Hybrid CNN-LSTM Framework for Intelligent Cyber Attack Detection and Prevention in U.S. Critical Digital Infrastructure: A Comparative Machine Learning Evaluation on CSE-CIC-IDS2018

Sintesi Tecnica: Framework Ibrido CNN-LSTM per il Rilevamento Intelligente di Attacchi Cyber

Definizione del Problema
L'accelerata digitalizzazione delle infrastrutture critiche degli Stati Uniti (sanità, finanza, energia, trasporti e governo) ha creato una superficie di attacco che i sistemi di rilevamento delle intrusioni (IDS) tradizionali, basati su firme, non sono in grado di difendere adeguatamente. Gli approcci legacy falliscono contro exploit zero-day, campagne di Denial-of-Service distribuito (DDoS), botnet e attacchi di infiltrazione furtivi perché si affidano al riconoscimento di minacce già viste in precedenza. Inoltre, le soluzioni esistenti basate sull'IA spesso lottano con elevati tassi di falsi positivi, un carico computazionale eccessivo in ambienti real-time e una mancanza di adattabilità rispetto a scenari di minaccia in continua evoluzione. Lo studio affronta la necessità di un framework di difesa adattivo e intelligente, capace di rilevare e classificare le minacce cyber in tempo reale con alta sensibilità e bassi tassi di falsi allarmi.

Metodologia
Lo studio impiega un design sperimentale quantitativo utilizzando il dataset benchmark CSE-CIC-IDS2018, un corpus realistico di traffico di rete multi-vettore generato dal Canadian Institute for Cybersecurity. La metodologia si articola in otto fasi interconnesse:

1. Pre-elaborazione dei Dati: Il dataset grezzo, caratterizzato da un grave squilibrio di classe (il traffico benigno supera di gran lunga quello degli attacchi) e problemi di qualità dei dati (valori mancanti/infiniti), è stato sottoposto a una pulizia sistematica. Ciò ha incluso la rimozione di valori NaN/infiniti, l'eliminazione dei record duplicati e l'applicazione della normalizzazione Min-Max. Per affrontare lo squilibrio delle classi, è stata applicata una combinazione di oversampling casuale per le classi di attacco minoritarie e undersampling per la classe benigna dominante esclusivamente al set di addestramento, mentre il test set ha mantenuto la distribuzione originale per riflettere le condizioni reali.
2. Ingegneria delle Caratteristiche (Feature Engineering): È stato utilizzato un approccio in tre fasi: analisi della correlazione di Pearson per rimuovere le caratteristiche ridondanti (correlazione > 0,95), classificazione dell'importanza delle caratteristiche basata su Random Forest per escludere gli attributi a basso segnale, e un test della Analisi delle Componenti Principali (PCA), che è stata infine scartata poiché offriva guadagni marginali a scapito dell'interpretabilità. Il set finale di caratteristiche includeva Durata del Flusso (Flow Duration), statistiche sulla Lunghezza dei Pacchetti (Packet Length), conteggi dei pacchetti Forward/Backward, Porta di Destinazione, Tipo di Protocollo e tempi di inter-arrivo.
3. Sviluppo del Modello: Sono state confrontate sistematicamente cinque architetture:
   • Random Forest e XGBoost: Classificatori ensemble classici che fungono da standard industriali di riferimento.
   • Support Vector Machine (SVM): Un classificatore basato su kernel (addestrato su un sottocampione stratificato del 30% a causa di vincoli computazionali).
   • Rete Neurale Convoluzionale (CNN): Progettata per estrarre le interazioni spaziali delle caratteristiche da matrici di traffico 2D rimescolate.
   • Long Short-Term Memory (LSTM): Progettata per catturare le sequenze temporali dei flussi di rete.
   • Ibrido CNN-LSTM: Un'architettura a doppia via in cui gli strati CNN eseguono l'estrazione delle caratteristiche spaziali, alimentando gli strati LSTM per la modellazione delle sequenze temporali.
4. Architettura del Framework: I modelli sono stati integrati in una pipeline di difesa cyber end-to-end composta da moduli per la raccolta del traffico, la pre-elaborazione, l'estrazione delle caratteristiche, il rilevamento delle minacce basato su IA, la classificazione degli attacchi e la prevenzione automatizzata delle minacce.
5. Valutazione: I modelli sono stati addestrati su una suddivisione stratificata 80/20. Le prestazioni sono state valutate utilizzando Accuratezza, Precisione, Recall, F1-Score, ROC-AUC e Tasso di Falsi Positivi (FPR).

