Boundary-Based Stability Monitoring of DDoS-Induced Structural Stress in Networked Systems

Sintesi Tecnica: Monitoraggio della Stabilità Basato sui Confini dello Stress Strutturale Indotto da DDoS in Sistemi di Rete

Definizione del Problema
I sistemi tradizionali di monitoraggio del traffico di rete e di rilevamento delle anomalie spesso si affidano a test statistici, regole di classificazione o soglie fisse per identificare attività malevole. Sebbene efficaci nel individuare outlier evidenti, questi metodi faticano a quantificare il grado di instabilità o a spiegare come le distribuzioni del traffico transitino da uno stato stabile e benigno verso uno instabile. Essi trattano tipicamente l'instabilità come un evento binario (normale vs attacco) piuttosto che come un degrado strutturale continuo. Di conseguenza, non riescono a fornire allarmi precoci quando il traffico presenta sottili variazioni nella temporizzazione, nella dispersione o nelle caratteristiche dei pacchetti che precedono un collasso DDoS su larga scala. Il documento affronta la necessità di un quadro matematico che caratterizzi la stabilità strutturale del traffico di rete e misuri la distanza dello stato corrente da un definito "dominio di stabilità".

Metodologia
Il quadro proposto modella il traffico di rete come uno stato multivariato normalizzato all'interno di uno spazio delle caratteristiche, rispetto a un regime di riferimento benigno. La metodologia consiste in quattro componenti matematiche fondamentali:

1. Rappresentazione dello Stato Normalizzato: Le finestre di traffico sono rappresentate da un vettore di caratteristiche $X$. Questo viene normalizzato rispetto a una baseline $(\mu, \sigma)$ derivata dal traffico benigno per produrre un vettore di stato $Z$, dove $Z=0$ rappresenta il regime di base.
2. Operatore di Distorsione ($\mathcal{D}$): Per catturare deviazioni strutturali che vanno oltre i semplici spostamenti della media, viene definito un operatore di distorsione. Esso misura tre componenti specifiche per ogni caratteristica:
   • Spostamento dalla media di base.
   • Inflazione o contrazione relativa della varianza.
   • Amplificazione della scala superiore (valori massimi) rispetto alla base.
     L'entità globale della distorsione $D(Z)$ è definita come il massimo di queste distorsioni componente per componente attraverso tutte le caratteristiche, garantendo che la metrica sia guidata dalla caratteristica più deviante piuttosto che da una media.
3. Funzionale di Stabilità ($\mathcal{F}$): Un funzionale di stabilità è costruito per quantificare la distanza dal dominio di stabilità. Esso combina lo spostamento euclideo globale ($\|Z\|_2$) e l'entità della distorsione ($D(Z)$) tramite un parametro di bilanciamento scalare $\lambda$:
   $$\mathcal{F}(Z) = \|Z\|_2 + \lambda D(Z)$$
   Si dimostra che questo funzionale è non negativo e monotono rispetto alle perturbazioni strutturali.
4. Dominio di Stabilità e Confine: Una soglia $c$ (derivata dal traffico benigno) definisce il dominio di stabilità $\mathcal{M}$ dove $\mathcal{F}(Z) \leq c$. Il confine $\partial\mathcal{M}$ rappresenta la frontiera critica, e la regione in cui $\mathcal{F}(Z) > c$ è definita come regione di collasso. Il quadro introduce un Indice di Stress (SI) e un Funzionale di Rilevamento ($\Psi$) per normalizzare questi valori, fornendo una misura continua di prossimità all'instabilità.
5. Contributo per Caratteristica: Un operatore di contributo $\Theta(Z)$ è definito per identificare quali specifiche caratteristiche (ad esempio, temporizzazione dei pacchetti, attività dei flussi) sono responsabili dello stress strutturale dominante, offrendo interpretabilità senza richiedere l'aggregazione di classificatori.

