Applying JEPA-Style Predictive Learning to JA4-Derived Network Fingerprints

Immagina di cercare di identificare un viaggiatore misterioso in una stazione ferroviaria affollata. Di solito, le guardie giurate controllano solo un singolo documento d'identità (un "impronta digitale") confrontandolo con un elenco gigante di volti noti. Se la tessera corrisponde, ottimo; altrimenti, non sanno cosa fare. È così che la maggior parte delle reti informatiche identifica attualmente il traffico: guardano un codice breve (come un'impronta JA4) e dicono: "Oh, quello è un browser web" o "Quello è un server". È veloce, ma è rigido. Non capisce davvero il viaggiatore; si limita a far corrispondere un cartellino identificativo.

Ora, immagina un nuovo tipo di detective che non si limita a controllare un elenco. Invece, questo detective osserva alcuni diversi indizi che il viaggiatore porta con sé: un cappello, una scarpa, un biglietto e uno zaino. Anche se al viaggiatore manca un cappello o il detective non riesce a vedere lo zaino, il detective cerca di indovinare come dovrebbero essere i pezzi mancanti in base a quelli che può vedere. Se l'ipotesi corrisponde alla realtà, il detective impara qualcosa di profondo sullo stile del viaggiatore.

Questo è esattamente ciò che i ricercatori dell'Università di Lucerna hanno fatto con un nuovo sistema che hanno chiamato JA4-JEPA.

Il puzzle del "Pezzo Mancante"

Il team ha preso una vasta collezione di "carte d'identità" di rete (circa 397.000 campioni) da due diverse fonti. Queste carte avevano quattro sezioni diverse:

1. JA4: L'ID base del client (come un passaporto).
   2.JA4H: Come il client comunica con un sito web (come una conversazione).
2. JA4S: Come il server risponde (come una risposta).
3. JA4X: Dettagli sui certificati digitali (come un visto).

Ecco la parte complicata: Nessuna singola carta d'identità nel loro mucchio aveva tutte e quattro le sezioni. Alcune erano prive della conversazione, altre erano prive della risposta. Era come cercare di imparare l'aspetto di una persona vedendo solo metà del suo corpo in alcune foto e l'altra metà in altre.

I ricercatori hanno costruito un'IA intelligente (un modello Transformer) per giocare a un gioco di "riempire gli spazi vuoti". Mostravano all'IA alcune sezioni della carta d'identità e le chiedevano di prevedere le sezioni nascoste. Invece di cercare di ridisegnare l'intera immagine (il che è difficile e lento), l'IA ha imparato a prevedere l'essenza o la "vibrazione" delle parti mancanti in uno spazio mentale nascosto. Questo approccio è chiamato JEPA (Joint-Embedding Predictive Architecture), ed è solitamente usato per immagini e video, non per codici di rete.

I Risultati: Un Nuovo Tipo di Superpotere

Dopo l'addestramento, i ricercatori hanno "congelato" il cervello dell'IA e l'hanno testata. Hanno chiesto: "Puoi dirmi se questo traffico è un browser web (TLS), un sistema di nomi di dominio (DNS) o una shell sicura (SSH)?"

I risultati sono stati sorprendentemente forti:

• Le previsioni dell'IA corrispondevano alle sezioni nascoste reali con una similarità del coseno di 0,9899 (che è quasi perfetta, come due gemelli).
• Quando utilizzata per classificare il traffico in gruppi, un semplice metodo di controllo dei vicini l'ha azzeccata il 92,20% delle volte su 39.416 nuovi campioni mai visti prima.

Ciò suggerisce che, anche con dati incompleti, l'IA ha appreso una rappresentazione ricca e utile del traffico di rete. Non si tratta più solo di far corrispondere un cartellino; l'IA ne comprende la struttura.

