📄 other

Mathematical Modelling of Cybersecuritythreat Dynamics Using a Compartmental approach

Questo articolo presenta un modello matematico compartimentale per la propagazione di attacchi informatici sulle reti informatiche, dimostrandone la stabilità e conducendo analisi di sensibilità e di biforcazione per dimostrare che i tassi di trasmissione sono il fattore dominante nella diffusione dei malware, mentre meccanismi di recupero e di controllo robusti possono mitigare efficacemente le infezioni.

Autori originali: Imtiaz Ahmad, Mehwish Zada, Laila Noor, Ebenezer Bonyah, Sapna Ajmal, Sehra Khan

Pubblicato 2026-07-24

📖 8 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Imtiaz Ahmad, Mehwish Zada, Laila Noor, Ebenezer Bonyah, Sapna Ajmal, Sehra Khan

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate Internet non come una nuvola di dati, ma come una città invisibile e frenetica dove milioni di computer vivono, parlano e scambiano informazioni. Proprio come una città piena di persone, questa metropoli digitale può ammalarsi. Quando un virus informatico o un software malevolo (malware) trova una via d'accesso, non resta lì fermo; si diffonde, infettando i vicini e trasformandoli in nuovi vettori della malattia. Questo è il mondo della cybersecurity, un campo dedicato a mantenere sicura la nostra città digitale. Per anni, gli scienziati hanno cercato di prevedere questi focolai usando i "modelli compartimentali", che sono fondamentalmente mappe sofisticate che classificano i computer in diversi gruppi: quelli sani, quelli malati ma che lo nascondono, quelli che diffondono attivamente il virus e quelli che sono stati guariti o distrutti. Sebbene queste mappe siano utili, le vecchie spesso tralasciavano alcune delle parti più subdole del gioco, come la fase di "latenza", in cui un computer è infetto ma non ha ancora iniziato ad attaccare, o il ruolo specifico di un computer che è stato dirottato per lanciare attacchi organizzati.

In questo nuovo studio, un team di ricercatori provenienti da università del Pakistan, del Ghana, dell'Azerbaigian e della Turchia ha costruito una mappa stradale più dettagliata, a sei corsie, di come si propagano gli attacchi informatici. Chiamano il loro modello "SEAMRD", che sta per Susceptible (Suscettibile), Exposed (Esposto), Malicious (Malizioso), Attacker (Attaccante), Recovered (Guarito) e Dead (Morto). Pensatelo come un gioco di "acchiapparella" digitale con sei ruoli distinti. Un computer inizia come Susceptible (sano ma vulnerabile). Viene "toccato" e diventa Exposed (infetto ma in attesa, come un agente dormiente). Poi si risveglia come Malicious (infetto e in fase di diffusione). Alcuni si risvegliano in modo ancora più aggressivo come Attacker (attivamente impegnati a lanciare nuovi attacchi). La buona notizia è che alcuni vengono Recovered (riparati e messi in sicurezza), mentre lo scenario peggiore è che diventano Dead (permanentemente danneggiati e rimossi dalla rete). I ricercatori hanno utilizzato una matematica complessa per simulare l'interazione tra questi gruppi, calcolando un "numero di propagazione" (chiamato $R_0$ ) che indica quanto sia probabile che un focolaio prenda il controllo dell'intera rete. Le loro simulazioni suggeriscono che la velocità con cui il virus si diffonde è il principale motore di un focolaio, ma che sistemi di recupero forti e la "consapevolezza" (come migliori aggiornamenti di sicurezza) possono agire come uno scudo, rallentando la diffusione e potenzialmente fermando l'epidemia prima che prenda piede.

La Città Digitale e le sue Sei Zone

Per capire cosa hanno fatto questi ricercatori, percorriamo la loro città digitale. Nel mondo reale, se prendi un raffreddore, potresti stare bene per alcuni giorni prima di iniziare a starnutire su tutti. Nel mondo dei computer, questo è chiamato la fase "Exposed". Un computer è stato colpito da un virus, ma non lo sta ancora diffondendo. I vecchi modelli spesso saltavano questo passaggio o lo accorpavano alla fase "malata". Ma questo team ha capito che nel mondo informatico, la differenza tra un virus dormiente e uno attivo è enorme.

