💻 computer science

An Explainable AI Audit of Temporal Signatures in Botnetand Multi-Vector Cyber-Attacks

Questo articolo dimostra che, sebbene i rilevatori di intrusioni basati su machine learning ad alta precisione esibiscano una debole trasferibilità cross-dominio a causa delle distinte firme temporali per gli attacchi botnet e multi-vettore, l'applicazione di un framework di intelligenza artificiale spiegabile multi-metodo identifica con successo un insieme robusto e consensuale di caratteristiche temporali che trasforma i modelli black-box in prove verificabili e trasferibili per un rilevamento delle intrusioni affidabile.

Autori originali: Gizachew Teshome Habtamu, Shahzad Ahmed

Pubblicato 2026-08-13

📖 7 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Gizachew Teshome Habtamu, Shahzad Ahmed

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di essere un addetto alla sicurezza in un aeroporto enorme e frenetico. Il tuo compito è individuare i malintenzionati tra milioni di viaggiatori. In passato, le guardie osservavano i volti o controllavano oggetti specifici nelle borse. Ma oggi, i "cattivi" sono così bravi a nascondere i volti e a confezionare le borse che le guardie hanno iniziato a usare robot super intelligenti (Machine Learning) per l'individuazione. Questi robot sono incredibilmente accurati, spesso catturando il 99% dei malintenzionati. Tuttavia, c'è un problema: questi robot sono delle "black box" (scatole nere). Gridano "ALLERTA!", ma non dicono perché. Il robot ha catturato un ladro perché stava correndo? Perché portava una valigia pesante? O si è solo confuso perché indossava un cappello rosso? Se il robot non sa spiegarsi, i team di sicurezza non possono fidarsi di lui e non possono insegnargli a individuare nuovi tipi di problemi.

È qui che entra in gioco un campo chiamato "Explainable AI" (XAI - Intelligenza Artificial true Spiegabile). Pensa alla XAI come a un traduttore che costringe il robot a mostrare i suoi passaggi, proprio come uno studente di matematica che scrive tutti i passaggi durante un compito in classe. La grande domanda che i ricercatori si sono posti è: gli indizi che il robot usa per catturare un certo tipo di criminale (come un gruppo di hacker che lavorano insieme) funzionano anche per catturarne un altro tipo (come un'enorme ondata di traffico falso)? O il robot ha solo memorizzato l'"uniforme" specifica dei criminali su cui si è addestrato? Se il robot conosce solo il cappello rosso, perderà di vista i criminali con il cappello blu. Questo articolo approfondisce questo mistero, testando se gli "indizi" che un robot apprende siano universali o solo specifici del campo di addestramento.

Il Grande Scambio di Detective: Botnet contro Flood

In questo studio, due ricercatori, Gizachew e Shahzad, hanno deciso di sottoporre sette diversi "robot detective" (modelli di machine learning) a un test rigoroso. Volevano vedere se questi robot potessero individuare due tipi molto diversi di cyber-criminali usando solo una minuscola lista di controllo di nove elementi di tipo "temporale".

I Due Villains:

La Botnet: Immagina uno sciame di migliaia di piccoli, stupidi droni (computer infetti) tutti in attesa di un segnale da un maestro. Si muovono in un unisono perfetto e noioso, come una banda che marcia. La loro "firma" è un ritmo rigoroso.
L'Attacco Multi-Vettore: Immagina una folla caotica di diversi malintenzionati. Alcuni lanciano enormi pietre (flood/inondazioni), altri stanno scassinando serrature (scansioni) e altri ancora stanno cercando di indovinare le password (brute force). Sono rumorosi, disordinati e variano in dimensione e velocità.

I Nove Indizi:
Invece di guardare il contenuto dei messaggi (che è spesso criptato o privato), i ricercatori hanno costretto i robot a guardare solo il tempo e la forma del traffico. Hanno fornito loro una lista di controllo di nove elementi:

Quanto è durata la conversazione.
Quanti dati sono stati inviati (volume).
Quanto velocemente sono stati inviati (velocità).
In quale direzione fluivano i dati (direzione).
Quanto erano grandi i singoli "pacchetti" di dati (dimensione del pacchetto).
E soprattutto, gli intervalli di tempo tra i pacchetti (Inter-Arrival Time o IAT).

