Riepilogo Tecnico: Machine Unlearning Audibile per il Rilevamento di Ransomware Conforme alla Privacy Utilizzando Multi-Shard SISA e Deep Reinforcement Learning

1. Definizione del Problema

Gli attacchi ransomware si stanno evolvendo rapidamente, utilizzando l'offuscamento e varianti polimorfiche che rendono inefficace il tradizionale rilevamento basato su firme. Sebbene i rilevatori basati su machine learning (ML) e deep learning (DL) comportamentali abbiano mostrato forti capacità predittive, essi operano tipicamente sotto l'assunto di dati di addestramento fissi. Ciò crea un conflitto critico con le moderne normative sulla privacy, come il GDPR e il CCPA, che impongono il "diritto all'oblio". In contesti di cybersicurezza, le organizzazioni potrebbero dover rimuovere specifici dati utente, campioni errati o tracce avversarie dai modelli implementati. Gli approveri esistenti per soddisfare tali richieste prevedono il riaddestramento completo del modello, il che è computazionalmente costoso e impraticabile per sistemi aggiornati continuamente. Inoltre, i sistemi di rilevamento basati sul reinforcement learning (RL) non hanno affrontato adeguatamente come rimuovere selettivamente i campioni di addestramento mantenendo la stabilità della policy e verificando che la rimozione sia stata efficace senza compromettere la privacy.

2. Metodologia

Gli autori propongono un framework unificato che integra Double Deep Q-Networks (DDQN) con un'architettura Multi-Shard SISA (Sharded, Isolated, Sliced, and Aggregated) per abilitare un machine unlearning audibile per il rilevamento dei ransomware.

2.1. Dataset e Ambiente

• Dataset: È stato costruito un dataset comportamentale bilanciato di 2.000 campioni Windows 11 (1.000 ransomware, 1.000 benigni) utilizzando 30 distinte famiglie di ransomware. Le caratteristiche sono state estratte da tracce di esecuzione in sandbox (ANY.RUN), risultando in vettori comportamentali a 103 dimensioni che coprono attività di file system, registro, processo, API e rete.
• Formulazione RL: Il rilevamento dei ransomware è modellato come un Processo Decisionale di Markov (MDP).
  • Stato: Il vettore di caratteristiche comportamentali a 103 dimensioni.
  • Azione: Classificazione binaria (0: Benigno, 1: Ransomware).
  • Funzione di Ricompensa: Viene impiegata una struttura di ricompensa asimmetrica per riflettere i costi di sicurezza: +1 per la classificazione corretta, -2 per i falsi negativi (ransomware mancati) e -0,5 per i falsi positivi. Questo dà priorità agli esiti critici per la sicurezza.
  • Fattore di Sconto: Impostato a $\gamma=0.1$ per enfatizzare l'accuratezza della classificazione immediata rispetto ai ritorni a lungo termine.

2.2. Il Framework DDQN–SISA

Il framework opera in quattro fasi:

1. Sharding: Il dataset è partizionato in $M$ shard non sovrapponibili ($M \in \{5, 10, 20\}$) utilizzando un'allocazione stratificata per mantenere l'equilibrio delle classi.
2. Addestramento Isolato: Agenti DDQN indipendenti vengono addestrati su ogni shard con buffer di replay e reti target separati. Ciò isola l'influenza di qualsiasi campione di addestramento al suo specifico shard.
3. Rimozione a Fette (Unlearning): Al ricevimento di una richiesta di cancellazione, il sistema identifica gli shard interessati che contengono i campioni da rimuovere. Solo questi specifici shard vengono riaddestrati sui dati rimanenti ($\mathcal{D}_r = \mathcal{D} \setminus \mathcal{D}_f$). Gli shard non influenzati rimangono invariati.
4. Aggregazione: Le previsioni finali sono generate tramite voto di maggioranza tra tutti i modelli di shard. L'ensemble Q-margin (differenza tra i valori Q per il ransomware rispetto al benigno) è utilizzato per il punteggio di confidenza e l'audit della privacy.

2.3. Protocolli di Verifica e Audit

Per garantire che il framework soddisfi gli standard di conformità e sicurezza, sono implementati tre meccanismi di valutazione:

• Verifica dell'Oblio tramite Oracle: Un modello "oracle" viene riaddestrato da zero sul dataset trattenuto ($\mathcal{D}_r$). Le previsioni del modello unlearned vengono confrontate con questo oracle per verificare che il processo di cancellazione approssimi l'ideale riaddestramento completo.
• Audit tramite Membership Inference Attack (MIA): Viene condotto un proxy MIA utilizzando gli ensemble Q-margins. L'obiettivo è verificare che i campioni dimenticati diventino indistinguibili dai dati mai osservati (ovvero, i tassi di successo MIA scendono al caso casuale, $\approx 0.5$).
• Efficienza Computazionale: Il sistema misura il tempo di riaddestramento, l'overhead di comunicazione e l'uso della memoria, confrontando il riaddestramento a livello di shard rispetto al riaddestramento completo.

