Hybrid CNN-LSTM for Cyberattack Classification in Sudanese E-Government SDN

Nel mondo moderno, i governi stanno spostando sempre più le proprie operazioni online, creando portali digitali dove i cittadini possono accedere ai servizi, pagare le tasse e recuperare documenti senza dover visitare un ufficio fisico. Questo passaggio, noto come e-government, si basa pesantemente su reti informatiche complesse per connettere questi servizi alle persone che ne hanno bisogno. Per rendere queste reti più veloci e facili da gestire, molti stanno adottando una nuova architettura chiamata software-defined networking. Questo approccio separa il "cervello" della rete, che prende le decisioni su dove debbano andare i dati, dal "muscolo", che effettivamente sposta i dati. Sebbene ciò renda il sistema più flessibile, crea anche un nuovo tipo di vulnerabilità: se un attaccante riesce a ingannare il cervello centrale, può interrompere l'intero sistema. Inoltre, man mano che queste piattaforme digitali crescono, diventano bersagli per attacchi informatici sofisticati che tentano di rubare dati o bloccare i servizi. I sistemi di sicurezza tradizionali, che si affidano alla ricerca di modelli noti come un bibliotecario che controlla una lista di libri banditi, spesso faticano a intercettare nuovi ed evoluti trucchi o l'enorme volume di traffico criptato. Ciò lascia una lacuna critica nella protezione delle informazioni sensibili di milioni di cittadini.

Per affrontare questa sfida, dei ricercatori in Sudan hanno sviluppato un nuovo sistema intelligente progettato per individuare questi attacchi informatici prima che causino danni. Il team, guidato da Rania ElshiekhHamid della Sudan University of Science and Technology, ha riconosciuto che il panorama digitale specifico del paese richiedeva una soluzione personalizzata. Sapevano che gli strumenti di sicurezza standard non erano sufficienti per gestire la particolare miscela di traffico web e flussi di rete presenti nei portali governativi del Sudan. Invece di affidarsi ai vecchi metodi, hanno costruito un modello di deep learning ibrido. Questo sistema combina due potenti tipi di intelligenza artificiale: una eccellente nel riconoscere schemi nei dati grezzi, come una fotocamera che riconosce le forme, e un'altra abile nel comprendere sequenze e tempistiche, come un lettore che segue il flusso di una storia. Fondendo questi due approcci, il sistema può esaminare sia il contenuto immediato di un pacchetto di dati sia la cronologia di come quel dato è arrivato, permettendogli di distinguere tra una legittima richiesta di un cittadino e un attacco malevolo con alta precisione.

L'ostacolo maggiore affrontato dai ricercatori è stato la mancanza di dati reali. A causa delle rigide leggi sulla privacy e delle preoccupazioni per la sicurezza nazionale, non potevano semplicemente utilizzare i log reali dai server del governo per addestrare il loro sistema. Per risolvere il problema, hanno creato un dataset personalizzato che imitava l'ambiente reale senza esporre alcuna informazione privata. Hanno combinato tre diverse fonti di informazioni per costruire questo campo di addestramento. Primo, hanno utilizzato benchmark globali che contengono esempi di attacchi di rete comuni, come i tentativi di denial-of-service che inondano un sistema di traffico. Secondo, hanno incluso dataset progettati specificamente per mostrare attacchi basati sul web, come i tentativi di iniettare codice dannoso in un sito web. Infine, per rendere la simulazione davvero locale, hanno utilizzato un programma per generare traffico artificiale che si comportasse esattamente come la rete del governo sudanese, inclusi i ritardi specifici e i modelli di instradamento presenti nella loro infrastruttura. Questi dati sintetici hanno permesso loro di addestrare il modello su una rappresentazione realistica delle minacce che colpiscono il Sudan, garantendo che il sistema funzioni al momento del dispiegamento.

Una volta addestrato il modello, i ricercatori lo hanno messo alla prova per vedere quanto fosse efficace nell'identificare gli attacchi rispetto ai metodi più vecchi. Hanno confrontato il loro nuovo sistema ibrido con diverse tecniche consolidate, inclusi gli strumenti tradizionali di machine learning che si affidano a esperti umani per definire l'aspetto di un attacco, e altri modelli di intelligenza artificiale indipendenti. I risultati sono stati chiari. Il nuovo modello ibrido ha raggiunto un'accuratezza complessiva del 97,8%, il che significa che ha identificato correttamente la natura del traffico in quasi ogni singolo caso. Ancora più importante, ha mantenuto il tasso di falsi allarmi incredibilmente basso, segnalando meno dell'1,5% delle richieste legittime come pericolose. Nel contesto dei servizi governativi, un falso allarme è un problema serio perché può impedire a un cittadino di accedere ai propri dati o di pagare una bolletta. Mantenendo questo numero così basso, il sistema garantisce che i servizi rimangano disponibili per il pubblico pur intercettando i malintenzionati.

Lo studio ha anche esaminato la velocità con cui il sistema può prendere queste decisioni. In una rete che gestisce migliaia di richieste al secondo, un sistema di sicurezza non può essere lento, altrimenti diventerà un collo di bottiglia che ritarda tutto. I ricercatori hanno scoperto che il loro modello poteva analizzare un singolo pezzo di dati e fare una previsione in soli 18,6 millisecondi. Questa velocità è sufficiente per rientrare nei requisiti in tempo reale del controller di rete, il che significa che può fermare un attacco nel momento in cui avviene senza rallentare il flusso di informazioni. Il sistema si è dimostrato particolarmente efficace contro tipi specifici di minacce, identificando correttamente i tentativi di SQL injection, che cercano di manipolare i database, e gli attacchi distributed denial-of-service, che cercano di sovraccaricare un server, con tassi di successo superiori al 98 percento. Questi risultati suggeriscono che l'approccio ibrido non è solo teoricamente solido, ma anche praticamente sostenibile per proteggere le infrastrutture critiche nazionali.

Sebbene i risultati siano promettenti, i ricercatori sottolineano con cautela che questo è un passo avanti, non una soluzione definitiva. Il modello è stato testato su un dataset che, pur essendo altamente realistico, è stato generato per simulare l'ambiente piuttosto che essere prelevato dal traffico governativo reale e in corso. Il team riconosce che, man mano che gli attacchi informatici continuano a evolversi, il sistema dovrà adattarsi. Nei loro lavori futuri, intendono esplorare un metodo chiamato federated learning. Questo approccio permetterebbe a diverse agenzie governative di addestrare insieme il modello di sicurezza utilizzando i propri dati locali senza dover mai condividere le informazioni grezze e sensibili con un server centrale. Ciò rafforzerebbe ulteriormente la capacità del sistema di rilevare nuove minacce rispettando al contempo i rigorosi vincoli di privacy e sicurezza che regolano la gestione dei dati dei cittadini. Per ora, tuttavia, lo studio fornisce una solida base per un futuro digitale più sicuro, offrendo una base intelligente e scalabile che può aiutare a proteggere l'integrità e la fiducia dei servizi di e-government del Sudan.