SHAP based Hybrid Intrusion Detection Scheme Using ADASYN, Filter Method, and Ensemble Learning for IoT and Computer Network

Nel mondo moderno, le nostre vite digitali sono intrecciate da una vasta e invisibile rete di connessioni. Dai termostati intelligenti nelle nostre case ai robot industriali nei pavimenti delle fabbriche, miliardi di dispositivi comunicano costantemente tra loro. Questa interconnessione, spesso chiamata Internet delle Cose, ha portato incredibili comodità ed efficienza, ma ha anche aperto la porta a nuovi tipi di problemi. Proprio come una città fisica ha bisogno della polizia per sorvegliare la criminalità, queste reti digitali necessitano di una guardia costante e vigilante per individuare l'attività malevola prima che causi danni. Per anni, gli esperti di sicurezza si sono affidati a sistemi automatizzati per monitorare questo traffico, ma questi sistemi operano spesso come una scatola nera: prendono la decisione di far scattare un allarme, ma non possono spiegare il perché. Questa mancanza di trasparenza rende difficile per gli operatori umani fidarsi del sistema o comprendere la natura della minaccia. Inoltre, queste reti raramente sono perfette; spesso contengono molti più esempi di attività normali e sicure di quanti ne contengano di attacchi reali, il che può confondere le guardie automatizzate e causare loro di perdere proprio i pericoli che dovrebbero catturare.

Un team di ricercatori del National Institute of Technology di Patna ha proposto un nuovo modo per costruire queste guardie di sicurezza, uno che combina l'apprendimento automatico ad alta velocità con il ragionamento simile a quello umano. Il loro lavoro si concentra sulla creazione di un sistema che non solo rilevi le intrusioni con un'elevata precisiono, ma che spieghi anche il proprio ragionamento in un modo comprensibile agli esseri umani. Hanno iniziato affrontando il problema dei dati sbilanciati. Nel mondo reale, gli attacchi sono rari rispetto al traffico normale, proprio come trovare una singola banconota contraffatta in una pila di migliaia di banconote autentiche. Per addestrare efficacemente il loro sistema, i ricercatori hanno utilizzato una tecnica che crea esempi sintetici di questi rari attacchi, insegnando essenzialmente al sistema che aspetto abbia una minaccia attraverso la generazione di scenari di pratica realistici. Ciò assicura che il sistema non ignori la classe minoritaria degli eventi pericolosi solo perché sono pochi in numero.

Una volta bilanciati i dati, il team ha affrontato la sfida dell'eccesso di informazioni. Il traffico di rete genera un numero enorme di dettagli, molti dei quali sono ridondanti o irrilevanti. Per filtrare il rumore, hanno applicato un processo di filtraggio che ha identificato i segnali più critici, scartando il resto. Questo passaggio è fondamentale per la velocità e l'efficienza, permettendo al sistema di concentrarsi solo sulle caratteristiche che contano davvero. Hanno poi addestrato il sistema utilizzando un metodo chiamato apprendimento d'insieme (ensemble learning). Invece di affidarsi a un singolo algoritmo per prendere la decisione, hanno combinato i giudizi di diversi modelli. Immaginate un panel di esperti dove ogni membro ha un modo leggermente diverso di guardare un problema; votando insieme, raggiungono una conclusione che è più robusta e affidabile di quella che qualsiasi singolo esperto potrebbe raggiungere da solo. Questo approccio aiuta il sistema a evitare le comuni insidie dell'essere troppo rigido o troppo facilmente influenzato dalle fluttuazioni casuali dei dati.

L'innovazione più significativa di questo lavoro, tuttavia, è l'aggiunta di uno strato di spiegazione. I ricercatori hanno integrato uno strumento che scompone la decisione finale, mostrando esattamente quali pezzi di informazione hanno fatto pendere l'ago della bilancia verso un allarme. Ciò trasforma il sistema da un oracolo misterioso in un partner trasparente. Quando il sistema segnala una potenziale violazione, può indicare fattori specifici, come un modello insolito nei pacchetti di dati o una sequenza temporale strana, consentendo a un operatore umano di verificare rapidamente la minaccia. Il team ha testato il loro approccio su due dataset principali: uno che rappresenta il traffico di rete informatica standard e un altro progettato specificamente per i dispositivi IoT utilizzando un protocollo di comunicazione comune. I risultati sono stati sorprendenti. Il sistema ha raggiunto un tasso di accuratezza di quasi il 99 percento sui dati di rete standard e oltre il 98 percento sui dati IoT. Più importante ancora, ha identificato con successo la stragrande maggioranza degli attacchi reali mantenendo al minimo i falsi allarmi.

I ricercatori hanno anche confrontato il loro metodo con i modelli di sicurezza esistenti e hanno scoperto che il loro approccio ibrido supera costantemente gli altri. Hanno dimostrato che combinare il bilanciamento dei dati, la selezione accurata delle caratteristiche e i modelli di voto multipli crea una difesa più forte rispetto all'uso di una qualsiasi di queste tecniche in isolamento. Forse, cosa più importante, hanno dimostrato che le decisioni del sistema non sono solo statisticamente solide, ma anche interpretabili. Utilizzando un metodo che assegna valori di importanza a diversi punti dati, hanno provato che il sistema prende decisioni basate su schemi logici e identificabili piuttosto che su tentativi casuali. Questo lavoro suggerisce che il futuro della sicurezza di rete non risiede solo nella costruzione di algoritmi più veloci o complessi, ma nella creazione di sistemi che possano collaborare con gli esseri umani, offrendo ragioni chiare per le proprie azioni e adattandosi alle nuove minacce attraverso un ciclo di feedback. Mentre ci muoviamo verso un'era in cui umani e macchine lavorano fianco a fianco, avere un sistema di sicurezza che sia sia potente che comprensibile non è più solo una preferenza tecnica; è una necessità per costruire un mondo digitale resiliente.