3. Contributi Chiave

Il documento rivendica tre contributi primari:

1. Framework DDQN–SISA: La prima integrazione di un rilevatore RL basato su valore con l'architettura multi-shard SISA per il rilevamento dei ransomware, che consente il riaddestramento selettivo a livello di shard per soddisfare i mandati di privacy senza la ricostruzione completa del modello.
2. Verifica a Doppio Meccanismo: Un nuovo protocollo di audit che combina l'oblio verificato dall'oracle (per confermare l'accuratezza della cancellazione) e l'audit di membership-inference (per verificare la perdita di privacy), specificamente adattato per i sistemi di sicurezza basati su RL.
3. Valutazione Sistematica dello Stress da Cancellazione: Uno studio empirico completo su 270 configurazioni, variando il numero di shard, le frazioni di cancellazione (1%, 5%, 10%) e i round di cancellazione ripetuti (1, 5, 10) per caratterizzare i compromessi tra utilità, privacy ed efficienza.

4. Risultati Sperimentali

Il framework è stato valutato su un dataset comportamentale Windows 11 utilizzando la validazione incrociata a 5 fold (5-fold cross-validation).

• Prestazioni Baseline: Il rilevatore DDQN baseline ha raggiunto un F1-score di 0.9925 e un AUC di 0.9983, dimostrando un'elevata accuratezza di rilevamento paragonabile ai metodi allo stato dell'arte.
• Preservazione dell'Utilità:
  • Single-Shard: L'unlearning ha comportato una degradazione minima dell'utilità ($\Delta F1 < 0.003$) in tutti gli scenari di cancellazione.
  • Multi-Shard: Numeri moderati di shard ($M=5, 10$) hanno mantenuto la stabilità sotto una pressione di cancellazione bassa o moderata. Tuttavia, una granularità elevata ($M=20$) combinata con una cancellazione aggressiva (10% su 10 round) ha portato a una grave instabilità e al collasso dell'utilità (F1 che scende vicino allo 0), attribuito alla carenza di dati negli shard piccoli.
• Verifica dell'Oracle: Il riaddestramento a singolo shard ha mostrato un basso disaccordo con il modello oracle. Le configurazioni multi-shard hanno mostrato un disaccordo più elevato sotto forte stress da cancellazione, in particolare per $M=10$ e $M=20$, indicando che il riaddestramento localizzato diventa meno accurato all'aumentare degli shard interessati.
• Privacy (MIA): I punteggi di inferenza di appartenenza sono rimasti vicini a 0.5 (indovinare casualmente) nella maggior parte delle configurazioni, indicando una limitata perdita di privacy. Anche sotto una cancellazione aggressiva, l'aumento della distinguibilità è stato modesto.
• Efficienza:
  • Tempo di Riaddestramento: L'unlearning a singolo shard ha richiesto circa 5–6 secondi. L'unlearning multi-shard ha richiesto 20–30 secondi (a seconda del numero di shard interessati).
  • Confronto: Questo è significativamente più veloce del riaddestramento completo, che richiedeva 80–330 secondi.
  • Overhead di Comunicazione: È rimasto basso (circa 11 ms per il singolo shard, 53–55 ms per il multi-shard).

5. Significato e Rivendicazioni

Il documento posiziona il proprio lavoro come una soluzione pratica al "diritto all'oblio" nel contesto della cybersicurezza ad alto rischio.

• Conformità senza Compromessi: Il framework dimostra che le organizzazioni possono raggiungere la conformità GDPR/CCPA rimuovendo specifici campioni di addestramento senza incorrere nei costi computazionali proibitivi del riaddestramento completo.
• Sicurezza Audibile: Integrando la verifica dell'oracle e l'audit MIA, il sistema fornisce una garanzia verificabile che i dati cancellati non influenzino più il modello e che la privacy sia preservata, colmando una lacuna nella letteratura esistente sul rilevamento basato su RL.
• Compromessi Operativi: Lo studio conclude modestamente che, sebbene il framework sia altamente efficace, esiste un compromesso tra stabilità ed efficienza. Raccomanda numeri di shard moderati ($M=5–10$) come il regime operativo ottimale, bilanciando l'efficienza del riaddestramento con la stabilità della policy. Nota esplicitamente che una granularità di shard molto elevata ($M=20$) non è adatta a una pressione di cancellazione sostenuta a causa della frammentazione dei dati.
• Novità: Gli autori rivendicano che questa è la prima struttura di rilevamento ransomware che combina congiuntamente il RL basato su valore, l'unlearning locale per shard e la verifica dell'audit a doppio canale all'interno di un unico pipeline di valutazione.

Il documento riconosce i limiti, tra cui l'uso di un dataset di dimensioni moderate (2.000 campioni), il ricorso a un proxy MIA basato su Q-margin piuttosto che su attacchi adattivi e la mancanza di valutazione su dati in streaming. Il lavoro futuro suggerisce di esplorare dataset più grandi, attacchi alla privacy più forti e scenari di distribuzione distribuita.