivi per gli ambienti IoT e edge computing.