Hanno diviso ogni computer nella loro rete in sei contenitori:

Susceptible (S): Questi sono i computer sani, aperti e pronti per essere infettati. Sono la popolazione "non infetta".
Exposed (E): Questi computer sono stati colpiti da un virus ma si trovano in uno stato "latente" o dormiente. Sono infetti ma non stanno ancora diffondendo il virus. È come un computer che ha scaricato un file virale ma non lo ha ancora eseguito.
Malicious (M): Ora il virus è sveglio. Questi computer sono infetti e stanno attivamente diffondendo il malware agli altri.
Attacker (A): Questa è la parte spaventosa. Alcuni computer infetti non si limitano a diffondere il virus; diventano "zombie" usati per lanciare attacchi organizzati e aggressivi su altri sistemi. I ricercatori hanno trattato questi come un gruppo separato e altamente pericoloso.
Recovered (R): Questi sono i computer che sono stati puliti, patchati e messi in sicurezza. Sono tornati in gioco, al sicuro dal virus attuale.
Dead (D): A volte, un virus è così distruttivo da far crashare il sistema permanentemente. Questi computer sono "morti": sono rimossi dalla rete e non possono più essere infettati né infettare altri.

La Matematica dietro la Follia

I ricercatori non si sono limitati a indovinare come interagiscono questi gruppi; hanno scritto un insieme di equazioni (un sistema di equazioni differenziali non lineari) per descrivere il flusso di computer tra questi sei stati. Immaginate un sistema di serbatoi d'acqua dove l'acqua scorre da un serbatoio all'altro. Il serbatoio "Susceptible" perde acqua verso il serbatoio "Exposed" quando un virus colpisce. Il serbatoio "Exposed" si svuota nel serbatoio "Malicious" quando il virus si risveglia. Il serbatoio "Malicious" può svuotarsi nel serbatoio "Attacker", nel serbatoio "Recovered" o nel serbatoio "Dead".

Una delle cose più importanti che hanno calcolato è chiamata $R_0$ (il numero di propagazione di base). In termini semplici, $R_0$ è un punteggio che vi dice: "Se un computer infetto entra in una rete di computer sani, quanti nuovi computer infetterà in media?".

Se $R_0$ è inferiore a 1, il virus alla fine morirà. È come un incendio che non ha abbastanza combustibile per continuare a bruciare.
Se $R_0$ è superiore a 1, il virus si diffonderà esponenzialmente, causando un'epidemia.

Il team ha utilizzato un metodo chiamato "matrice del next-generation" per calcolare questo punteggio per il loro specifico modello SEAMRD. Hanno scoperto che il tasso di trasmissione (quanto facilmente il virus salta da un computer all'altro) è il fattore più dominante. Se il virus si diffonde facilmente, $R_0$ schizza verso l'alto. Tuttavia, hanno anche scoperto che aumentare il "tasso di recupero" (quanto velocemente patchiamo e sistemiamo i computer) e il "tasso di consapevolezza" (quanto velocemente rileviamo e fermiamo l'attacco) può abbassare $R_0$ .

La Stabilità del Sistema

I ricercatori si sono poi posti una domanda cruciale: "Questo sistema è stabile?". In termini matematici, volevano sapere se la rete sarebbe tornata naturalmente a uno stato sano o se sarebbe rimasta bloccata in uno stato di infezione costante.

Hanno dimostrato due cose principali:

Lo stato "Senza Virus" è stabile (se $R_0 < 1$ ): Se il tasso di trasmissione è sufficientemente basso (ovvero il virus non è molto contagioso o siamo molto bravi a riparare le cose), la rete si assesterà naturalmente in uno stato in cui nessun computer è infetto. Hanno usato uno strumento matematico chiamato "funzione di Lyapunov" per dimostrare che, indipendentemente da come inizia il virus, esso finirà per esaurirsi se $R_0$ è inferiore a 1.
Lo stato "Infetto" è stabile (se $R_0 > 1$ ): Se il virus è troppo forte e $R_0$ è superiore a 1, la rete si assesterà in uno stato in cui il virus è sempre presente. Non scomparirà da solo. Il sistema raggiungerà un "Equilibrio Malizioso" in cui ci sarà sempre un certo numero di computer infetti, attaccanti e morti.

Cosa fa Vincere o Perdere il Virus?

Per capire quali leve possiamo azionare per fermare un attacco, il team ha eseguito un' "analisi di sensibilità". È come testare quali manopole su una macchina hanno l'effetto maggiore sull'output. Hanno modificato ogni parametro nelle loro equazioni per vedere quanto questo cambiasse il punteggio $R_0$ .

