Immaginate l'internet come una città enorme e frenetica dove ogni dispositivo sta continuamente gridando richieste per orientarsi. Per decenni, questi grida sono stati come lettere aperte passate tra vicini: chiunque passasse di lì poteva leggerle, rubare i segreti al loro interno o persino falsificare lettere finte per mandare le persone nei posti sbagliati. Per risolvere questo problema, gli ingegneri hanno costruito un "tunnel sicuro" chiamato DNS over HTTPS (DoH). Pensatelo come mettere quelle lettere aperte dentro una scatola d'acciaio chiusa a chiave e indistruttibile, inviandole attraverso un camion speciale che sembra esattamente uguale a un milione di altri camion legittimi. È brillante per la privacy perché nessuno può sbirciare dentro la scatola, ma crea un nuovo problema per le guardie di sicurezza: se un criminale vuole contrabbandare dati rubati fuori dalla città, può semplicemente nasconderli dentro una di queste scatole chiuse a chiave. Le guardie non possono vedere cosa c'è dentro, e la scatola sembra esattamente una consegna normale, il che rende incredibilmente difficile individuare i malintenzionati.

Questa è la sfida affrontata in un nuovo studio dei ricercatori Enas Selem e Rania Salama. Si stanno ponendo una domanda critica: come possiamo catturare i criminali che si nascondono in scatole chiuse a chiave senza rompere le serrature o rallentare la città? Il documento propone un sistema investigativo "ibrido" molto intelligente. Invece di affidarsi a un solo modo per individuare un criminale, combinano un supervisore dall'occhio acuto (un modello di machine learning chiamato XGBoost) con due "rilevatori di anomalie" (Isolation Forest e Local Outlier Factor). Immaginate il supervisore come un poliziotto veterano che sa che aspetto ha un tipico criminale basandosi sui casi passati. I rilevatori di anomalie sono come una coppia di sensori che urlano "Qualcosa è strano qui!" ogni volta che il comportamento di una persona non si adatta al modello dei cittadini onesti e normali, anche se il poliziotto non ha mai visto quel tipo specifico di criminale prima d'ora. I ricercatori hanno testato questa collaborazione contro un enorme dataset di traffico internet, inclusi scenari complicati in cui i criminali utilizzavano strumenti che il sistema non aveva mai visto prima. Hanno scoperto che, sebbene il team ibrido non sempre battesse il veterano in situazioni facili, era incredibilmente efficace nel catturare i criminali subdoli e invisibili che il poliziotto perdeva, riducendo il numero di attacchi mancati di circa il 70% fino al 74% nei test più duri.

La storia del detective ibrido

I ricercatori hanno costruito un sistema che agisce come un posto di blocco per il traffico internet, ma con un tocco particolare. Invece di cercare di leggere le scatole d'acciaio chiuse (il che è impossibile perché sono criptate), il sistema osserva come si muovono le scatole. Osserva la tempistica delle consegne, la dimensione dei pacchi e la frequenza con cui arrivano.

Il cuore della loro invenzione è un team "ibrido". Il protagonista è XGBoost, un potente modello di machine learning che agisce come un detective esperto. Ha studiato migliaia di casi passati e conosce le "firme" specifiche dei cattivi noti. Ma i ricercatori sapevano che se un criminale cambia abito o usa un nuovo trucco, il detective potrebbe confondersi. Così, hanno aggiunto due compagni: Isolation Forest e Local Outlier Factor.

Pensate a questi compagni come a dei "rilevatori di stranezza". Non gli interessa conoscere le firme specifiche dei criminali. Invece, sono addestrati solo su come appaiono i cittadini "normali". Se una persona entra nella stazione comportandosi in modo strano — magari cammina troppo velocemente o il suo pacco ha un peso diverso rispetto a quello di tutti gli altri — questi rilevatori fanno scattare un allarme. Non hanno bisogno di sapere chi sia il criminale; sanno solo che quella persona non si adatta alla folla.

I ricercatori hanno combinato la conoscenza del detective con gli avvisi dei rilevatori di stranezza in una singola lista di "super-caratteristiche". Poi, hanno immesso questa lista nuovamente al detective per prendere la decisione finale. Hanno scelto deliberatamente di non usare un "cervello" di deep learning più complesso (come un autoencoder) perché i loro test hanno dimostrato che rendeva il sistema più lento e complicato senza effettivamente catturare più criminali. Hanno scoperto che il team più semplice e leggero, composto dal detective più i due rilevatori di stranezza, era il perfetto equilibrio.

Il grande test: Catturare l'invisibile

La vera magia di questo articolo non è solo che il sistema funziona; è quanto bene gestisce l'ignoto. I ricercatori hanno sottoposto il loro sistema a una serie di test estenuanti chiamati "Leave-One-Attack-Out". Immaginate un gioco in cui il detective viene addestrato su tre tipi di ladri: quelli che rubano con un piede di porco, quelli con un grimaldello e quelli con un piede di porco fatto di plastica. Ma poi, il test lancia contro di lui un ladro che usa un cacciavite — uno strumento che il detective non ha mai visto prima.