Risultati Chiave
Tutti i modelli valutati hanno raggiunto un'accuratezza di rilevamento superiore al 96%, ma il modello Ibrido CNN-LSTM ha dimostrato prestazioni superiori in tutte le metriche:

• Accuratezza: Il modello Ibrido ha raggiunto il 99,1%, superando Random Forest (96,8%), XGBoost (97,5%), CNN (98,1%) e LSTM (98,4%).
• Precisione e Recall: Il modello Ibrido ha raggiunto circa il 99,0% di precisione e il 98,8% di recall, indicando un reale miglioramento della capacità discriminativa piuttosto che un compromesso tra le due.
• Tasso di Falsi Positivi (FPR): Il modello Ibrido ha ottenuto il più basso FPR al ~2,0%, una riduzione significativa rispetto a Random Forest (5,5%) e XGBoost (4,8%). Questa riduzione è operativamente critica per mitigare la fatica da allerta degli analisti in ambienti ad alto volume.
• Importanza delle Caratteristiche: L'analisi ha rivelato che la Durata del Flusso (0,28 importanza), la Lunghezza dei Pacchetti (0,24) e la Porta di Destinazione (~0,18) erano le caratteristiche più predittive, rendicontando collettivamente circa il 70% del segnale di classificazione.
• ROC-AUC: Il framework ha raggiunto un AUC di 1,00 sul set di test, indicando una separabilità delle classi quasi perfetta nelle condizioni sperimentali.

Significatività e Rivendicazioni
Il documento sostiene che il framework Ibrido CNN-LSTM offra un miglioramento significativo e implementabile rispetto agli approoli IDS convenzionali. La significatività del lavoro risiede nella dimostrazione che l'integrazione dell'estrazione delle caratteristiche spaziali (CNN) con l'apprendimento delle sequenze temporali (LSTM) consente di catturare simultaneamente le firme delle caratteristiche all'interno del flusso e le sequenze comportamentali tra i flussi, che i modelli a singola architettura perdono.

Gli autori sottolineano che la capacità del framework di mantenere un'alta sensibilità di rilevamento riducendo drasticamente i falsi positivi affronta un collo di bottiglia operativo primario nella cybersicurezza: la fatica da allerta. Raggiungendo circa il 99% di accuratezza e un ~2% di FPR, lo studio suggerisce che il deep learning ibrido può fornire una difesa cyber scalabile e a bassi falsi allarmi, adatta a proteggere le infrastrutture critiche degli Stati Uniti.

Limitazioni e Ambito
Il documento mantiene una posizione modesta riguardo l'implementazione operativa. Esso riconosce esplicitamente che:

• I risultati si basano sul dataset CSE-CIC-IDS2018, che non riflette le minacce post-2020 come il ransomware-as-a-service, il phishing generato dall'IA o le intrusioni nella catena di approvvigionamento.
• La valutazione è stata condotta su traffico riprodotto anziché su flussi di rete live, il che significa che la latenza di inferenza in tempo reale sotto carichi di produzione non è stata misurata.
• Il modello SVM è stato addestrato su un sottocampione, potenzialmente sottostimando le sue prestazioni rispetto agli altri modelli.
• La spiegabilità non è stata affrontata; i modelli di deep learning funzionano come "black box", il che rimane una barriera per l'adozione nei settori regolamentati.
• Lo studio conclude che, sebbene il framework mostri una forte promessa empirica, è necessaria una validazione contro dati di attacco contemporanei e flussi di rete live prima di poter trarre conclusioni operative.