I risultati sono stati chiari:

Il Tasso di Trasmissione ( $\beta$ ): Questo è il grande boss. Se il virus si diffonde più velocemente, l'infezione esplode. Questo parametro ha l'influenza positiva più grande su $R_0$ .
Il Tasso di Recupero ( $\gamma$ ) e il Tasso di Rimozione ( $\delta$ ): Questi sono gli eroi. Se riusciamo a riparare i computer più velocemente (recupero) o a rimuovere quelli guasti dalla rete (rimozione), il punteggio $R_0$ scende significativamente.
La Transizione dell'Attaccante ( $\pi_A$ ): Anche il tasso con cui un computer "Malicious" diventa un "Attacker" è importante. Più gli infetti diventano aggressivi, più è difficile fermare la diffusione.

La Conclusione

Lo studio conclude che, sebbene non possiamo fermare ogni attacco informatico, possiamo controllarne la diffusione. Le simulazioni suggeriscono che se ci concentriamo su sistemi di recupero vigorosi (riparare i computer rapidamente) e meccanismi di controllo adeguati (impedire al virus di diffondersi in primo luogo), possiamo ridurre il numero di infezioni.

I ricercatori non si sono limitati a dire "è una buona idea"; hanno usato una matematica rigorosa per dimostrare che, se riusciamo a mantenere basso il tasso di trasmissione e alto il tasso di recupero, la rete può tornare a uno stato sicuro e privo di virus. Tuttavia, se il virus è troppo forte ( $R_0 > 1$ ), la rete rimarrà in uno stato di battaglia costante. La chiave, hanno scoperto, è capire che non tutti i computer infetti sono uguali. Alcuni sono solo dormienti, altri stanno diffondendo il virus e altri stanno attaccando attivamente. Trattandoli in modo diverso nelle nostre strategie di difesa, possiamo costruire una città digitale più resiliente.

In definitiva, questo articolo è un progetto per una difesa più intelligente. Ci dice che, riconoscendo le diverse fasi di un attacco informatico e reagendo con la giusta velocità, possiamo spostare l'ago della bilancia a nostro favore, trasformando un potenziale apocalisse digitale in un evento gestibile e contenuto. La matematica dice: se patchiamo velocemente e diffondiamo la consapevolezza, il virus perde.

Sintesi Tecnica: Modellazione Matematica della Dinamica delle Minacce Cibernetiche mediante un Approccio Compartimentale

Definizione del Problema
In una società sempre più interconnessa, l'espansione esponenziale di Internet, del cloud computing e dei dispositivi IoT ha ampliato significativamente la superficie di attacco per le minacce cibernetiche, che spaziano da virus e worm fino a ransomware e strategie APT. Le misure di cybersicurezza esistenti, come i firewall e i sistemi di rilevamento delle intrusioni, sono spesso reattive e non riescono ad affrontare la natura adattiva degli attacchi moderni o i meccanismi di propagazione sottostanti. Inoltre, i modelli epidemiologici tradizionali (ad esempio, SI, SIS, SIR) adattati alle reti informatiche spesso mancano della granularità necessaria per rappresentare fasi critiche specifiche del settore cyber, come la latenza (dormienza), la riattivazione organizzata e la distinzione tra infezione passiva e propagazione attiva. Di conseguenza, vi è la necessità di un modello compartimentale esteso che catturi queste fasi latenti e fornisca un rigoroso ragionamento sulle soglie per determinare se si verificherà un'epidemia cyber su larga scala.

Metodologia
Gli autori propongono un nuovo modello compartimentale, denominato modello SEAMRD, derivato dai principi epidemiologici ma adattato alle dinamiche specifiche degli attacchi cyber. La popolazione totale della rete è suddivisa in sei distinti compartimenti:

Suscettibili (S): Nodi esposti ad attacchi.
Esposti (E): Nodi che hanno incontrato una minaccia ma rimangono latenti/dormienti.
Maligni (M): Nodi infetti capaci di diffondere malware ma non ancora in fase di attacco attivo.
Attaccanti (A): Nodi che propagano attivamente l'attacco (altamente infettivi).
Guariti (R): Sistemi messi in sicurezza o riparati.
Morti (D): Sistemi permanentemente compromessi o non funzionanti.

