When Network Topology Supports Graph-Based Intrusion Detection: A Pre-Deployment Validity Framework

Ogni giorno, il mondo digitale pulsa con un traffico costante e invisibile di dati. I computer parlano con i server, i telefoni si connettono ai router e i dispositivi scambiano informazioni in una vasta e mutevole rete. Per decenni, gli esperti di sicurezza hanno cercato di individuare i malintenzionati in questa folla osservando il contenuto dei messaggi: la dimensione di un file, la velocità di una connessione o i comandi specifici inviati. Ma è emerso un approccio più recente e ambizioso. Inveve di limitarsi ad ascoltare ciò che viene detto, questo metodo mappa chi parla con chi. Tratta la rete come una mappa sociale, dove ogni computer è una persona e ogni connessione è una stretta di mano. La teoria è che gli attaccanti si comportino diversamente dagli utenti normali; stringono troppe mani o formano gruppi stretti e insoliti. Studiando la forma di queste connessioni, i sistemi di sicurezza sperano di individuare gli intrusi prima che possano causare danni.

Tuttamente, esiste un'ipotesi nascosta in questo approccio che è rimasta in gran parte inesaminata fino ad ora. Il metodo assume che la mappa stessa sia utile. Assume che la struttura della rete separi naturalmente i malintenzionati dai buoni, rendendoli visibili come un faro nella nebbia. Ma se la mappa fosse solo una sfocatura? E se il "faro" fosse in realtà un server legittimo che deve semplicemente parlare con migliaia di persone per svolgere il suo lavoro? Se la struttura sottostante della rete appare identica sia sotto attacco che meno, allora nessuna quantità di software ingegnoso può trovare l'intruso. La struttura semplicemente non contiene il segnale che la ricerca sta cercando.

Questa è la precisa domanda a cui un team di ricercatori dell'Università di Helwan ha cercato di rispondere. Non hanno costruito un rilevatore migliore o un computer più veloce. Al contrario, hanno costruito uno strumento diagnostico per controllare la mappa stessa prima che qualcuno provi a usarla. Volevano sapere: in quali condizioni la forma di una rete supporta effettivamente l'idea di trovare gli attaccanti guardando le connessioni? Il loro lavoro rivela che la risposta è molto più complicata di quanto previsto. Hanno scoperto che una rete può apparire selvaggiamente complessa e irregolare, eppure essere del tutto inutile per trovare gli intrusi. Al contrario, una rete che appare quasi piatta e uniforme può talvolta nascondere un segnale chiaro e rilevabile, se si sa come cercarlo.

I ricercatori hanno testato le loro idee su cinque diversi tipi di ambienti di rete, che spaziavano da piccoli allestimenti di laboratorio a massicci sistemi industriali e reti di Internet delle Cose contenenti migliaia di dispositivi. Hanno trattato ogni rete come un paesaggio unico. In alcuni paesaggi, i computer "popolari" — quelli con più connessioni — erano effettivamente gli attaccanti. In altri, i computer più connessi erano perfettamente innocenti, come gateway centrali o server di file che naturalmente parlano con tutti. Il team ha scoperto che la sola presenza di connessioni irregolari non era sufficiente a garantire il successo. Una rete poteva avere un alto grado di disuguaglianza, con alcuni computer che avevano migliaia di connessioni e la maggior parte con una sola, eppure fallire comunque nel rivelare gli attaccanti. Ciò accade quando i computer "popolari" sono solo l'infrastruttura normale che svolge il proprio lavoro quotidiano, oscurando i segnali sottili degli intrusi.

Per risolvere questo problema, il team ha sviluppato un controllo in due fasi. Per prima cosa, hanno controllato se la rete avesse forme o schemi distinti. Hanno chiamato questo "differenziabilità strutturale". Se la rete era completamente piatta, con ogni computer che parlava approssimativamente con lo stesso numero di altri, non c'era motivo di cercare di trovare gli attaccanti basandosi sulle connessioni; la mappa era troppo uniforme per offrire indizi. Ma anche se la rete era irregolare, questa era solo la prima sfida. Il secondo controllo, più critico, consisteva nel vedere se i computer più connessi fossero effettivamente i cattivi. Lo hanno chiamato "isolamento della prominenza". Dovevano sapere se i computer più attivi fossero isolati dal resto della folla in modo da suggerire che qualcosa non andasse bene, o se fossero solo i centri frenetici e legittimi del sistema.

