nCMD: Benign-Anchored Feature Selection for Imbalanced Network Intrusion Detection

Sintesi Tecnica: Selezione delle Caratteristiche Ancorata al Benigno per il Rilevamento delle Intruzioni di Rete Sbilanciato (nCMD)

Definizione del Problema

I Sistemi di Rilevamento delle Intruzioni di Rete (NIDS) operano in un regime fondamentalmente asimmetrico caratterizzato da traffico ad alta dimensionalità dove i flussi benigni dominano schiacciantemente, mentre gli attacchi sono sparsi, diversificati e definiti come deviazioni dal comportamento normale. Questo estremo sbilanciamento delle classi pone una sfida significativa per l'apprendimento basato sul rilevamento, in particolare in ambienti con risorse limitate (ad esempio, nodi edge in reti difensive) dove il rilevamento deve essere veloce, interpretabile e robusto.

I metodi tradizionali di selezione delle caratteristiche basati su filtri (ad esempio, Variance Thresholding, Mutual Information, Fisher Score) si affidano a statistiche globali calcolate simmetricamente tra tutte le classi. Gli autori sostengono che questa simmetria sia disallineata con la semantica operativa dei NIDS. Poiché le statistiche globali sono dominate dalla maggioranza benigna, i punteggi di rilevanza simmetrici tendono a sopprimere i segnali delle classi di attacco minoritarie, sottovalutando sistematicamente le caratteristiche critiche per il rilevamento di minacce rare ma gravi. Sebbene lavori recenti abbiano introdotto la Classwise Mean Deviation (CMD) per sfruttare le statistiche di spostamento della media, essa si basa ancora su una media di riferimento globale, che rimane influenzata verso la classe benigna in presenza di forte sbilanciamento.

Metodologia: Benign-Anchored Classwise Mean Deviation (nCMD)

Il documento propone nCMD, un metodo di filtraggio leggero e interpretabile che perfeziona l'approccio CMD ancorando esplicitamente la rilevanza delle caratteristiche alla distribuzione del traffico benigno piuttosto che a una media globale.

Meccanismo Core:

1. Formulazione del Problema: Il dataset $D$ consiste in vettori di caratteristiche $x_i$ e etichette $y_i$, dove $y=0$ rappresenta il traffico benigno e $y \in \{1, \dots, C\}$ rappresenta distinte classi di attacco.
2. Pre-processing: Le caratteristiche con varianza empirica prossima allo zero vengono filtrate per ridurre il rumore. I valori mancanti vengono imputati e le caratteristiche vengono normalizzate.
3. Funzione di Punteggio: Inveve di calcolare le deviazioni da una media globale, nCMD calcola il vettore della media per classe $\mu_c$ per ogni classe. Il punteggio di rilevanza $D_j^{(nCMD)}$ per una caratteristica $j$ è la somma delle deviazioni assolute di tutte le medie delle classi di attacco dalla media della classe benigna ($\mu_0$):
   $$D_j^{(nCMD)} = \sum_{c=1}^{C} |\mu_{c,j} - \mu_{0,j}|$$
4. Selezione: Le caratteristiche vengono classificate in ordine decrescente dei loro punteggi. Vengono selezionate le top-$k$ caratteristiche per il downstream di classificazione.

Proprietà Chiave:

• Asimmetria: Il metodo si allinea con l'obiettivo operativo dei NIDS: identificare le deviazioni dal comportamento normale.
• Efficienza: Mantiene la complessità temporale lineare $O(Nd)$ dell'originale CMD, richiedendo solo statistiche riassuntive per classe.
• Interpretabilità: I punteggi rappresentano l'entità dello spostamento della media rispetto al traffico benigno, rendendoli semanticamente significativi.
• Modularità: Come filtro univariato, è agnostico rispetto al modello e può essere integrato in qualsiasi pipeline NIDS senza addestramento iterativo.

