A Multi Method Importance and Performance Efficiency Analysis of Topological Metrics for Natural Visibility Graph Based Cyber Attack Detection
Questo studio dimostra che l'applicazione di un'analisi di importanza basata sul consenso alle metriche dei Natural Visibility Graph consente la selezione di un sottoinsieme compatto di tre caratteristiche topologiche che migliora significativamente l'accuratezza del rilevamento degli attacchi informatici e riduce il tempo di esecuzione computazionale di oltre il 96% rispetto all'utilizzo dell'intero set di 21 metriche.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, il traffico di rete scorre come un fiume costante di dati, trasportando di tutto, dalle innocue navigazioni web ad attacchi informatici sofisticati. Per proteggere i sistemi, gli esperti di sicurezza utilizzano programmi informatici per osservare questo flusso, cercando modelli che segnalino il pericolo. Per anni, questi programmi si sono basati sul conteggio di elementi semplici, come quanti pacchetti di dati passano attraverso una porta o quanto dura una connessione. Tuttavia, i ricercatori hanno iniziato a rendersi conto che la forma stessa dei dati potrebbe contenere più indizi rispetto ai soli numeri. Immaginate di prendere una linea di numeri che rappresenta un flusso di dati e di trasformarla in una mappa dove ogni punto è un cerchio e le linee collegano i punti che possono "vedersi" senza essere bloccati da nulla nel mezzo. Questo crea una rete unica, o grafo, che preserva il ritmo e la struttura dei dati originali. Studiando la forma di queste reti — quanto strettamente i punti si raggruppano, quanti percorsi esistono tra loro e quanto certi punti siano centrali — gli scienziati possono scoprire firme nascoste di attività malevole che il semplice conteggio standard potrebbe perdere.
Un team di ricercatori dell'Università di Karabuk, in Turchia, si è posto l'obiettivo di testare quanto fossero utili questi indizi basati sulla forma per intercettare gli attacchi informatici. Sono partiti da una vasta collezione di record di rete contenenti sia traffico normale che vari tipi di attacchi. Invece di alimentare direttamente un programma informatico con i dati grezzi, hanno prima trasformato piccoli segmenti di dati in queste reti visive. Da ogni rete, hanno estratto ventuno diverse misurazioni, o metriche topologiche, per descriverne la struttura. Alcune di queste misurazioni esaminavano quanto i punti fossero connessi, altre analizzavano la distanza media tra i punti e altre ancora esaminavano come i punti si raggruppassero in comunità. I ricercatori hanno poi utilizzato un tipo potente di intelligenza artificiale, una rete neurale convoluzionale, per imparare a distinguere tra le reti create dal traffico normale e quelle create dagli attacchi.
La domanda centrale che il team voleva porre era se tutte queste ventuno misurazioni della forma fossero effettivamente necessarie. In molti campi scientifici, i ricercatori spesso assumono che raccogliere più dati porti a risultati migliori, ma in questo caso, estrarre ogni singola misurazione richiede una quantità significativa di tempo e di potenza di calcolo. Il team sospettava che alcune di queste misurazioni potessero essere ridondanti o meno utili delle altre. Per scoprirlo, hanno applicato quattro diversi metodi per classificare l'importanza di ciascuna misurazione. Un metodo ha osservato di quanto calasse la fiducia del computer quando una specifica misurazione veniva rimescolata; un altro ha confrontato le misurazioni reali con il rumore casuale per vedere quali si distinguevano; un terzo metodo ha rimosso sistematicamente quelle meno utili per vedere cosa rimaneva; e un quarto metodo ha utilizzato un approccio matematico per spiegare esattamente quanto ogni misurazione contribuisse alla decisione finale. Combinando i risultati di questi quattro distinti approcci, hanno creato una singola classifica concordata delle ventuno metriche.
I risultati di questa analisi hanno rivelato una chiara gerarchia. Le misurazioni che descrivevano quanto strettamente i punti nella rete si raggruppassero si sono rivelate le più preziose. Nello specifico, la mediana, la deviazione standard e la media di questi valori di raggruppamento (clustering) sono state classificate come i primi tre indicatori più importanti. Al contrario, altre misurazioni, come quelle che descrivevano i percorsi più lunghi o la dimensione complessiva della rete, sono state classificate molto più in basso. I ricercatori hanno poi testato questo risultato addestrando il loro programma informatico utilizzando solo le misurazioni classificate ai primi posti, riducendo gradualmente il numero di input da ventuno a soli tre. Hanno confrontato le prestazioni di questi set più piccoli rispetto al set completo di ventuno.
Il risultato è stato sorprendente. Quando il programma informatico è stato addestrato utilizzando solo le prime tre misurazioni di raggruppamento, ha performato meglio rispetto a quando è stato addestrato con l'intero set di ventuno. Il modello semplificato ha identificato correttamente gli attacchi con un'accuratezza del 97,148 percento, rispetto al 95,999 percento del modello completo. Ha inoltre ottenuto un punteggio più alto nel bilanciare la rilevazione dei diversi tipi di attacco. Ancora più importante, questo miglioramento è arrivato con un enorme guadagno in termini di velocità. L'intero set di misurazioni ha richiesto quasi quindici mila secondi per essere elaborato durante l'intero esperimento, mentre le prime tre misurazioni hanno richiesto solo circa cinquecento ottantanove secondi. Ciò rappresenta una riduzione del tempo di calcolo di oltre il novantasei percento. Lo studio suggerisce che, concentrandosi sugli indizi strutturali più informativi e scartando il resto, i sistemi di sicurezza possono diventare sia più veloci che più accurati.
I ricercatori hanno osservato che questo risultato non significa che tutte le altre misurazioni siano inutili, ma piuttosto che, per questo specifico tipo di dati e per questo specifico modello informatico, l'informazione extra non stava aiutando e poteva persino essere di distrazione. Le prime tre misurazioni, che descrivono il raggruppamento locale dei punti dati, sembravano contenere la firma essenziale degli attacchi. Lo studio conclude che un insieme compatto e accuratamente selezionato di caratteristiche può superare una collezione più ampia e non filtrata. Sebbene i risultati siano specifici per il dataset e i metodi utilizzati in questo esperimento, essi offrono una via chiara per costruire sistemi di difesa cibernetica più efficienti. Comprendendo quali dettagli strutturali contano di più, gli strumenti futuri potranno essere progettati per rilevare le minacce con maggiore velocità e precisione, senza l'onere di elaborare dati non necessari.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.