🤖 machine learning

A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage

Questo articolo propone un framework ibrido per il rilevamento del crypto-ransomware nell'archiviazione condivisa aziendale, combinando una tecnica basata su firme di "Regione di Interesse" per estrarre Indicatori di Compromissione con un modello di machine learning che raggiunge una precisione del 99,64% e un'accuratezza di rilevamento precoce del 99,44%, mantenendo al contempo un tasso di falsi negativi dello 0%.

Autori originali: Gervais Hatungimana, Abdun Naser Mahmood, Mohammad Jabed Morshed Chowdhury

Pubblicato 2026-06-30

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Gervais Hatungimana, Abdun Naser Mahmood, Mohammad Jabed Morshed Chowdhury

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate un ufficio frenetico dove tutti condividono i file su un "archivio digitale centrale" (il server) invece di tenerli sulle proprie scrivanie. È così che lavorano molte aziende.

Il problema è che un nuovo tipo di ladro digitale, chiamato ransomware, ha imparato a intrufolarsi. Invece di bloccare semplicemente i file su un singolo computer, questi ladri prendono di mira l'archivio condiviso, criptando i documenti di tutti contemporaneamente. Le tradizionali guardie di sicurezza (software) di solito sorvegliano solo le singole scrivanie (i computer, che spesso non si accorgono del ladro finché l'archivio non è già stato bloccato.

Questo articolo propone un nuovo sistema di sicurezza più intelligente — un framework ibrido — per catturare questi ladri prima e con maggiore precisione. Ecco come funziona, suddiviso in semplici passaggi:

1. Il Controllo di Sicurezza a Tre Livelli

Gli autori hanno costruito un sistema che controlla il traffico in entrata in tre modi distinti, come una squadra di sicurezza dotata di tre strumenti diversi:

Livello 1: Il Controllo del "Manifesto del Ricercato" (Rilevamento IoC)
Immaginate che la squadra di sicurezza abbia una lista di "Manifesti del Ricercato" per i ladri noti. Questi manifesti descrivono cose specifiche e uniche che un ladro fa sempre, come lasciare un particolare messaggio di riscatto in una cartella.
- Come funziona: Il sistema scansiona ogni singolo pacchetto di dati (la posta digitale) alla ricerca di queste "firme" specifiche. Se vede un pacchetto che corrisponde al modello di un ladro noto (come una dimensione specifica del file per una nota di riscatto), ferma immediatamente l'attacco. Questo intercetta i "cattivi già noti".
Livello 2: Il Controllo della "Nota Frammentata" (Analisi RoI)
I ladri più astuti cercano di nascondere le loro note di riscatto sminuzzandole in piccoli pezzi, in modo che non sembrino più il "Manifesto del Ricercato".
- Come funziona: Il sistema esamina gruppi di pacchetti (chiamati Regione di Interesse o RoI) per vedere se i piccoli pezzi, messi insieme, formano ancora un modello sospetto. È come un detective che osserva un mucchio di carta tritata per vedere se all'interno si nascondono le parole "Pagateci", anche se nessun singolo pezzo sembra sospetto di per sé.
Livello 3: Il "Detective Comportamentale" (Machine Learning)
E se il ladro fosse completamente nuovo e non avesse ancora un "Manifesto del Ricercato"?
- Come funziona: È qui che il sistema utilizza il Machine Learning (un programma informatico che impara dall'esperienza). Invece di cercare codici specifici, osserva come si muovono i dati.
- L'analogia: Un normale impiegato potrebbe aprire un file, leggerlo e salvarlo. Un ladro ransomware, invece, potrebbe aprire centinaia di file in un secondo, leggerli e immediatamente sovrascriverli con testo senza senso. Il modello di Machine Learning è addestrato per individuare questa "danza" frenetica e innaturale dei dati. Impara la differenza tra un essere umano che copia file e un robot che li cripta.

2. La "Classe di Addestramento" (Il Dataset)

Per insegnare a questo sistema, i ricercatori non hanno usato dati casuali. Hanno creato una classe di addestramento speciale:

I "Cattivi": Hanno testato 22 diverse famiglie di ransomware.
I "Buoni": Non hanno usato solo file sicuri casuali. Hanno utilizzato strumenti che sembrano ransomware ma che sono in realtà sicuri (come persone che comprimono i file con Zip o criptano i propri dati con strumenti come VeraCrypt). Ciò assicura che il sistema di sicurezza non si confonda e non blocchi accidentalmente il lavoro di un utente normale.

