🤖 AI

AnonShield: Scalable On-Premise Pseudonymization for CSIRT Vulnerability Data

Il documento introduce AnonShield, un sistema di pseudonimizzazione on-premise ad alto throughput che sfrutta il NER accelerato da GPU e l'elaborazione in streaming per ottenere un'accelerazione fino a 738x nell'elaborazione dei dati sulle vulnerabilità mantenendo un'elevata accuratezza, abilitando così la condivisione dei dati conforme e scalabile per i CSIRT.

Autori originali: Cristhian Kapelinski, Douglas Lautert, Beatriz Machado, Diego Kreutz, Isadora Garcia Ferrão

Pubblicato 2026-06-16

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Cristhian Kapelinski, Douglas Lautert, Beatriz Machado, Diego Kreutz, Isadora Garcia Ferrão

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina un team di sicurezza (chiamato CSIRT) che agisce come una gigantesca agenzia investigativa digitale. Ogni giorno, scansionano le loro reti informatiche per trovare "bug" o debolezze (vulnerabilità). Queste scansioni producono rapporti massicci che sono come dettagliate foto di una scena del crimine.

Il problema è che queste foto contengono informazioni sensibili. Non mostrano solo il bug; mostrano anche i nomi degli edifici, i numeri specifici delle stanze e persino i nomi delle persone che ci vivono. Se il team vuole condividere queste foto con esperti esterni per ricevere aiuto, o usarle per addestrare l'IA, deve prima oscurare questi nomi. Questo processo è chiamato pseudonimizzazione.

Il documento presenta un nuovo strumento chiamato AnonShield per svolgere questo lavoro di oscuramento. Ecco come funziona, spiegato in modo semplice:

Il Problema: Il vecchio modo "lento e rischioso"

In precedenza, cercare di oscurare questi enormi rapporti era come cercare di pulire un enorme magazzino con uno spazzolino da denti.

Troppo Lento: Gli strumenti precedenti (come la versione precedente, AnonLFI v2.0) impiegavano oltre 92 ore per elaborare un singolo file grande. È come passare quattro interi giorni solo per pulire una stanza.
Troppo Rischioso: Alcuni strumenti cercavano di fare il lavoro inviando i dati al "cloud" (server esterni). Questo è come spedire le tue foto segrete del crimine a uno sconosciuto per farle oscurare. Questo viola le regole della privacy dei dati perché i dati lasciano l'edificio.
Troppo Goffo: Altri strumenti erano come un martello cieco; avrebbero potuto accidentalmente oscurare dettagli tecnici importanti (come il nome del bug stesso) insieme ai nomi sensibili, rendendo il rapporto inutile per l'analisi.

La Soluzione: AnonShield

AnonShield è come passare da uno spazzolino da denti a un aspiratore industriale ad alta velocità che funziona interamente all'interno del tuo edificio.

1. Il Motore Super-Veloce (Accelerazione GPU)
Pensa allo strumento precedente come a un singolo lavoratore che legge un libro pagina per pagina. AnonShield assume un intero team di lavoratori (usando una potente scheda grafica, o GPU) che possono leggere e oscurare migliaere di pagine contemporaneamente.

Il Risultato: Un lavoro che prima richiedeva 92 ore ora richiede meno di 10 minuti. Questo è un incremento di velocità di quasi 738 volte.

2. Il Filtro Intelligente (Consapevole del Contesto)
Immagina di stare modificando una storia. Devi oscurare i nomi delle persone, ma non vuoi oscurare i nomi dei mostri o delle armi, perché la storia riguarda il combattere contro quei mostri.

AnonShield è abbastanza intelligente da conoscere la differenza. Riconosce termini specifici della cybersecurity (come i codici "CVE" o "CPE") e sa di doverli mantenere chiari mentre oscura i nomi sensibili.
Utilizza un'impostazione "schema-aware", che è come avere una checklist. Se la checklist dice "Oscura tutto nella colonna 'Host Name'", lo fa istantaneamente senza nemmeno dover leggere il testo, rendendolo ancora più veloce.

3. L' "Inchiostro Magico" (Pseudonimizzazione)
Invece di limitarsi a coprire un nome (il che distruggerebbe il dato), AnonShield lo sostituisce con un codice unico e indistruttibile (come un alias segreto).

Se il nome "Server-1" appare 100 volte nel rapporto, AnonShield lo trasforma nello stesso codice (ad esempio, "X-999") ogni singola volta.
Questo mantiene i dati utili: gli analisti possono ancora vedere che "X-999" è stato attaccato tre volte, anche se non sanno che si trattava di "Server-1".
Solo il responsabile del team con la chiave segreta può trasformare il codice nel nome reale.