Le dinamiche sono governate da un sistema di equazioni differenziali non lineari. La forza di infezione, $\lambda(t)$ , è definita come una funzione del tasso di trasmissione e della probabilità di diffusione da parte di nodi Maligni, Attaccanti e non autorizzati.

Lo studio impiega le seguenti tecniche analitiche:

Analisi della ben-posedness (ben posta): Dimostrare la positività, l'accatastabilità, l'esistenza e l'unicità delle soluzioni per garantire che il modello sia matematicamente e biologicamente valido.
Analisi dell'equilibrio: Derivare l'Equilibrio Privo di Malware (MFE) e l'Equilibrio Maligno (ME).
Numero di Propagazione di Base ( $R_0$ ): Calcolare $R_0$ utilizzando il metodo della Matrice della Prossima Generazione (Next Generation Matrix) per determinare la soglia di persistenza dell'epidemia.
Analisi della stabilità: Condurre sia l'analisi di stabilità locale (tramite matrici Jacobiane e criteri di Routh-Hurwitz) che l'analisi di stabilità globale (utilizzando funzioni di Lyapunov e il Principio di Invarianza di LaSalle).
Analisi di sensibilità: Calcolare gli indici di sensibilità direzionale normalizzati per identificare quali parametri influenzano maggiormente $R_0$ .
Simulazione numerica: Eseguire l'analisi di biforcazione e simulazioni per visualizzare il comportamento del sistema al variare dei parametri.

Contributi Chiave

Estensione del Modello: Il documento introduce un modello a sei compartimenti che separa esplicitamente la fase "Esposta" (latente) dalle fasi "Maligna" e "Attaccante", affrontando una lacuna nei modelli precedenti che spesso confondevano l'infezione passiva con la propagazione attiva.
Rigore della Dimostrazione Matematica: Gli autori forniscono prove complete per la ben-posedness del modello e stabiliscono le condizioni per la stabilità sia locale che globale dei punti di equilibrio.
Determinazione della Soglia: La derivazione di $R_0$ offre una soglia quantitativa per prevedere se un attacco cyber si esaurirà ( $R_0 < 1$ ) o persisterà ( $R_0 > 1$ ) all'interno della rete.
Sensibilità dei Parametri: L'analisi di sensibilità identifica il tasso di trasmissione ( $\beta$ ) come il fattore dominante nella propagazione del malware, evidenziando al contempo che i tassi di guarigione ( $\gamma$ ) e i parametri di rimozione giocano ruoli critici nel ridurre la diffusione dell'infezione.

Risultati

Condizioni di Stabilità: Si dimostra che l'Equilibrio Privo di Malware (MFE) è localmente e globalmente asintoticamente stabile se $R_0 < 1$ . Al contrario, se $R_0 > 1$ , l'MFE diventa instabile e il sistema converge verso un Equilibrio Maligno (ME), indicando un'epidemia cyber persistente.
Influenza dei Parametri: I grafici di superficie e gli indici di sensibilità rivelano che $R_0$ aumenta con tassi di trasmissione più elevati ( $\beta$ ) e diminuisce con tassi di consapevolezza più elevati ( $\pi_A$ ), tassi di rimozione naturale ( $\mu$ ) e tassi di guarigione ( $\gamma$ ).
Implicazioni per il Controllo: L'analisi dimostra che sistemi di guarigione vigorosi e meccanismi di controllo appropriati possono ridurre efficacemente la diffusione degli attacchi. Nello specifico, l'aumento del tasso con cui i nodi infetti vengono guariti o rimossi si dimostra una strategia valida per il contenimento.

Significatività
Il documento afferma che la sua primaria significatività risiede nel fornire un quadro teorico e suggerimenti analitici per guidare la progettazione di strategie di contromisura di cybersicurezza efficaci. Generalizzando la dinamica di propagazione dei virus per includere la gestione affiancata ai modelli di malattie epidemiche, lo studio offre una rappresentazione più realistica della propagazione delle minacce cyber. L'identificazione di $R_0$ e la sensibilità di specifici parametri (particolarmente i tassi di trasmissione e di guarigione) consentono agli amministratori di rete di comprendere i parametri soglia necessari per controllare i focolai, passando dalla gestione reattiva dei sintomi a una difesa proattiva basata sui meccanismi. Il modello funge da strumento per stimare la scala potenziale di un attacco e valutare l'efficacia di diverse strategie di intervento prima che vengano implementate nelle reti reali.