Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

Sintesi Tecnica: Cyber Dynamics I: Macrostati Finiti per il Rilevamento di Anomalie Comportamentali nella Telemetria di Rete

1. Definizione del Problema

La moderna difesa cibernetica opera in ambienti dinamici ed eterogenei dove distinguere tra la variabilità operativa benigna (ad esempio, backup pianificati, autoscaling del cloud) e la riorganizzazione avversaria (ad esempio, movimento laterale APT, staging coordinato) rappresenta una sfida centrale. I metodi esistenti di rilevamento delle anomalie, in particolare quelli basati sull'entropia, trattano spesso la telemetria di rete come eventi isolati o vettori di caratteristiche ristretti. Questi approcci tipicamente calcolano l'entropia come una statistica scalare su distribuzioni marginali (ad esempio, IP sorgente, porte).

L'articolo sostiene che questo approccio a "entropia scalare" presenta due criticità fondamentali:

1. Rappresentazione Limitata: Riduce il comportamento del sistema a metriche di disordine, fallendo nel catturare l'organizzazione strutturale, la persistenza o i pattern di coordinazione.
2. Visione Statica: Tratta le anomalie come distribuzioni insolite in un singolo punto temporale, ignorando la traiettoria temporale e le transizioni di regime che spesso caratterizzano attacchi sofisticati.

Di conseguenza, la deriva dei carichi di lavoro benigni può simulare l'instabilità indotta da un attacco, e attacchi organizzati possono preservare le distribuzioni marginali pur alterando fondamentalmente la struttura del sistema, portando a falsi positivi o mancate rilevazioni.

2. Metodologia: Il Framework dei Macrostati Finiti

L'articolo propone un framework di macrostati a dimensione finita istanziato sul Canonical Security Telemetry Substrate (CSTS). Questo approccio sposta l'analisi dai record di eventi isolati verso stati comportamentali aggregati.

A. Costruzione Formale
Il framework opera attraverso tre livelli:

1. Microstati: L'unità atomica è un evento di rete tipizzato $e = (\tau, src, dst, svc, proto, dir, attrs)$, che rappresenta un'interazione temporalmente localizzata tra entità persistenti.
2. Micro-Insiemi Finestrati (Windowed Micro-Ensembles): Gli eventi sono aggregati in finestre temporali $W_t$ per formare un multiset di eventi $E_t$. Ciò cattura il contesto comportamentale locale piuttosto che punti isolati.
3. Mappa del Macrostato ($\Phi$): Una funzione di raggruppamento (coarse-graining) mappa ogni insieme $E_t$ in un vettore a dimensione finita $X_t \in \mathbb{R}^d$. Questo vettore è composto da sette famiglie di osservabili interpretabili:
   • Attività ($A_t$): Carico e occupazione (ad esempio, conteggio dei flussi, entità uniche).
   • Disordine ($H_t$): Dispersione della distribuzione (entropia di Shannon, Rényi o Tsallis su ruoli, servizi, protocolli).
   • Ordine Strutturale ($S_t$): Topologia delle interazioni (densità del grafo, concentrazione del grado, conteggio dei motivi/motif).
   • Volatilità Temporale ($V_t$): Instabilità a breve termine e burstiness.
   • Persistenza ($P_t$): Ricorrenza di archi, percorsi o motivi attraverso le finestre.
   • Accoppiamento ($C_t$): Dipendenze tra componenti comportamentali (omessa nella prima fase empirica per semplicità).
   • Deviazione ($D_t$): Distanza dalle baseline benigne (ad esempio, divergenza di Jensen-Shannon).

B. Analisi Dinamica
Il framework tratta il comportamento cibernetico come una traiettoria $\{X_t\}$ attraverso lo spazio dei macrostati. Il rilevamento delle anomalie è definito tramite due meccanismi:

• Anomalia di Stato: Il macrostato corrente $X_t$ si trova al di fuori dell'insieme del regime benigno $\mathcal{B}$.
• Anomalia di Transizione: Il passaggio da $X_t$ a $X_{t+1}$ devia dall'operatore di transizione nominale $T$, che modella l'evoluzione benigna attesa. Ciò consente il rilevamento di movimenti anormali anche se i singoli stati appaiono benigni.

C. Giustificazione Teorica
L'articolo fornisce proposizioni formali dimostrando che:

• Le mappe dei macrostati sono ben definite e invarianti per permutazione.
• I macrostati basati solo sull'entropia sono strutturalmente incompleti; distinti micro-insiemi possono avere la stessa entropia ma una diversa organizzazione strutturale.
• L'analisi multiscala è necessaria, poiché la visibilità delle anomalie dipende dalla risoluzione temporale (dimensione della finestra).

