A Deep learning framework for early detection of Ransomware communication patterns in encrypted network using transfer learning Case study: Financial Enterprise Networking

Sintesi Tecnica: Un Framework di Deep Learning per il Rilevamento Precoce dei Pattern di Comunicazione Ransomware in Reti Criptate

Problematica
L'ampia adozione di protocolli di rete criptati (HTTPS/TLS) ha reso strutturalmente inefficaci gli strumenti tradizionali di rilevamento del ransomware basati su firme (es. Snort, Suricata, YARA). Con oltre l'80% del traffico aziendale criptato, l'ispezione del payload è tecnicamente impraticabile senza una decrittazione attiva, la quale introduce latenza e rischi normativi ai sensi di framework come il GDPR. Inoltre, gli attacchi ransomware contemporanei sono caratterizzati da comunicazioni di comando e controllo (C2) criptate, movimento laterale ed esfiltrazione con doppia estorsione. Sebbene l'analisi del comportamento dei flussi offra un'alternativa che preserva la privacy, la letteratura esistente manca di due componenti critiche: la quantificazione empirica di come i modelli di machine learning (ML) degradino al progredire del panorama delle minacce, e l'integrazione validata end-to-end con sistemi SIEM (Security Information and Event Management) di classe enterprise.

Metodologia
Il framework proposto opera attraverso quattro livelli di elaborazione per rilevare il ransomware interamente dal traffico criptato senza decrittazione del payload:

1. Cattura dei Dati: Zeek v8.0.5 cattura i metadati delle connessioni dal traffico criptato live in modalità promiscuous.
2. Estrazione delle Caratteristiche: Una pipeline personalizzata estrae 23 caratteristiche comportamentali a livello di flusso da conn.log, ssl.log e dns.log. Queste caratteristiche includono metriche temporali (durata, intervallo tra gli arrivi), volumi (rapporti byte/pacchetti), stati comportamentali (cronologia della connessione, protocollo) e attributi TLS (cipher suite, server names). Le caratteristiche categoriche vengono sottoposte a label encoding, mentre le caratteristiche numeriche vengono normalizzate.
3. Motore di Rilevamento: Il nucleo utilizza un'architettura a doppia memoria a lungo termine bidirezionale (Bidirectional Long Short-Term Memory - BiLSTM) potenziata dal transfer learning.
   • Modello V1: Addestrato su famiglie storiche del 2017 (Cerber, Locky).
   • Modello V2: Addestrato su famiglie moderne del 2019–2021 (Ryuk, REvil, Maze, Phobos, ecc.).
   • Architettura: Entrambi i modelli condividono una base di strati di estrazione delle caratteristiche riutilizzabili (strati BiLSTM da 128 e 64 unità) seguiti da strati densi specifici per il compito.
4. Votazione Ensemble: Un sistema di votazione gerarchico basato sulla confidenza combina le predizioni di V1 e V2. Esso privilegia il richiamo (recall) rispetto alla precisione, classificando il traffico come "Critico", "Alto", "Sospetto" o "Normale" in base a specifici intervalli di confidenza.
5. Apprendimento Continuo: Una pipeline autonoma raccoglie il feedback degli analisti dal SIEM, innesca il riaddestramento quando vengono raccolti 1.000 nuovi campioni etichettati o trascorrono 90 giorni, e valida i nuovi modelli rispetto a gate di qualità (accuratezza, precisione, richiamo, F1-score) prima del deployment a tempo zero.
6. Integrazione: Il sistema si integra con il Wazuh SIEM (v4.7), mappando i rilevamenti sul framework MITRE ATT&CK T1486 (Comunicazione Criptata) con regole di rilevamento personalizzate.

Contributi Chiave

• Misurazione Empirica della Degradazione Temporale: Questo lavoro fornisce la prima quantificazione del drift del modello nel rilevamento del ransomware. Stabilisce che i rilevatori basati su ML degradano a un tasso del 3,97% di accuratezza all'anno.
• Efficienza del Transfer Learning: Il framework raggiunge un'accuratezza del 95,15% sul traffico storico criptato utilizzando solo 3.627 flussi di addestramento, dimostrando un'alta efficienza di campionamento in ambienti di sicurezza con scarsità di dati.
• Analisi del Fallimento Cross-Generazionale: Lo studio rivela che i modelli storici applicati a minacce moderne operano a livelli quasi casuali (43% di accuratezza), confermando una "specializzazione temporale catastrofica". Al contrario, i modelli moderni mantengono una certa capacità sui dati storici (62,5%), indicando un'asimmetria direzionale nel transfer temporale.
• Integrazione Operativa SIEM: Il framework è validato attraverso la piena integrazione con Wazuh, superando 19/19 test end-to-end con una latenza inferiore a 2,5 secondi e mappatura su MITRE ATT&CK T1486.
• Adattamento Autonomo: Il proposto framework di apprendimento continuo riduce il ciclo di adattamento da 3–6 mesi (manuale) a 1–3 mesi attraverso feedback automatizzato e riaddestramento.

Risultati

• Modello V1 (Storico): Ha raggiunto il 95,15% di accuratezza, il 98,53% di precisione e il 94,08% di richiamo sul dataset del 2017.
• Modello V2 (Moderno): Ha raggiunto il 79,29% di accuratezza e il 64,35% di richiamo sul dataset 2019–2021. Il calo significativo del richiamo (un declino del 29,73%) indica che le tecniche di evasione moderne (es. attacchi a basso volume e bassa velocità, fingerprint TLS plausibili) sono sempre più difficili da rilevare.
• Performance dell'Ensemble: Il sistema combinato ha raggiunto un richiamo del 96,67% su 800 campioni misti, identificando con successo il 96,67% delle istanze ransomware, sebbene l'accuratezza complessiva si sia assestata al 67,25% a causa dell'incompatibilità di pre-elaborazione tra gli spazi delle caratteristiche dei due modelli.
• Latenza: La latenza di rilevamento end-to-end è stata mediamente <2,5 secondi, con tempi di inferenza della CPU di 650ms (V1) e 720ms (V2).

Significatività e Rivendicazioni
Il documento afferma che il principale contributo scientifico è la prima quantificazione empirica della degradazione temporale nel rilevamento del ransomware. Gli autori sostengono che il pattern di degradazione asimmetrica — dove la precisione rimane stabile ma il richiamo crolla — richiede uno spostamento dei KPI (Key Performance Indicators) operativi dalla accuratezza al monitoraggio del richiamo (recall).

I risultati stabiliscono che il riaddestramento sistematico ogni 12–18 mesi è un requisito operativo non opzionale per una protezione sostenuta. Il lavoro conclude che, sebbene il deep learning offra una via percorribile per l'analisi del traffico criptato, la "emivita" di questi modelli è breve e le pipeline di apprendimento continuo autonomo sono essenziali per mantenere la copertura di sicurezza contro le evoluzioni delle famiglie di ransomware. L'opera valida che un rilevamento ad alte prestazioni è realizzabile senza decrittazione del payload, a condizione che la manutenzione temporale e l'integrazione SIEM siano trattate come componenti core dell'infrastruttura piuttosto che come elementi secondari.