Real-Time Anomaly Detection in Software-Defined Networks using an Integrated ELK Stack and Machine Learning Framework

Le moderne reti informatiche sono sistemi vasti e intricati che spostano dati tra milioni di dispositivi ogni secondo. Per decenni, queste reti sono state gestite da singoli apparati hardware, ognuno dei quali prendeva le proprie decisioni su dove inviare le informazioni. Un approccio più recente, noto come networking definito dal software (SDN), cambia questo scenario estraendo il potere decisionale dai singoli apparati e collocandolo in un unico programma per computer centrale chiamato controller. Questo controller centrale agisce come il cervello della rete, vedendo l'intero sistema in un colpo solo e dirigendo il traffico con grande flessibilità. Tuttavia, questa centralizzazione crea un nuovo tipo di rischio. Se un attaccante riesce a compromettere questo singolo cervello, può interrompere l'intera rete. Poiché il controller è così critico, i team di sicurezza hanno bisogno di un modo per monitorarlo costantemente, cercando comportamenti strani nel momento stesso in cui si verificano. La sfida è che il controller e i dispositivi che gestisce generano enormi quantità di registri digitali, o log, che sono spesso difficili da leggere e analizzare abbastanza velocemente da fermare un attacco in corso.

Ricercatori dell'Università Chouaib Doukkali e dell'Università Internazionale di Rabat hanno costruito un sistema progettato per risolvere questo problema combinando potenti strumenti di analisi dei log con l'intelligenza artificiale. Il loro lavoro si concentra sulla creazione di un sistema di monitoraggio in tempo reale che possa osservare una rete definita dal software, comprendere cosa sia normale e segnalare istantaneamente qualsiasi cosa di insolito. Per testare la loro idea, non hanno utilizzato una rete pubblica e live, che sarebbe troppo pericolosa su cui sperimentare. Invece, hanno creato una copia virtuale di una rete all'interno di un computer utilizzando uno strumento chiamato Mininet. Questo ambiente virtuale includeva un controller centrale e diversi switch che imitano l'hardware di rete reale. Hanno poi collegato questa rete virtuale a un framework di monitoraggio costruito con software open-source noto come stack ELK. Questo framework agisce come una catena di montaggio ad alta velocità per le informazioni: raccoglie i log testuali grezzi dal controller e dagli switch, li pulisce, li organizza in un formato ricercabile e li visualizza su uno schermo per gli operatori umani.

I ricercatori hanno affrontato un ostacolo specifico: i log provenienti dal controller centrale e i log provenienti dagli switch di rete sono scritti in formati diversi e contengono tipi di informazioni differenti. Per gestire questo, hanno programmato il sistema affinché trattasse queste due fonti in modo diverso. I log del controller centrale venivano inviati direttamente al sistema di monitoraggio, mentre i log degli switch venivano prima raccolti da un programma di supporto locale prima di essere inoltrati. Una volta che tutti i dati sono arrivati al sistema centrale, venivano elaborati e trasformati in dati strutturati che un computer poteva comprendere facilmente. La parte più importante del loro design era l'integrazione del machine learning direttamente nella dashboard di visualizzazione. Ciò permetteva al sistema di apprendere nel tempo come appare il traffico di rete normale. Una volta che il sistema avesse compreso la linea di base dell'attività normale, avrebbe potuto individuare automaticamente quando la rete iniziava a comportarsi in modo strano, come quando un'ondata di richieste inizia a sovraccaricare il controller.

Per vedere se il loro sistema funzionava, i ricercatori hanno simulato un tipo specifico di attacco informatico noto come attacco Denial of Service distribuito (DDoS), in cui un attaccante inonda una rete con così tanto traffico da impedirne il funzionamento. Hanno anche tentato di simulare un altro tipo di attacco che coinvolge l'inondazione di indirizzi di dispositivi, ma hanno dovuto interrompere quel test specifico precocemente perché richiedeva troppa potenza di calcolo per la loro configurazione. Quando hanno eseguito la simulazione dell'inondazione di traffico, il sistema ha funzionato esattamente come previsto. Ha raccolto e organizzato con successo i log sia dal controller che dagli switch, visualizzando l'attività su una dashboard che mostrava chiari picchi di traffico. Più importante ancora, la componente di machine learning ha rilevato il comportamento anomalo. In totale, il sistema ha identificato 47 momenti distinti di attività insolita durante la simulazione. Ha poi classificato questi eventi in base alla loro pericolosità, catalogando 50 istanze come minacce critiche o maggiori e altre 28 come avvisi.

I risultati dimostrano che questo approccio integrato può monitorare efficacemente una rete definita dal software e individuare gli attacchi mentre accadono. Il sistema si è dimostrato capace di gestire la complessa miscela di dati provenienti da diverse parti della rete e di trasformarli in un quadro chiaro per i team di sicurezza. Tuttavia, i ricercatori sottolineano con cautela che questi risultati derivano da un ambiente simulato. Sebbene il test virtuale sia stato controllato e di successo, una rete reale è molto più complessa e imprevedibile. Il sistema ha funzionato bene per il tipo specifico di inondazione di traffico testato, ma non è ancora stato provato contro una gamma più ampia di attacchi sofisticati o in una rete di produzione live. I ricercatori hanno anche osservato che alcuni tipi di compiti di rilevamento possono richiedere molte risorse computazionali, suggerendo un compromesso tra quanto il sistema osserva e quanto velocemente può funzionare.

Guardando al futuro, il team intende testare il proprio sistema su reti più grandi e complesse per vedere come scala. Intendono incorporare modelli di intelligenza artificiale più avanzati per catturare minacce più sottili ed espandere la capacità del sistema di rilevare diversi tipi di attacchi che prendono di mira specificamente le reti definite dal software. In definitiva, il loro obiettivo è passare da un sistema che si limita ad avvisare gli umani a uno che possa agire automaticamente, come reindirizzare il traffico o isolare un dispositivo compromesso, per proteggere la rete senza l'intervento umano. Per ora, il loro lavoro dimostra una via pratica per mettere in sicurezza i cervelli centrali delle moderne reti, trasformando un'inondazione di dati confusi in un segnale chiaro e azionabile.