4. La Promessa "No-Cloud"
Tutto avviene proprio lì sul computer dove risiedono i dati. Nessun dato viene mai inviato a internet. Questo mantiene l'organizzazione al sicuro dagli hacker e la rende conforme alle leggi sulla privacy (come il GDPR).

I Risultati

I ricercatori hanno testato questo strumento su un enorme dataset di oltre 70.000 record (circa 550 MB di dati).

Velocità: Sono passati da giorni di attesa a minuti.
Accuratezza: Lo strumento è stato incredibilmente preciso. Ha trovato e oscurato con successo il 96,7% delle informazioni sensibili (Recall) mantenendo i dati utili per l'analisi (F1-score di 94,2%).
Affidabilità: Ha gestito formati di file disordinati (come PDF con immagini) e fogli di calcolo enormi senza crashare.

In Sintesi

AnonShield è uno strumento che permette ai team di sicurezza di condividere i propri rapporti sulle vulnerabilità in modo sicuro e veloce. Agisce come un editor super-veloce e intelligente che vive all'interno del tuo computer, sostituendo i nomi sensibili con codici segreti in modo che i dati possano essere usati per l'analisi o l'addestramento dell'IA senza mai rivelare chi o cosa è stato scansionato. Trasforma un lavoro di 4 giorni in un compito di 10 minuti.

Riepilogo Tecnico: AnonShield

Problematica

I team di risposta agli incidenti di sicurezza informatica (CSIRT) affrontano una sfida operativa critica: la necessità di condividere i dati delle scansioni di vulnerabilità (da strumenti come OpenVAS e Tenable) per l'analisi, le pipeline di machine learning e la generazione di dati sintetici, mantenendo al contempo il rigoroso rispetto delle normative sulla sovranità dei dati e sulla privacy (GDPR, LGPD). Questi report contengono informazioni personali identificabili (PII) sensibili, identificatori di rete (IP, hostname) e credenziali insieme ai risultati tecnici.

Le soluzioni esistenti non soddisfano i requisiti specifici per gli impieghi CSIRT su larga scala:

Gli strumenti basati su cloud (ad es., Google Cloud DLP, Amazon Comprehend) violano la sovranità dei dati richiedendo la trasmissione dei dati verso endpoint esterni.
Gli strumenti generici on-premise (ad es., Microsoft Presidio) mancano di riconoscitori per entità specifiche della cybersecurity (CVE, CPE, hash crittografici), lasciando esposti i profili di vulnerabilità.
Le iterazioni precedenti della ricerca (AnonLFI v1.0 e v2.0) soffrono di problemi di scalabilità. AnonLFI v2.0, pur supportando formati gerarchici (XML/JSON) e OCR, richiede oltre 92 ore per elaborare un dataset di 550 MB (70.951 record) a causa del parsing DOM intensivo in termini di memoria e della mancanza di accelerazione hardware, rendendolo impraticabile per l'uso operativo.

Metodologia: Il Framework AnonShield

AnonShield è un sistema di pseudonimizzazione ad alto throughput e on-premise, progettato per elaborare localmente i dati di vulnerabilità. Sostituisce le entità sensibili con pseudonimi deterministici (slug HMAC-SHA256) per preservare l'integrità referenziale tra i report senza esporre i dati originali.

Il framework opera attraverso cinque fasi sequenziali:

Elaborazione dell'Input: Supporta formati eterogenei (XML, JSON, JSONL, CSV, TXT, LOG, PDF, DOCX, XLSX). I file di grandi dimensioni sono gestiti tramite I/O in streaming (usando ijson per JSON e SAX per XML) per evitare il caricamento completo in memoria.
Rilevamento delle Entità (NER): Utilizza un approccio ibrido che combina:
- Modelli Transformer accelerati da GPU: Modelli configurabili come Davlan/xlm-roberta-base-ner-hrl o il modello focalizzato sulla cybersecurity attack-vector/SecureModernBERT-NER.
- Pattern RegEx personalizzati: 21 pattern che coprono IP, URL, hash, certificati, identificatori CVE/CPE e credenziali.
- Caching LRU: Ammortizza le ricerche ripetute tra i record.
Pseudonimizzazione: Le entità vengono sostituite con slug HMAC-SHA256 calcolati utilizzando una chiave segreta definita dall'operatore. La lunghezza dello slug è configurabile (0–64 caratteri esadecimali) e il tipo di entità è preservato come prefisso (ad es., [IP_ADDRESS_48624b5cdc]).
Persistenza: Un database locale SQLite memorizza la mappatura tra le entità originali e gli slug, consentendo la re-identificazione controllata da parte degli amministratori in possesso della chiave e del database.
Output: I formati strutturati preservano schema e struttura con solo i valori sostituiti. I formati non strutturati (PDF, DOCX, immagini) vengono elaborati tramite OCR o estrazione di testo e restituiti come testo semplice.