3. I Risultati: Catturare i Ladri Prima che Attacchino

L'articolo sostiene che questo nuovo sistema sia incredibilmente efficace:

Accuratezza: Ha identificato correttamente il ransomware nel 99,64% dei casi.
Nessuna Mancata Identificazione: Ha avuto un tasso di Falsi Negativi dello 0%, il che significa che non ha mancato nemmeno un attacco ransomware nei loro test.
Preavviso Precoce: La parte migliore è che può catturare il ladro mentre sta ancora lavorando, prima che finisca di criptare tutto. Hanno raggiunto un'accuratezza del 99,44% anche quando l'attacco era solo parzialmente completato.

Riassunto

Pensate a questo framework come a una squadra di sicurezza che non si limita ad aspettare che scatti l'allarme. Controlla i volti noti, cerca indizi nascosti nelle note sminuzzate e osserva i modelli di comportamento sospetti. Facendo tutte e tre le cose, possono fermare il ransomware dal bloccare i file condivisi dell'azienda, spesso prima ancora che il danno sia fatto.

Sintesi Tecnica: Un Framework Ibrido per il Rilevamento di Crypto-Ransomware in Archivi Condivisi Aziendali

Problematica
Gli ambienti aziendali stanno progressivamente limitando la memorizzazione di dati sensibili sugli endpoint dei client, spostando l'archiviazione su unità di rete e risorse condivise tramite il protocollo Server Message Block (SMB). Questo cambiamento architettonico ha ampliato la superficie di attacco dei ransomware, passando dai sistemi locali ai server di file remoti. I tradizionali meccanismi di rilevamento degli endpoint spesso falliscono in questo contesto perché si basano sul comportamento del sistema locale; un client compromesso può criptare dati condivisi su un server remoto senza attivare allarmi comportamentali sul server stesso. Inoltre, i metodi di rilevamento esistenti affrontano limitazioni quali il bias dei dataset, la mancanza di riproducibilità dovuta ai vincoli di privacy sul traffico di produzione e l'incapacità di rilevare varianti evasive che frammentano i payload malevoli o operano su vulnerabilità Zero-Day.

Metodologia
Gli autori propongono un framework di rilevamento ibrido progettato per ambienti integrati tra file server e client, operando principalmente sul traffico di rete SMB (analizzando specificamente i codici SMBv2, con i relativi equivalenti annotati per SMBv3). Il framework è composto da tre moduli sequenziali:

Rilevamento IoC per Pacchetto: Questa fase iniziale scansiona i singoli pacchetti di rete alla ricerca di Indicatori di Compromissione (IoC) noti. Nello specifico, cerca la presenza di messaggi di estorsione (spesso rilasciati come file non criptati nelle cartelle delle vittime) confrontando la lunghezza dei pacchetti con un repository di firme di famiglie di ransomware note. Se viene trovata una corrispondenza, viene attivata un'immediata rimedio.
Rilevamento IoC per Regione di Interesse (RoI): Per contrastare le varianti evasive che frammentano i messaggi di estorsione attraverso più pacchetti, questo modulo aggrega i pacchetti in "Regioni di Interesse" (RoI). Una RoI è definita come la sequenza di attività di rete tra due pacchetti di controllo specifici consecutivi (identificati come $p_{260}$ , un pacchetto da 260 byte utilizzato per l'enumerazione delle directory). All'interno di una RoI, il sistema controlla pattern aggregati di specifici "Comandi di Interesse" ($CoI$) come la creazione di file ( $r_{p410}$ ), la lettura ( $r_{q171}$ ) e la scrittura ( $r_{p138}$ ). Se il rapporto di questi pacchetti aggregati corrisponde a pattern di IoC noti, viene generato un allarme.
Rilevamento Basato su Machine Learning (ML): Se un pacchetto o una RoI non corrispondono a firme note, vengono passati a un modulo ML progettato per rilevare varianti di ransomware nuovi o sconosciuti.
- Ingegneria delle Caratteristiche (Feature Engineering): Il framework introduce una nuova tecnica di estrazione delle caratteristiche basata sulla RoI. Calcola caratteristiche di base (conteggi di operazioni di lettura, scrittura, apertura, chiusura) e caratteristiche estese (totale, media, deviazione standard e valori più frequenti dei dati di scrittura innescati da operazioni di lettura o creazione). Per garantire la neutralità dell'ambiente, queste caratteristiche sono standardizzate in base al numero totale di file nell'unità condivisa.
- Addestramento del Modello: Il sistema utilizza un modello di machine learning Random Committee. Il dataset di addestramento è stato costruito partendo da 22 famiglie di ransomware e 15 applicazioni benigne. I campioni benigni sono stati selezionati accuratamente per simulare comportamenti ad alto rischio (es. importazione massiva di dati, criptazione tramite strumenti come Hicrypt, compressione tramite 7-Zip) al fine di ridurre i falsi positivi. Il dataset è stato bilanciato e processato utilizzando una validazione incrociata a 10 pieghe (10-fold cross-validation).

