Sintesi Tecnica: Analisi dei Dati Topologici Ibrida e Reti LSTM per un Rilevamento Migliorato delle Intruzioni di Rete

1. Definizione del Problema

I sistemi di rilevamento delle intrusioni di rete (NIDS) affrontano sfide significative negli ambienti di cybersicurezza moderni, tra cui spazi di caratteristiche ad alta dimensionalità, dipendenze temporali nel traffico di rete, sbilanciamento delle classi tra operazioni normali e malevole, e la necessità di elaborazione in tempo reale. I sistemi tradizionali basati su firme faticano a gestire gli exploit zero-day e i paesaggi di minaccia dinamici. Sebbene l'apprendimento profondo, in particolare le reti Long Short-Term Memory (LSTM), abbia mostrato promesse nella modellazione di dati sequenziali, i classificatori statici spesso non riescono a catturare le strutture geometriche sottostanti del traffico di rete. Inoltre, gli avversari impiegano frequentemente strategie di offuscamento ed evasione che possono aggirare gli approoli statistici standard. Questa ricerca affronta la necessità di un sistema che possa simultaneamente catturare sia le caratteristiche strutturali (topologiche) che quelle temporali del traffico di rete per migliorare il rilevamento delle anomalie.

2. Metodologia

Il documento propone un'innovativa architettura ibrida che integra l'Analisi dei Dati Topologici (TDA) con le reti LSTM tramite una rete di fusione Multi-Layer Perceptron (MLP). La metodologia è strutturata come segue:

A. Pre-elaborazione dei Dati

Lo studio utilizza il dataset CIC-IDS2017, contenente oltre 2,8 milioni di flussi di rete bidirezionali etichettati con 77 caratteristiche (dopo la pre-elaborazione) e 14 categorie di attacco (inclusi DDoS, Brute Force, Web Attacks, Infiltration e Botnets). La pipeline di pre-elaborazione include:

• Pulizia dei dati (rimozione di duplicati, valori infiniti e NaN).
• Normalizzazione Min-Max delle caratteristiche numeriche.
• Sottocampionamento stratificato per mantenere i rapporti tra le classi gestendo al contempo i costi computazionali per la TDA.
• Costruzione di finestre temporali sovrapposte (dimensione della finestra $w=50$, passo $s=25$) per catturare le sequenze temporali.

B. Componente di Analisi dei Dati Topologici (TDA)

Il modulo TDA estrae caratteristiche strutturali dalle finestre temporali dei dati di rete:

1. Costruzione della Nuvola di Punti: Ogni finestra temporale è trattata come una nuvola di punti in uno spazio ad alta dimensionalità.
2. Omologia Persistente: Viene costruita una filtrazione di Vietoris-Rips utilizzando la distanza euclidea. Questa cattura caratteristiche topologiche (componenti connesse e cicli) che persistono attraverso molteplici scale.
3. Curve di Betti: Le diagrammi di persistenza vengono convertiti in rappresentazioni funzionali note come curve di Betti ($\beta_0$ e $\beta_1$), che descrivono schemi di connettività e cicli. Queste curve sono discretizzate in vettori di caratteristiche a lunghezza fissa (200 punti).
4. Estrazione delle Caratteristiche: I vettori risultanti ($z_{TDA}$) rappresentano invarianti topologici che sono robusti al rumore e alle deformazioni continue.

C. Componente LSTM

Il modulo LSTM elabora i dati di rete sequenziali per catturare le dipendenze temporali:

• Architettura: Due strati LSTM impilati (64 e 32 unità nascoste) con dropout (0.2) e batch normalization.
• Funzione: Il meccanismo di gating delle LSTM cattura le dipendenze temporali a lungo raggio, risolvendo il problema della scomparsa del gradiente comune nelle normali RNN.
• Output: Il modulo produce una rappresentazione delle caratteristiche temporali ($z_{LSTM}$).

D. Fusione Ibrida

L'innovazione principale risiede nella fase di Fusione delle Caratteristiche:

• Le caratteristiche topologiche ($z_{TDA}$) e le caratteristiche temporali ($z_{LSTM}$) vengono concatenate.
• Una rete di fusione MLP appresa elabora questa rappresentazione combinata.
• Lo strato di output finale utilizza un'attivazione Softmax per la classificazione binaria (Normale vs Attacco).