Contributi Chiave
Il documento apporta i seguenti contributi specifici:

• Formulazione del Dominio di Stabilità: Sviluppa un nuovo quadro matematico che tratta le finestre di traffico come stati multivariati normalizzati, definendo un formale dominio di stabilità per le operazioni benigne anziché affidarsi a etichette di classe discrete.
• Funzionali di Distorsione e Stabilità: Introduce un operatore di distorsione e un funzionale di stabilità che misurano la distanza dall'instabilità strutturale. Queste metriche permettono spiegazioni a livello di caratteristica e interpretazioni del confine di collasso senza dipendere dall'aggregazione basata sull'entropia o da classificatori di machine learning.
• Dimostrazioni Teoriche: Lo studio dimostra analiticamente che il funzionale proposto soddisfa non negatività, monotonia e comportamento della caratteristica dominante. Stabilisce un "Teorema di Crescita del Confine", dimostrando che l'instabilità viene raggiunta attraverso un movimento progressivo verso un confine critico piuttosto che attraverso salti bruschi.
• Validazione Empirica e di Simulazione: Il quadro è validato attraverso esperimenti Monte Carlo con perturbazioni controllate (spostamenti della media, inflazione della varianza, amplificazione della coda) e test empirici su traffico DDoS reale a livello di flusso (dataset CIC-IDS2017).

Risultati

• Simulazione: Gli esperimenti Monte Carlo hanno confermato che il funzionale di stabilità aumenta monotonicamente con l'aumentare delle perturbazioni. L'operatore di distorsione e il funzionale di stabilità hanno mostrato una relazione approssimativamente lineare, a supporto della struttura additiva del modello. Il sistema ha dimostrato robustezza al rumore Gaussiano additivo e ha mantenuto un comportamento coerente attraverso diverse dimensioni campionarie.
• Validazione nel Mondo Reale: Applicato al dataset CIC-IDS2017, il quadro ha mostrato che le finestre di attacco esibivano valori medi significativamente più alti sia per il funzionale di stabilità che per l'operatore di distorsione rispetto alle finestre benigne.
  • La correlazione tra l'operatore di distorsione e il funzionale di stabilità era quasi perfetta (0,998), confermando la relazione additiva teorica nel traffico reale.
  • Il traffico benigno mostrava una maggiore variabilità ed occasionali grandi escursioni, ma il traffico di attacco ha dimostrato una deviazione strutturale più pronunciata e sostenuta.
  • L'analisi per caratteristica ha identificato che le variabili relative all'attività e ai tempi di interarrivo (backward inter-arrival time) erano i principali contributori allo stress strutturale durante gli attacchi.
• Indice di Stress: L'Indice di Stress ha distinto con successo tra la prossimità al confine di stabilità e l'entità della distorsione, fornendo una visione più sfumata dell'instabilità rispetto al solo rilevamento binario.

Significato e Rivendicazioni
Il documento afferma che la sua importanza primaria risiede nello spostamento del paradigma del monitoraggio di rete dal "rilevamento di anomalie" alla "caratterizzazione della stabilità strutturale". Inquadrando l'instabilità come una progressione continua verso un confine di collasso, il quadro offre un sistema di allerta precoce comprensibile. Fornisce uno strumento quantitativo per rilevare l'inizio di un comportamento critico prima che il degrado del servizio diventi visibile a livello di sistema.

L'autore sottolinea che questo non è semplicemente un altro sistema di classificazione, ma un quadro matematico per il monitoraggio strutturale. Permette agli operatori di capire quanto siano vicini all'instabilità e quali caratteristiche stiano guidando tale stress. Lo studio conclude che, sebbene l'attuale lavoro si basi su un'analisi offline, la formulazione a livello di finestra è adatta al calcolo sequenziale, ponendo le basi per futuri sistemi di monitoraggio in tempo reale che misurano la prossimità all'instabilità piuttosto che affidarsi esclusivamente a risultati di rilevamento discreti. L'autore nota con modestia alcune limitazioni, tra cui la dipendenza da una baseline fissa e la necessità di futuri lavori su baseline adattive e dati in streaming in tempo reale.