Behavioral Anomaly Detection and Malicious Service Identification in the Tor Network Using Deep Learning
Questo articolo propone MBRD-Tor, un framework di deep learning a tre stadi che affronta le sfide dell'omogeneizzazione dei protocolli, del rumore di cifratura e del forte squilibrio delle classi nella rete Tor, fondendo firme comportamentali multi-scala, impiegando una stima della qualità basata su ensemble per la pesatura adattiva e utilizzando caratteristiche sintetiche generate da GAN per ottenere prestazioni superiori nel rilevamento di servizi malevoli.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate Internet come una città gigante e frenetica dove tutti sono liberi di camminare, ma alcuni vogliono indossare delle maschere per nascondere il proprio volto. Questa è la rete Tor, uno strumento digitale progettato per proteggere la privacy facendo rimbalzare i messaggi attraverso una serie di tunnel segreti, in modo che nessuno possa vedere chi ha inviato cosa. Tuttavia, proprio come in una vera città, alcuni malintenzionati usano queste maschere per nascondere i propri crimini, inviando comandi segreti a virus o gestendo negozi illegali. Il problema per le guardie di sicurezza della città è che Tor è così bravo nel suo lavoro che fa apparire ogni singolo messaggio esattamente uguale: un blocco di dati uniforme da 512 byte. È come cercare di individuare un borseggiatore in una folla dove tutti indossano lo stesso identico completo grigio, stanno nella stessa identica posa e camminano alla stessa identica velocità. Gli strumenti di sicurezza tradizionali, che di solito cercano differenze di dimensione o forma, sono completamente confusi. Non possono distinguere tra un turista innocuo e un criminale perché gli "uniformi" sono identici. Questo crea un enorme mal di testa per i difensori: devono trovare l'ago sottile di un attacco malevolo nascosto in un pagliaio di miliardi di blocchi dall'aspetto identico, e i cattivi stanno diventando sempre più esperti nel nascondere le proprie tracce.
È qui che entra in gioco un nuovo studio di Amirhossein Saviz, che propone un nuovo modo intelligente per catturare questi criminali digitali senza mai dover sbirciare dentro le loro valigie chiuse a chiave. Il documento presenta un sistema chiamato MBRD-Tor, che agisce meno come una guardia di sicurezza rigida che controlla i documenti d'identità e più come un detective che presta attenzione al ritmo e al comportamento della folla. Invece di cercare di leggere il contenuto dei messaggi (che è criptato ed è impossibile da vedere), il sistema osserva come si muovono i messaggi: quanto velocemente arrivano, in che direzione si dirigono e l'ordine in cui compaiono.
I ricercatori si sono resi conto che anche se i "completi" sono identici, il modo in cui un borseggiatore si muove attraverso una folla è diverso da quello di un normale turista. Un criminale potrebbe inviare un segnale e poi aspettare che torni indietro un pacco grande, creando un pattern specifico. Per catturare questo, il team ha costruito un processo in tre fasi. Per prima cosa, hanno creato un "impronta digitale comportamentale" combinando tempo, posizione e direzione in un unico riassunto compatto del traffico. In secondo luogo, hanno affrontato un problema complicato: nel mondo reale, il traffico malevolo è incredibilmente raro (a volte meno dell'1% di tutto il traffico) e alcuni dei dati sono semplicemente "rumorosi" o disordinati. Per risolvere questo, hanno utilizzato un panel di cinque diversi "giudici" (un ensemble di algoritmi) per votare su quanto ogni pezzo di dato fosse affidabile, dando più peso agli esempi puliti e chiari e ignorando quelli disordinati. Infine, per risolvere il problema di avere troppo poco esempio di traffico malevolo da cui imparare, hanno utilizzato un tipo speciale di IA chiamato Generative Adversarial Network (GAN). Pensate a questo come a un falsario digitale che crea copie perfette e finte di rari pattern criminali, ma solo se un comitato rigoroso di giudici concorda che le copie finte siano indistinguibili da quelle reali. Ciò consente al sistema di imparare che aspetto hanno i criminali senza aver bisogno di milioni di esempi reali.
Quando il team ha testato il loro nuovo sistema su un dataset di traffico Tor reale, i risultati sono stati promettenti. In condizioni normali, dove il traffico malevolo è un po' più comune, il loro sistema ha raggiunto un F1-score (una misura dell'accuratezza complessiva) del 73,70%, che è significativamente migliore dei precedenti metodi migliori. Ma la vera magia è accaduta quando hanno simulato le condizioni estreme di Internet reale, dove il traffico malevolo costituisce solo l'1% del totale. In questo scenario, la maggior parte degli altri sistemi è completamente fallita, portando la loro capacità di catturare i criminali vicino allo zero. Tuttavia, MBRD-Tor ha mantenuto la sua posizione, mantenendo un tasso di recall del 21,1% (la capacità di trovare effettivamente i cattivi) e un F1-score del 33,3%. Lo studio suggerisce che concentrandosi sui sottili ritmi comportamentali dei dati e utilizzando un processo intelligente in più fasi per pulire i dati di addestramento, è possibile individuare l'attività malevola anche quando si nasconde in piena vista tra milioni di blocchi dall'aspetto identico. Gli autori concludono che questo approccio offre un modo robusto e rispettoso della privacy per mantenere sicura la città digitale senza dover rompere la crittografia che protegge la privacy di tutti.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.