3. Contributi Principali

Il documento delinea quattro contributi primari:

1. Architettura Innovativa: Un framework ibrido TDA+LSTM che integra l'estrazione di caratteristiche topologiche con la modellazione temporale profonda per il rilevamento delle intrusioni di rete.
2. Formulazione Matematica: Una definizione rigorosa dell'estrazione delle curve di Betti e della sua fusione con i modelli di deep learning, utilizzando specificamente l'omologia persistente per generare caratteristiche resilienti al rumore.
3. Valutazione Completa: Una valutazione sperimentale approfondita sul benchmark CIC-IDS2017, inclusi studi di ablazione, validazione incrociata a 5 pieghe (5-fold cross-validation) e test di significatività statistica.
4. Analisi delle Caratteristiche: Un esame approfondito di come le caratteristiche topologiche (specificamente le curve di Betti) completino le rappresentazioni temporali attraverso varie categorie di attacco.

4. Risultati Sperimentali

Il modello proposto è stato valutato rispetto a baseline che includono Isolation Forest, TDA+Random Forest, SVM tradizionale e LSTM standalone.

• Metriche di Performance: Il modello ibrido TDA+LSTM ha raggiunto un AUC di 1.000 e un F1-Score di 1.000 sul dataset CIC-IDS2017.
• Validazione Incrociata: La validazione incrociata a 5 pieghe ha prodotto un AUC medio di $1.000 \pm 0.000$ e un F1-score medio di $0.999 \pm 0.001$.
• Analisi Comparativa:
  • Ibrido TDA+LSTM: F1 = 1.000
  • TDA + Random Forest: F1 = 0.994
  • Isolation Forest: F1 = 0.835
  • LSTM Standalone: F1 = 1.000 (Nota: il documento osserva che il modello ibrido raggiunge prestazioni competitive con la LSTM standalone, ma sottolinea il valore aggiunto dell'interpretabilità topologica).
• Studio di Ablazione:
  • Solo TDA (MLP): F1 = 0.990
  • Solo LSTM: F1 = 1.000
  • Ibrido: F1 = 1.000
  • Lo studio dimostra che, sebbene la sola LSTM funzioni eccezionalmente bene, le caratteristiche topologiche forniscono informazioni complementari, in particolare nella gestione dello sbilanciamento delle classi e nella fornitura di intuizioni geometriche.
• Costo Computazionale: Il modello ibrido richiede tempi di addestramento maggiori (1.4 minuti) e memoria (469 MB) rispetto a SVM tradizionale (<0.1 min, 89 MB) o TDA+RF (0.3 min, 145 MB), indicando un compromesso tra overhead computazionale e ricchezza delle caratteristiche.

5. Significato e Rivendicazioni

Il documento sostiene che l'approccio ibrido offre un nuovo paradigma per il rilevamento delle intrusioni di rete, fondendo la potenza di apprendimento delle reti neurali profonde con il rigore matematico dell'analisi dei dati topologici.

• Effetti Sinergici: La combinazione di TDA e LSTM fornisce prestazioni robuste, con le caratteristiche topologiche che offrono stabilità contro il rumore e le perturbazioni che spesso ostacolano i metodi statistici.
• Interpretabilità: A differenza dei modelli di deep learning "black box", la componente TDA fornisce intuizioni geometriche sui pattern di attacco (ad esempio, densa connettività negli attacchi DoS rispetto all'esplorazione sparsa nelle PortScan).
• Robustezza: Il modello dimostra efficacia attraverso diverse categorie di attacco, inclusi Brute Force, Botnet e Web Attacks, con una classificazione perfetta nelle finestre testate.
• Limitazioni: Gli autori riconoscono modestamente le limitazioni, tra cui l'aumento dell'overhead computazionale per installazioni su larga scala, la sensibilità alle impostazioni dei parametri (dimensione della finestra, raggio di filtrazione) e la necessità di ulteriore validazione su altri dataset moderni (ad esempio, CICIoT2023, UNSW-NB15) prima di generalizzare le affermazioni.

In conclusione, la ricerca valida che l'integrazione degli invarianti topologici con la modellazione delle sequenze temporali migliora il rilevamento di complesse intrusioni di rete, offrendo un metodo che è allo stesso tempo altamente accurato e strutturalmente interpretabile.