3. Progettazione Sperimentale

Il framework è stato valutato su dataset di telemetria di rete benchmark: UNSW-NB15 e CIC-IDS2017.

• Preprocessing: Gli eventi sono stati normalizzati in uno schema unificato, i ruoli sono stati mappati e i dati sono stati ordinati cronologicamente per preservare la struttura temporale.
• Finestratura (Windowing): Gli esperimenti hanno utilizzato molteplici scale ($\Delta \in \{30s, 60s, 300s, 900s\}$) con passi sovrapposti (overlapping strides).
• Baseline: Confronti sono stati effettuati contro:
  • Rilevatori basati solo sull'entropia (soglie, regressione logistica su vettori di entropia).
  • Standard anomaly detector (Isolation Forest, One-Class SVM, Autoencoder) su caratteristiche aggregate.
• Ablazione: Lo studio ha testato sistematicamente il contributo di ogni famiglia di macro-variabili (Attività, Disordine, Struttura, Volatilità, Persistenza, Deviazione).

4. Risultati Chiave

A. Superiorità dei Macrostati rispetto all'Entropia-Solo
Su entrambi i dataset, la rappresentazione completa dei macrostati ha superato costantemente le baseline basate solo sull'entropia.

• UNSW-NB15: Alla scala di 60s, il macrostato completo ha raggiunto un AUPRC di 0.9730, superando significativamente la migliore baseline di sola entropia (One-Class SVM a 0.9631).
• CIC-IDS2017: Il macrostato completo (AUPRC ~0.7917) ha superato la migliore baseline di vettore di entropia (AUPRC ~0.7672) a 60s.

B. Valore delle Variabili Strutturali e Temporali
Gli studi di ablazione hanno rivelato che i guadagni non erano dovuti semplicemente all'aumento della dimensionalità, ma a specifiche componenti comportamentali:

• L'aggiunta di Attività al Disordine ha fornito un chiaro guadagno, contestualizzando l'entropia.
• L'aggiunta di Ordine Strutturale ha prodotto il miglioramento più significativo, confermando che gli attacchi spesso si manifestano come una riorganizzazione organizzata piuttosto che come semplice aumento della casualità.
• Persistenza e Deviazione hanno fornito un ulteriore, seppur minore, incremento positivo.

C. Sensibilità alla Scala
La "migliore" composizione del macrostato variava in base alla scala temporale. Ad esempio, su CIC-IDS2017, la configurazione intermedia $A+H+V$ (Attività, Disordine, Volatilità) era la più forte a 30s, mentre il macrostato completo era il migliore a 60s. Ciò supporta l'affermazione teorica che la visibilità delle anomalie dipende dalla scala.

D. Limitazioni del Punteggio di Transizione
Contrariamente alla promessa teorica, lo scoring consapevole della transizione (fusione stato + transizione) non ha superato lo scoring basato solo sullo stato negli esperimenti iniziali. Gli autori attribuiscono ciò alla semplicità degli operatori di transizione nominali utilizzati (ad esempio, persistenza ingenua, regressione lineare), suggerendo che il pieno beneficio dinamico richieda una modellazione della traiettoria più sofisticata in futuro.

5. Significato e Rivendicazioni

L'articolo si pone come il primo passo empirico di un programma più ampio di "cyber dinamica". I suoi principali contributi e rivendicazioni sono:

1. Dal Scalare allo Stato: Dimostra che il rilevamento delle anomalie cibernetiche è meglio inquadrato come un problema di costruzione dello spazio degli stati comportamentali piuttosto che come rilevamento di irregolarità scalari.
2. L'Entropia come Coordinata, non come Soluzione: Dimostra che, sebbene l'entropia sia una componente utile, è insufficiente come descrittore autonomo per comportamenti cibernetici complessi che comportano una riorganizzazione strutturale.
3. Interpretabilità: Il framework dei macrostati fornisce una rappresentazione compatta e interpretabile (attività, struttura, volatilità, ecc.) che consente agli analisti di ragionare sul perché uno stato sia anomalo, piuttosto che solo sul fatto che sia anomalo.
4. Substrato Fondamentale: Istanziando il framework sul CSTS, l'articolo stabilisce una base canonica che è portabile attraverso telemetria di rete, endpoint e di tipo eterogeneo, ponendo le basi per futuri lavori su stabilità, recupero e analisi cross-modale.

Gli autori notano esplicitamente i limiti: i risultati dello scoring di transizione sono preliminari, la fusione multiscala non è ancora superiore al miglior modello a singola scala, e l'attuale valutazione è incentrata sulla rete. Questi sono presentati non come fallimenti, ma come il confine definito di "Paper I" e la tabella di marcia per "Cyber Dynamics II e III".