La Scoperta Scioccante: Regole Diverse per Villain Diversi

I robot sono stati addestrati su questi nove indizi e si sono comportati in modo straordinario, catturando quasi il 100% dei cattivi in entrambi gli scenari. Ma quando i ricercatori hanno chiesto ai robot di spiegare come li avessero catturati, i risultati sono stati sbalorditivi.

La Cattura della Botnet:
Quando i robot hanno catturato la Botnet (i droni che marciano), si sono basati quasi interamente sul tempo. Hanno guardato gli intervalli tra i messaggi. Poiché i droni si muovono con un ritmo perfetto, gli intervalli di tempo erano incredibilmente regolari. I robot hanno detto: "Aha! Il tempo tra questi messaggi è troppo perfetto! È una bot!" In effetti, per i rilevatori di botnet, gli indizi temporali erano così importanti che se avessi rimescolato il tempo, la capacità del robot di catturare i cattivi sarebbe scesa quasi a zero.

La Cattura del Multi-Vettore:
Quando i robot hanno catturato la folla caotica (le inondazioni e le scansioni), hanno ignorato quasi completamente il tempo. Invece, si sono concentrati su dimensione e volume. Hanno detto: "Guardate questo! I pacchetti sono tutti della stessa strana dimensione" oppure "Questa persona sta inviando troppi dati in una sola direzione!". Il tempo non contava molto perché la folla caotica si muoveva a velocità casuali.

La Trappola della "Black Box":
Ecco il risultato più critico: i ricercatori hanno cercato di vedere se gli indizi usati per la Botnet funzionassero per l'attacco Multi-Vettore, e viceversa. Hanno fatto un controllo matematico per vedere se l' "importanza" degli indizi corrispondes alle due tipologie. Il risultato? Non corrispondevano affatto. La correlazione era praticamente nulla (0,01).

Questo significa che se prendi un robot addestrato a individuare le Botnet e gli dici di cercare i Flood, probabilmente fallirà perché sta cercando gli indizi sbagliati. È come insegnare a un cane a riportare una pallina, e poi aspettarsi che prenda un frisbee solo perché hai usato la stessa parola "porta". Il documento esclude esplicitamente l'idea che tu possa semplicemente fare un copia-incolla di una dashboard di "importanza delle caratteristiche" da un sistema di sicurezza all'altro e aspettarti che funzioni. Gli indizi sono specifici del dominio.

Il Lato Positivo: Gli Indizi "Robusti"

Quindi, tutta la speranza è perduta? Abbiamo bisogno di un robot diverso per ogni tipo di attacco? Non proprio. I ricercatori hanno usato un trucco intelligente per trovare il "terreno comune". Hanno chiesto: "Qual è l l'indizio meno importante per entrambi i tipi di attacco?" No, aspetta — hanno chiesto l'opposto: "Quali indizi sono ancora importanti anche se prendiamo il punteggio minimo tra i due mondi?"

Guardando agli indizi che sono sopravvissuti al test più duro (essendo importanti sia nel mondo della Botnet che in quello del Flood), hanno trovato un "Insieme di Consenso" di tre firme super robuste:

Variabilità del Tempo: Quanto cambiano gli intervalli di tempo (non solo il tempo medio).
Rapporto Byte Sorgente: L'equilibrio tra quanti dati vengono inviati rispetto a quanti vengono ricevuti.
Dimensione Media del Pacchetto: La dimensione tipica dei blocchi di dati.

Questi tre indizi sono le "chiavi universali". Sono difficili da falsificare per un malintenzionato. Se una botnet prova a manipolare il proprio tempo per nascondersi, rovina il proprio ritmo. Se un attaccante di flood prova a cambiare le dimensioni dei pacchetti per nascondersi, potrebbe rompere il proprio schema di inondazione.

Cosa Significa per Te

Il documento conclude che, sebbene i robot "black box" siano bravissimi a catturare i malintenzionati, non possiamo fidarci ciecamente di loro. Dobbiamo usare l'IA Spiegabile (XAI) per sbirciare all'interno e vedere cosa stanno effettivamente guardando.

Lo studio dimostra che:

Il Tempo è il Re per le Bot: Se vuoi catturare una botnet, guarda l'orologio.
La Dimensione è il Re per i Flood: Se vuoi catturare un flood, guarda il volume.
Non Copiare-Incollare: Non puoi dare per scontato che un robot addestrato su un tipo di attacco sappia come individuare un altro tipo solo perché è intelligente.
La Scommessa Sicura: Se vuoi un sistema di sicurezza che funzioni ovunque, concentrati sui tre indizi di "Consenso" (variabilità temporale, bilancio dei dati e dimensione dei pacchetti).