I risultati dei loro test sono stati sorprendenti e controintuitivi. Hanno confrontato due enormi dataset. Uno proveniva da una complessa rete aziendale con oltre 224.000 dispositivi. Questa rete appariva altamente irregolare, con alcuni computer che avevano migliaia di connessioni. Per tutti gli standard di misura, sembrava il luogo perfetto per utilizzare il rilevamento basato sulle connessioni. Eppure, quando i ricercatori hanno applicato il loro metodo, questo è fallito completamente. I computer più connessi erano tutti server legittimi. Gli intrusi si nascondevano nel mezzo del gruppo, indistinguibili dal rumore di fondo. La mappa era troppo affollata di attività "normali" per lasciare che i malintenzionati si distinguessero.

Al contrario, hanno esaminato una rete diversa proveniente da una grande collezione di dispositivi Internet delle Cose. Questa rete appariva molto più piatta. La maggior parte dei dispositivi parlava con una sola altra cosa. Infatti, il modo standard di misurare la forma della rete suggeriva che fosse troppo uniforme per essere utile. Ma i ricercatori hanno trovato una frattura nascosta nel modello. Mentre la maggior parte dei dispositivi aveva una connessione, una piccola manciata ne aveva migliaia. Non era una curva morbida di popolarità; era un precipizio netto. I dispositivi legittimi formavano una pianura piatta, e gli attaccanti stavano su una vetta lontana. Poiché il divario tra il normale e l'anomalo era così ampio, i ricercatori potevano usare un tipo diverso di metro per individuare gli intrusi. Hanno scoperto che ignorando le regole standard e cercando quel distacco netto, potevano identificare gli attaccanti con una precisiono vicino al 91%. Nell'altra rete, dove la mappa era affollata di server impegnati, il meglio che potevano ottenere era una precisione dello zero per cento.

Questa distinzione cambia il modo in cui i team di sicurezza dovrebbero pensare ai propri strumenti. I ricercatori hanno dimostrato che non si può semplicemente prendere un sistema di rilevamento basato sui grafi e inserirlo in qualsiasi rete. Se la struttura della rete è dominata da un'infrastruttura legittima ad alto traffico, il sistema probabilmente fallirà, indipendentemente dalla sofisticatezza del software. Il fallimento non è nel modello; è nell'ambiente. La mappa stessa non supporta il ragionamento. Il team ha anche identificato un terzo scenario in cui la mappa appare interrotta solo a causa di un aumento temporaneo del traffico, come una corsa festiva che fa sembrare tutti molto occupati. In questi casi, il sistema potrebbe fallire per un giorno e riprendersi il giorno successivo, suggerendo che il problema non è un difetto permanente della rete, ma un evento temporaneo.

I ricercatori hanno anche testato le loro idee su un sito web di produzione reale che riceve milioni di richieste al giorno. Hanno osservato come la forma della rete cambiasse nel corso di un mese. Hanno scoperto che la capacità di individuare gli intrusi basandosi sulle connessioni cambiava nel tempo. Nei primi giorni, i visitatori più attivi erano spesso i malintenzionati. Ma con il passare del mese, gli utenti legittimi che visitavano il sito ripetutamente iniziarono ad accumulare connessioni, sfumando il confine tra il bene e il male. La "prominenza" degli attaccanti veniva diluita dalla crescente folla di utenti normali. Ciò ha dimostrato che la validità del metodo non è una proprietà fissa della rete; è uno stato che cambia con il tempo e l'osservazione.

Il contributo ultimo di questo lavoro è un nuovo modo di pensare alla sicurezza. Prima di spendare denaro ed energie in complessi sistemi di rilevamento basati sui grafi, le organizzazioni dovrebbero prima eseguire un semplice controllo diagnostico. Devono controllare se la loro rete ha la forma giusta per far funzionare questo metodo. Se i computer più connessi sono solo i normali server che svolgono il loro lavoro, allora guardare alle connessioni non aiuterà. Se la rete è troppo piatta, non c'è un segnale da trovare. Ma se c'è un picco di attività isolato e netto che si distingue dal resto, allora il metodo può essere incredibilmente potente. I ricercatori hanno fornito una guida chiara e passo dopo passo per consentire ai team di sicurezza di eseguire questo controllo utilizzando solo i dati grezzi di chi parla con chi, senza bisogno di conoscere in anticipo l'identità degli attaccanti.

Questo approccio sposta l'attenzione dalla costruzione di modelli migliori alla comprensione dell'ambiente. Suggerisce che il passo più importante nel rilevamento delle intrusioni non è l'algoritmo, ma la valutazione del terreno. Uno strumento progettato per trovare un ago in un pagliaio fallirà se il pagliaio è in realtà un mucchio di aghi. Distinguendo tra una rete strutturalmente adatta e una che non lo è, questa ricerca evita lo spreco di risorse su metodi che sono destinati a fallire per la natura stessa della rete. Offre una verità silenziosa e pratica: devi conoscere la forma del tuo mondo prima di cercare lo straniero al suo interno.