In questi test, i ricercatori hanno anche rimosso il "flag DoH" (un semplice indizio che dice "questa è una scatola chiusa") per rendere il lavoro ancora più difficile. Volevano vedere se il sistema potesse ancora catturare il ladro col cacciavite solo guardando quanto fosse strano il suo comportamento.

I risultati sono stati impressionanti. In ogni singolo uno dei quindici diversi scenari di test (usando diversi seed casuali per garantire l'equità), il team ibrido ha catturato significativamente più criminali rispetto al detective che lavorava da solo.

• Per il tipo di attacco invisibile "null", il team ibrido ha mancato in media solo 52,2 criminali, mentre il detective da solo ne ha mancati 178,6. Si tratta di una riduzione degli attacchi mancati del 70,8%.
• Per il tipo "srv", hanno mancato 39,4 invece di 127,6 (una riduzione del 69,1%).
• Per il tipo "txt", hanno mancato 26,2 invece di 101,2 (una riduzione del 74,1%).

I test statistici hanno confermato che non si trattava di fortuna; la differenza era reale e significativa. Il sistema ibrido ha agito come una rete di sicurezza, catturando i criminali che sfuggivano tra le dita del detective perché stavano facendo qualcosa di leggermente "fuori posto" che il detective non aveva ancora memorizzato.

Dove eccelle e dove inciampa

Il documento è molto onesto su dove questo sistema funziona meglio e dove non funziona.

• Il punto di forza: Quando il sistema affronta un nuovo tipo di attacco che non ha mai visto prima, i "rilevatori di stranezza" sono gli eroi. Individuano l'anomalia nel flusso del traffico e aiutano il detective a prendere la decisione giusta.
• La zona neutra: Quando il sistema viene testato su dati che sembrano esattamente ciò che ha imparato (come negli scenari "Standard" o "Full Data"), il team ibrido fa leggermente meglio o pareggia con il detective da solo. In uno scenario specifico chiamato "Cross-Scenario", dove il traffico normale stesso cambiava leggermente tra l'addestramento e il test, i due sistemi erano sostanzialmente in parità. Infatti, i rilevatori di stranezza a volte hanno dato falsi allarmi qui, segnalando come sospetto del traffico normale ma leggermente diverso.
• Il limite di velocità: I ricercatori hanno anche controllato quanto velocemente potesse girare il sistema. Hanno scoperto che controllare un singolo pacchetto alla volta (streaming) era circa 16 volte più lento per il team ibrido rispetto al detective da solo. Tuttavia, se controllavano i pacchetti in lotti (come un intero carico di un camion in una volta), il rallentamento era di circa 2,3 volte. Questo significa che il sistema è ottimo per analizzare il traffico in brevi raffiche (elaborazione batch) ma potrebbe essere troppo lento per controllare ogni singolo pacchetto nell'istante in cui arriva.

Il problema del "Gap delle Caratteristiche"

C'è stato un caso particolarmente difficile in cui il sistema ha faticato: uno strumento chiamato dns2tcp. Anche con il team ibrido, il sistema ha catturato solo circa il 35% degli attacchi dns2tcp. I ricercatori hanno scavato a fondo e hanno scoperto un "gap nel dominio delle caratteristiche". Risulta che il traffico dns2tcp in questo dataset è fondamentalmente diverso: è più corto, più veloce e sposta meno dati rispetto agli altri strumenti. È come cercare di individuare un ladro che corre su un pianeta diverso; i "rilevatori di stranezza" non potevano capire se il comportamento fosse strano perché era un crimine o semplicemente perché proveniva da un mondo diverso. Il sistema non poteva risolvere il problema aggiungendo più regole; i dati stessi erano troppo diversi da quelli su cui il sistema era stato addestrato.

Conclusione

Questo articolo dimostra che, quando si tratta di catturare criminali digitali nascosti in tunnel criptati, avere un "secondo paio di occhi" che cerca la stranezza piuttosto che limitarsi a far corrispondere le impronte digitali è una svolta decisiva. Il framework ibrido non sostituisce il detective esperto; gli fornisce una rete di sicurezza per l'ignoto. Sebbene non sia una bacchetta magica che risolve ogni problema istantaneamente (e richiede anche un po' più di potenza di calcolo), dimostra che combinare diversi tipi di intelligenza — l'apprendimento supervisionato per le minacce note e l'apprendimento non supervisionato per il bizzarro e l'ignoto — crea una difesa molto più robusta. I ricercatori suggeriscono che questo approccio, insieme ai loro rigorosi metodi di test, dovrebbe essere il nuovo standard per costruire sistemi di sicurezza in grado di gestire la prossima generazione di attacchi subdoli.