I ricercatori avvertono con cautela che questi risultati si basano su dataset specifici (CIC-IDS2017 e CTU-13), che sono come simulazioni di addestramento. Sebbene i robot abbiano performato perfettamente in questi test (accuratezza superiore al 99%), il mondo reale è più disordinato. Tuttavia, il metodo che hanno utilizzato — forzare i robot a spiegarsi e trovare gli indizi che sopravvivono attraverso mondi diversi — ci offre un nuovo modo affidabile per costruire sistemi di sicurezza che non si limitano a indovinare, ma comprendono davvero ciò che stanno vedendo.

Sintesi Tecnica: Un Audit di IA Spiegabile sulle Firme Temporali in Attacchi Botnet e Multi-Vettore

Definizione del Problema

Sebbene i sistemi di rilevamento delle intrusioni (IDS) basati sul Machine Learning (ML) raggiungano un'elevata accuratezza su dataset di benchmark, essi funzionano come "black box", offrendo scarse intuizioni sulle evidenze che guidano le loro previsioni. Questa opacità impedisce agli analisti dei Security Operations Centre (SOC) di sottoporre i modelli ad audit per l'apprendimento di scorciatoie (es. affidamento su specifici numeri di porta) o di giustificare le risposte automatizzate agli stakeholder. Inoltre, un'elevata accuratezza all'interno di un dataset non garantisce la generalizzabilità; i modelli spesso falliscono quando trasferiti in diversi ambienti di rete. Esiste una lacuna critica nel comprendere se le caratteristiche identificate come importanti dalle tecniche di Explainable AI (XAI) costituiscano firme temporali robuste e trasferibili tra distinti domini di attacco, specificamente tra il traffico botnet (caratterizzato da un comando e controllo periodico) e il traffico di attacco multi-vettore (caratterizzato da flood volumetrici, scansioni e brute force).

Metodologia

Gli autori propongono un framework XAI a tre livelli per sottoporre ad audit sette diversi classificatori addestrati su uno spazio di caratteristiche temporali armonizzato a nove dimensioni.

1. Dataset e Armonizzazione delle Caratteristiche

Sono stati utilizzati due benchmark eterogenei:

CIC-IDS2017: Contiene traffico di attacco multi-vettore (DoS, DDoS, PortScan, Brute Force, Web Attacks, Bot).
CTU-13: Contiene scenari di traffico botnet reali.

Per consentire un confronto diretto, gli autori hanno progettato una rappresentazione temporale a nove caratteristiche identica, calcolabile da entrambi i dataset, eliminando i payload e gli identificatori specifici della porta per concentrarsi puramente sul comportamento temporale e sul volume:

duration_s, total_bytes, total_packets
bytes_per_s, packets_per_s
src_bytes_ratio (direzionalità)
avg_packet_size
iat_mean_s (media dell'Inter-Arrival Time)
iat_std_s (deviazione standard dell'Inter-Arrival Time)

2. Addestramento dei Modelli

Sette classificatori che spaziano in quattro paradigmi di apprendimento sono stati addestrati su entrambi i dataset utilizzando le caratteristiche temporali armonizzate:

Tree Ensembles: Random Forest (RF), AdaBoost (ADA), LightGBM.
Deep Learning: Deep Neural Network (DNN), Multilayer Perceptron (MLP).
Distanza/Kernel: k-Nearest Neighbors (KNN), RBF-kernel SVM.

3. Protocollo di Explainable AI (XAI)

Tre metodi di attribuzione indipendenti sono stati applicati per sottoporre ad audit i modelli:

SHAP (SHapley Additive exPlanations): Utilizzato con TreeExplainer per i modelli ad albero e Kernel/GradientExplainer per gli altri.
LIME (Local Interpretable Model-agnostic Explanations): Surrogati lineari locali sparsi.
Permutation Importance: Misurazione del calo dell'AUC-ROC quando le caratteristiche vengono rimescolate.

4. Analisi della Robustezza

Per identificare le firme trasferibili, gli autori hanno impiegato una metodologia di consenso del pavimento di robustezza (consensus robustness-floor). Questa consisteva nel:

Calcolare le correlazioni di rango di Spearman ( $\rho$ ) tra i dataset per testare se le classifiche di importanza delle caratteristiche siano trasferibili.
Calcolare un "pavimento di robustezza" per ogni caratteristica prendendo l'importanza minima normalizzata attraverso entrambi i dataset, tutti gli algoritmi e tutti i metodi XAI. Le caratteristiche con punteggi minimi elevati sono considerate firme robuste.