Il Test delle "Anomalie": Catturare gli Impostori

Per vedere se questo nuovo metodo fosse effettivamente migliore dei vecchi modi, il team ha eseguito un secondo test su un enorme dataset di 2,1 milioni di coppie di traffico reali provenienti da un gateway aziendale. Hanno creato due tipi di anomalie "finte" (trucchi) per vedere quale sistema riuscisse a individiarle:

1. Lo Shuffle (Mescolamento): Mescolare un ID reale con una conversazione casuale e non correlata.
2. L'Hard-Positive (Il Falso Positivo Difficile): Mescolare un ID reale con una conversazione che non ha mai avuto, anche se entrambe le parti sono comuni.

Hanno confrontato la loro nuova IA con altri cinque metodi: conteggio delle frequenze, ricerca dei vicini più prossimi, autoencoder e clustering.

I risultati sono stati chiari:

• Il modello JA4-JEPA è stato l'unico a performare fortemente su entrambi i tipi di trucchi. Ha catturato gli impostori con un AUC di 0,922 (un punteggio dove 1,0 è perfetto) per lo shuffle e 0,925 per l'hard-positive.
• Gli altri metodi sono falliti in almeno uno dei test. Ad esempio, i semplici contatori di frequenza erano completamente ciechi alle nuove combinazioni, e la ricerca dei vicini più prossimi diventava lenta e confusa man mano che i dati crescevano.
• Velocità: L'IA poteva analizzare 8.000 coppie al secondo su una CPU standard, e la sua velocità non rallentava all'aumentare del database. Al contrario, il metodo dei vicini più prossimi rallentava da 3.400 coppie al secondo a solo 250 man mano che i dati aumentavano.

Ciò che il Paper Non Dice

È importante sapere cosa questo trucco di magia non fa ancora.

• Non è una palla di cristallo per il malware: Il paper afferma esplicitamente che, sebbene possa distinguere tra un browser web, un server DNS e una shell SSH, non può ancora dirvi quale specifica applicazione sia in esecuzione (come "Chrome" rispetto a "Firefox") o se il traffico sia malevolo. Le etichette che avevano erano troppo ampie per questo.
• Non è perfetto nel "vedere" tutto: Poiché i dati di addestramento erano privi di parti (nessun campione aveva tutte e quattro le viste), l'IA potrebbe fare affidamento pesantemente sull'unico pezzo che vede sempre (JA4) per indovinare il resto. Gli autori suggeriscono che, sebbene i risultati siano promettenti, non possiamo essere sicuri al 100% che l'IA abbia appreso connessioni profonde tra tutte le viste, perché non ha mai visto un quadro completo durante l'addestramento.
• La "Calibrazione" è ancora un lavoro in corso: L'IA è brava a classificare gli impostori (sapendo quale sia il più sospetto), ma impostare una specifica "linea di allarme" (soglia) è ancora complicato. Con un budget di falsi allarmi del 5%, ha catturato solo il 53% degli hard-positive problematici. La classificazione è forte, ma l'impostazione esatta dell'allarme richiede ancora lavoro.

In Breve

Il paper suggerisce che insegnare a un'IA "indovinare le parti mancanti" delle impronte digitali di rete è un nuovo modo potente per comprendere il traffico. Crea un sistema leggero, veloce e intelligente che è migliore dei metodi attuali nel rilevare combinazioni strane. Tuttavia, non è ancora un problema risolto. I ricercatori sono cautamente positivi: il metodo funziona per classificare i tipi di traffico e individuare le anomalie, ma per renderlo uno strumento di sicurezza reale capace di catturare virus o app specifiche, abbiamo bisogno di etichette più dettagliate e di dati dove tutti i pezzi del puzzle sono effettivamente presenti.

In breve, l'IA ha imparato a giocare a "indovina il pezzo mancante" così bene da iniziare a comprendere l'intera immagine, anche quando l'immagine era strappata. Ma dobbiamo ancora insegnarle come individuare i cattivi specifici che si nascondono nella folla.