Contributi Chiave

Tecnica della Regione di Interesse (RoI): Un nuovo metodo di ingegneria delle caratteristiche che aggrega i pacchetti di rete in base a specifici codici di controllo SMB ( $p_{260}$ ) per definire campioni di dati ricchi di contesto, riducendo il bias inerente agli approcci basati su finestre temporali fisse o sui flussi.
Architettura di Rilevamento Ibrida: Un framework che combina il rilevamento degli IoC basato su firma (per minacce note) con il rilevamento delle anomalie basato su ML (per minacce sconosciute/evasive), integrato in un flusso di lavoro che consente un intervento precoce.
Nuovi Dataset: Gli autori presentano due nuovi dataset:
1. Un dataset etichettato contenente 22 famiglie di ransomware e 15 applicazioni benigne con comportamento simile al ransomware, progettato per minimizzare il bias.
2. Un repository di Indicatori di Compromissione (IoC) basati sulla rete derivati da queste famiglie.

Risultati
La valutazione sperimentale del framework ha prodotto i seguenti parametri di prestazione:

Accuratezza del Rilevamento: Il modello Random Committee ha raggiunto una precisione di rilevamento del 99,64%.
Tassi di Errore: Il sistema ha dimostrato un Tasso di Falsi Negativi (FNR) dello 0%, garantendo che nessuna intrusione di ransomware venisse persa, e un minimo Tasso di Falsi Positivi (FPR) dello 0,004%.
Rilevamento Precoce: Il framework ha identificato con successo le intrusioni di ransomware prima che si verificassero danni significativi. Utilizzando una finestra scorrevole di 48 RoI, il sistema ha raggiunto un'accuratezza di rilevamento precoce del 99,44%.
Prestazioni Specifiche per Famiglia: Sebbene i modelli addestrati su singole famiglie (es. LockBit2.0) abbiano raggiunto il 100% di accuratezza, gli autori osservano che tali modelli ristretti mancano di robustezza. La forza del framework ibrido risiede nella sua capacità di generalizzare su 22 diverse famiglie.

Significatività e Rivendicazioni
Il documento sostiene che questo approccio ibrido affronta il vuoto critico nel rilevamento dei ransomware che prendono di mira l'archiviazione condivisa piuttosto che solo gli endpoint locali. Spostando l'attenzione dalla sola dipendenza dallo stato del sistema host all'integrazione dell'analisi del traffico di rete con la nuova tecnica RoI, il framework offre una difesa robusta sia contro varianti note che evasive. Gli autori sottolineano che l'inclusione di comportamenti benigni che imitano da vicino le operazioni dei ransomware (come la legittima criptazione e compressione massiva dei dati) assicura che il modello di rilevamento non venga facilmente confuso dalle comuni azioni dell'utente. La scoperta di nuovi IoC basati sulla rete e la fornitura di dataset riproducibili sono evidenziate come contributi significativi sia alla ricerca accademica che alla difesa della cybersecurity industriale. Lo studio conclude che, sebbene gli IoC presentati corrispondano a traffico non criptato, la metodologia è applicabile ad ambienti criptati (SMBv3) con le opportune regolazioni dei codici, offrendo una soluzione scalabile per la sicurezza degli archivi condivisi aziendali.

1. Il Controllo di Sicurezza a Tre Livelli

2. La "Classe di Addestramento" (Il Dataset)

3. I Risultati: Catturare i Ladri Prima che Attacchino

Riassunto

Articoli simili