Risultati Chiave

1. Prestazioni di Rilevamento

Utilizzando solo le nove caratteristiche temporali, sei dei sette classificatori hanno raggiunto un ROC-AUC $\ge$ 0.99 su entrambi i dataset.

I tree ensembles (RF, ADA, LightGBM) hanno ottenuto punteggi quasi perfetti (1.000) su CTU-13.
La riduzione da circa 78 caratteristiche native a 9 caratteristiche temporali ha comportato una perdita di prestazione trascurabile (<0.005 AUC) per i modelli non-kernel, dimostrando che il tempo comportamentale è sufficiente per il rilevamento senza ispezione del payload.

2. Importanza delle Caratteristiche Divergente

L'analisi XAI ha rivelato una netta dicotomia in ciò su cui i modelli si basano per diversi tipi di attacco:

Attacchi Multi-Vettore (CIC-IDS2017): Il rilevamento è dominato da evidenze volumetriche e della dimensione dei pacchetti (es. avg_packet_size, src_bytes_ratio). Questi attacchi manipolano le dimensioni dei pacchetti ed esibiscono flussi di traffico asimmetrici.
Botnet (CTU-13): Il rilevamento è esposto quasi interamente dalla regolarità dell'Inter-Arrival-Time (IAT) (iat_mean_s, iat_std_s). Il beaconing del comando e controllo delle botnet crea pattern temporali a bassa varianza.
Correlazione Cross-Dataset: Le classifiche globali di importanza delle caratteristiche non si trasferiscono tra i domini. La correlazione media di rango di Spearman ( $\rho$ ) attraverso 21 coppie algoritmo-metodo è stata di +0.01, con 9 coppie che mostrano una correlazione negativa. Una classificazione delle caratteristiche valida per le botnet è spesso fuorviante per gli attacchi multi-vettore.

3. Firme Consenso Robuste

Applicando la metodologia del "pavimento di robustezza" (prendendo l'importanza minima tra i domini), gli autori hanno distillato un insieme di firme che rimangono informative in entrambi i contesti:

Deviazione Standard dell'IAT (iat_std_s): La firma più robusta, critica per le botnet e rilevante per gli attacchi DoS a basso tasso o brute force nei multi-vettore.
Rapporto Byte Sorgente (src_bytes_ratio): Indica asimmetria direzionale.
Dimensione Media del Pacchetto (avg_packet_size): Indica uniformità nella generazione dei pacchetti.

Queste tre caratteristiche sono comportamentalmente difficili da eludere simultaneamente senza degradare la funzionalità dell'attacco (es. iniettare jitter per nascondere le botnet degrada l'affidabilità del C&C; randomizzare le dimensioni dei pacchetti interrompe l'efficienza del flood).

Significato e Rivendicazioni

Il paper sostiene che l'XAI può trasformare i detector black-box in evidenze temporali audibili e trasferibili. I contributi primari sono:

Validazione della Sufficienza Temporale: Dimostrare che caratteristiche temporali compatte supportano da sole un rilevamento quasi perfetto, consentendo un IDS preservante la privacy e privo di payload, adatto a traffico criptato e ambienti edge con risorse limitate.
Esposizione della Specificità del Dominio: Fornire prove empiriche che l'importanza delle caratteristiche non è universale. Fare affidamento su dashboard di importanza delle caratteristiche da un ambiente (es. un dataset botnet) per un altro (es. un dataset multi-vettore) è statisticamente infondato.
Metodologia per Firme Robuste: Introdurre un approccio di "pavimento di robustezza" per estrarre firme che siano stabili tra algoritmi, metodi di attribuzione e domini di attacco. Questo va oltre la semplice classificazione delle caratteristiche per identificare invarianti comportamentali.
Utilità Operativa: Lo studio suggerisce che l'XAI dovrebbe essere integrata nei cicli MLOps per rilevare artefatti del dataset (come la scorciatoia "Destination Port" identificata nei modelli a caratteristiche complete) e per fornire agli analisti giustificazioni verificabili basate sul comportamento, piuttosto che oscuri punteggi di probabilità.

Gli autori concludono che, sebbene lo studio attuale sia limitato a dati di testbed, le firme di consenso identificate offrono una via fondata verso un rilevamento delle intrusioni affidabile, trasparente e trasferibile.