Sintesi Tecnica: Framework GTI-mSEMP

Problematica

La rapida proliferazione di minacce malware automatizzate e multi-vettore pone un rischio critico per le reti cibero-fisiche eterogenee e con risorse limitate, in particolare all'interno dell'ecosistema Internet of Things (IoT). I modelli epidemiologici esistenti utilizzati per simulare la propagazione del malware (come i modelli SEIR standard) spesso trattano le difese di sicurezza come parametri statici. Questo approccio non riesce a catturare le manovre strategiche e asimmetriche tra attaccanti e difensori, dove le strategie difensive devono adattarsi dinamicamente alle azioni offensive sotto rigidi vincoli computazionali e operativi. Di conseguenza, i modelli tradizionali non possono prevedere accuratamente gli stati della popolazione dei nodi localizzati o la dinamica transitoria della sicurezza di rete in ambienti altamente avversariali.

Metodologia

Per affrontare tali limitazioni, gli autori propongono il framework GTI-mSEMP (Game-Theory-Integrated Modified Multi-Wireless Sensor Epidemic Malware Propagation). Questo modello integra la teoria dei giochi stocastici con la modellazione epidemiologica compartimentale per creare un ambiente di simulazione dinamico.

Formulazione Matematica Core:
Il framework modifica il modello standard Susceptible-Exposed-Infected-Recovered (SEIR) trattando i tassi di transizione come variabili dinamiche dipendenti dai profili strategici sia dell'attaccante ($A$) che del difensore ($D$).

• Stato Susceptible ($S$): La probabilità di transizione ($p$) da Susceptible a Exposed è modellata come una funzione della densità spaziale di rete ($\rho$), della matrice della strategia offensiva dell'attaccante ($A$) e della matrice della politica di mitigazione del difensore ($D$). La probabilità è definita come il rapporto tra l'investimento offensivo e la somma dell'investimento offensivo e dell'efficienza difensiva.
• Stato Exposed ($E$): Il tasso di transizione ($\lambda_1$) da Exposed a Infected non è più una costante fissa, ma un coefficiente dinamico influenzato dall'ottimizzazione del payload dell'attaccante e dall'intensità dell'audit runtime del difensore.
• Stato Infected ($I$): Il tasso di recupero ($\gamma$) è formalizzato come una funzione congiunta delle strategie attaccante-difensore, rappresentando il tasso con cui i nodi vengono con successo patchati o rimossi dalla rete.
• Stato Recovered ($R$): Il modello include un coefficiente di ri-suscettibilità ($\delta$) che tiene conto dei nodi che tornano a uno stato vulnerabile a causa della scadenza dei patch o dei reset di configurazione, anch'essi governati dall'interazione strategica tra gli avversari.

Configurazione della Simulazione:
Il framework è stato valutato utilizzando un ambiente MATLAB con un risolutore numerico di Runge-Kutta del 4° ordine (RK4). La simulazione ha modellato una topologia di rete eterogenea composta da tre classi di nodi: Gateway Core, Nodi di Routing Intermedi e Sensori Periferici a Bassa Potenza. Sono stati simulati due vettori di minaccia primari: Attacchi Brute-Force (BFA) e Zero-Day Exploits.

Sono stati analizzati tre regimi operativi per testare la sensibilità del framework:

1. Matchup di Equilibrio Bilanciato: Allocazione simmetrica delle risorse tra attaccante e difensore.
2. Surge di Exploit Evasivo: Uno scenario in cui il difensore viene superato, simulando un disallineamento strategico.
3. Quarantena Aggressiva: Una postura difensiva rinforzata con risorse concentrate sui gateway core.

Contributi Chiave

1. Tassi di Transizione Dinamici: Il documento introduce una formulazione matematica in cui i tassi di trasmissione, i tassi di recupero e i numeri di riproduzione efficaci non sono invarianti nel tempo, ma sono variabili dinamiche dipendenti da profili strategici localizzati eseguiti all'interno di un framework di gioco stocastico.
2. Modellazione di Matrici Strategiche: Gli autori formalizzano le strategie offensive e difensive come matrici $n \times m$, consentendo l'allocazione delle risorse attraverso diverse classi di nodi e vettori di exploit simultaneamente.
3. Ottimizzazione a Ciclo Chiuso: Il framework dimostra un meccanismo di difesa reattivo in cui il difensore aggiorna dinamicamente i pesi di allocazione delle risorse in base all'impronta di infezione in tempo reale (stati $I$ e $E$) di specifici strati di rete.

Risultati e Discussione

Le simulazioni numeriche hanno prodotto le seguenti osservazioni attraverso i tre regimi operativi:

• Difesa Bilanciata vs Asimmetrica: Nel Matchup Bilanciato (Caso I), la rete ha raggiunto il tetto massimo di rimedio globale (~435 nodi), suggerendo che una distribuzione bilanciata del capitale difensivo attraverso tutti gli strati topologici produce una resilienza a lungo termine superiore rispetto alle strategie iper-localizzate.
• Vulnerabilità della Difesa Concentrata: Nel Quarantena Aggressiva (Caso III), sebbene i gateway core siano stati rinforzati, la concentrazione degli asset difensivi ha lasciato vulnerabili gli strati intermedi di routing e periferici. Ciò ha permesso agli avversari di sfruttare i settori non protetti, accelerando l'esaurimento sistemico dei nodi sani rispetto al decadimento più graduale negli altri casi.
• Impatto dei Vettori di Scalabilità: Lo studio ha evidenziato l'importanza critica dei coefficienti di efficienza di scala ($\eta$ per la difesa vs $\mu$ per l'attacco).
  • Quando i fattori di scala difensivi mantenevano un vantaggio ($\eta > \mu$), il sistema mostrava un'impronta epidemica soppressa e un picco di popolazione Infetta ($I$) appiattito.
  • Quando i vettori di scala erano invertiti a favore delle capacità offensive (simulando un grave vantaggio dell'avversario), la rete subiva una cascata epidemica massiccia e incontrollata. La popolazione Infetta ha raggiunto un picco di circa 450 nodi (un aumento di oltre il 400% rispetto allo scenario favorevole al difensore), e la popolazione Susceptible è scesa a livelli criticamente bassi (125 nodi).
• Allocazione Dinamica delle Risorse: La simulazione ha confermato che l'aggiornamento continuo della distribuzione delle risorse in tempo reale, basato sul mutamento del panorama delle minacce, riesce a contrastare le strategie di attacco evasive e determina il tasso di recupero della rete.

Significato e Rivendicazioni

Il documento afferma che il framework GTI-mSEMP fornisce una base matematica e numerica rigorosa per valutare la propagazione dinamica del malware in ambienti di rete altamente avversariali. Andando oltre i parametri statici, il modello offre una simulazione più realistica delle dinamiche "gatto e topo" intrinseche nella guerra cibernetica. Gli autori sostengono che i loro risultati validano la necessità di un'ottimizzazione delle risorse dipendente dallo stato in tempo reale per interrompere i motori di propagazione automatizzata, come gli attacchi Brute-Force e le minacce Zero-Day. Il framework è presentato come uno strumento per prevedere gli stati della popolazione dei nodi localizzati e valutare l'efficacia delle strategie di difesa cibernetica dinamica nei sistemi cibero-fisici con risorse limitate.