Contributi Principali

1. Proposta di nCMD: Un nuovo metodo di selezione delle caratteristiche che sostituisce la media di riferimento globale con un ancoraggio alla classe benigna, allineando il punteggio delle caratteristiche alla natura asimmetrica del rilevamento delle intrusioni senza costi computazionali aggiuntivi.
2. Valutazione Comprensiva: Il metodo è stato valutato su quattro dataset benchmark (CICIDS2017, CICDDoS2019, NSL-KDD, UNSW-NB15), molteplici budget di caratteristiche (che vanno da un limite stretto $k=5$ a $k=40$) e tre classificatori downstream (Decision Tree, 1-layer MLP, 3-layer MLP).
3. Riproducibilità: Gli autori hanno rilasciato il codice di implementazione per facilitare ulteriori ricerche.

Risultati Sperimentali

La valutazione si è concentrata sul Macro-averaged F1-score, che è sensibile alle prestazioni delle classi minoritarie, insieme ad Accuratezza e Weighted-F1.

• Prestazioni sotto Budget Stretti ($k=5$): Sul dataset altamente sbilanciato CICIDS2017, nCMD ha ottenuto il Macro-F1 più elevato (0.4611), superando il miglior baseline classico (Pearson Correlation a 0.3974) e l'originale CMD (0.4563). Su CICDDoS2019, nCMD ha ottenuto il miglior punteggio in tutte le metriche (Macro-F1: 0.7278), superando di poco CMD e Fisher Score.
• Robustezza attraverso i Budget: Su CICIDS2017, nCMD ha ottenuto il miglior Macro-F1 in quattro dei cinque budget testati ($k=5, 10, 30, 40$). I filtri classici hanno mostrato una significativa instabilità al diminuire del budget delle caratteristiche, mentre nCMD ha mantenuto prestazioni stabili.
• Generalizzazione Cross-Dataset: Utilizzando le top-40 caratteristiche, nCMD ha ottenuto il miglior Macro-F1 su tre dei quattro dataset (CICIDS2017, NSL-KDD, UNSW-NB15). Il miglioramento più significativo rispetto a CMD è stato osservato sul dataset legacy NSL-KDD (+0.0305).
• Indipendenza dal Classificatore: nCMD ha costantemente superato tutti i baseline, incluso CMD, in tutti e tre i classificatori downstream. Il vantaggio è stato più pronunciato per il modello a capacità più bassa (1-layer MLP), suggerendo che la classificazione ancorata al benigno è particolarmente preziosa quando il modello downstream non può compensare una scarsa selezione delle caratteristiche.

Significato e Rivendicazioni

Il documento sostiene che nCMD fornisca una componente di pre-processing scalabile, interpretable ed efficiente specificamente adatta per NIDS con risorse limitate. Il suo significato primario risiede nel risolvere il disallineamento semantico della tradizionale selezione delle caratteristiche simmetrica in ambienti sbilanciati.

• Rilevanza Operativa: Il metodo è più vantaggioso in scenari con grave sbilanciamento delle classi e tipi di attacco diversificati (ad esempio, NSL-KDD, UNSW-NB15) e sotto i budget ristretti di caratteristiche tipici dell'implementazione edge.
• Rapporto Costo-Beneficio: Ottiene guadagni di prestazione senza aumentare la complessità computazionale o la complessità del modello, rendendolo adatto al deployment in tempo reale.
• Limitazioni: Gli autori riconoscono che nCMD è un metodo univariato basato sulla media e potrebbe perdere attacchi definiti da statistiche di ordine superiore (varianza, dipendenze temporali). Inoltre, assume una classe benigna ben definita, limitando la sua applicazione diretta a scenari non supervisionati o open-world dove le etichette benigne non sono disponibili.

In conclusione, il documento postula che una semplice, semanticamente fondata modifica al criterio di rilevanza delle caratteristiche — ancorandolo al traffico benigno — può migliorare significativamente le prestazioni del rilevamento delle intrusioni sotto lo sbilanciamento delle classi, mantenendo l'efficienza richiesta per il deployment pratico su larga scala.