Caratteristiche Architetturali Chiave:

Configurazione Consapevole dello Schema: Un meccanismo (anonymization_config) consente politiche per campo (ad es., force_anonymize, fields_to_exclude) per bypassare l'overhead del NER per campi noti, aumentando significativamente le prestazioni.
Molteplici Strategie: Gli utenti possono scegliere tra:
- Standalone: Throughput massimo, bypassa completamente Presidio.
- Hybrid/Filtered: Bilancia accuratezza e prestazioni limitando i riconoscitori alle entità rilevanti per la cybersecurity.
- Presidio: Massimizza il richiamo (recall) ma può introdurre falsi positivi da pattern non pertinenti al dominio.

Contributi Chiave

Architettura Scalabile: Un sistema capace di elaborare dataset di vulnerabilità su scala operativa (fino a 550 MB, ~71k record) on-premise con complessità quasi lineare.
Valutazione Completa: Un'analisi comparativa di quattro strategie (standalone, hybrid, presidio, filtered) rispetto alle generazioni precedenti (AnonLFI v1.0/v2.0) e agli strumenti commerciali, utilizzando dataset che spaziano da testbed eterogenei a dati operativi reali.
Validazione dell'Accuratezza: Una valutazione statistica utilizzando un campione annotato da specialisti (67 record, 13 tipi di entità) per misurare Precision, Recall e F1-Score.

Risultati Sperimentali

La valutazione ha utilizzato quattro dataset (D1–D3), incluso un dataset operativo da 550 MB da CAIS/RNP (D2) contenente 70.951 record di vulnerabilità.

Prestazioni (Throughput e Latenza):

Accelerazione (Speedup): AnonShield riduce il tempo di elaborazione per il dataset operativo da 550 MB da un tempo stimato di >92 ore (AnonLFI v2.0) a meno di 10 minuti (453 secondi), ottenendo un'accelerazione di 738×.
Scalabilità: AnonShield dimostra una complessità quasi lineare ( $\alpha \approx 1$ ). Al contrario, AnonLFI v2.0 degrada in modo superlineare a causa del parsing DOM.
Ottimizzazione: L'attivazione della configurazione consapevole dello schema per i dati CSV ha ridotto ulteriormente il tempo di esecuzione a 12,55 secondi (34.341 KB/s), un guadagno di 46,9× rispetto all'inferenza NER completa.
Indipendenza dall'Hardware: Anche su hardware solo CPU, AnonShield raggiunge un'accelerazione ≥535× rispetto a AnonLFI v2.0, confermando che i guadagni sono architettonici piuttosto che puramente dipendenti dall'hardware.

Accuratezza:

Metriche: Le strategie Filtered e Hybrid hanno raggiunto un F1-score del 94,2% e un Recall del 96,7%.
Confronto: Questo rappresenta un miglioramento significativo rispetto ad AnonLFI v1.0 (F1: 23,7%) e v2.0 (F1: 54,0%).
Analisi degli Errori: I Falsi Negativi erano principalmente deterministici (nomi di organizzazioni non riconosciuti nelle stringhe di attribuzione e artefatti strutturali come i numeri di porta nel testo libero). I Falsi Positivi sono stati significativamente ridotti nelle modalità Filtered/Hybrid sopprimendo i riconoscitori non pertinenti al dominio (ad es. la classificazione errata di stringhe di versione come date).

Significato e Rivendicazioni

Il documento sostiene che la pseudonimizzazione scalabile e on-premise dei dati di vulnerabilità è operativamente fattibile senza sacrificare l'utilità analitica. Raggiungendo un alto throughput e un alto richiamo, AnonShield consente:

Condivisione dei Dati Conforme: Facilitare l'uso di dati di vulnerabilità in downstream di pipeline LLM e nella generazione di dati sintetici nel rispetto di GDPR e LGPD.
Fattibilità Operativa: Passare da tempi di elaborazione impraticabili (>92 ore) a capacità quasi in tempo reale (<10 minuti) per ambienti enterprise su larga scala.
Sicurezza Consapevole del Contesto: Riconoscendo che gli identificatori di cybersecurity (CVE, CPE) sono sensibili in contesti specifici, il sistema permette un controllo granulare su ciò che viene pseudonimizzato, colmando una lacuna lasciata dagli strumenti PII generici.

Gli autori riconoscono le attuali limitazioni, inclusa la dipendenza da specifiche librerie OCR per i PDF composti solo da immagini e l'intrinseca difficoltà di pubblicare dati di vulnerabilità grezzi anche dopo la pseudonimizzazione (a causa del rischio di restringere lo spazio di ricerca di un attaccante). Di conseguenza, posizionano la pseudonimizzazione come un passo complementare alla generazione di dati sintetici per la condivisione esterna, pur rimanendo essenziale per l'analisi assistita da LLM internamente.