Hybrid LSTM–LightGBM Model for Multiclass DDoS Attack Detection in 5G and IoT Networks

Internet è cresciuto da una rete di computer a un vasto ed invisibile web che connette miliardi di oggetti quotidiani, dai termostati intelligenti ai sensori industriali. Questa espansione, nota come Internet delle Cose (Internet of Things), si basa su sistemi di comunicazione ad alta velocità per mantenere tutto in funzione senza intoppi. Tuttavia, questa connettività crea un nuovo tipo di vulnerabilità. I malintenzionati possono lanciare assalti digitali coordinati, inondando queste reti con così tanto traffico da far sì che i servizi legittimi smettano di funzionare. Questi attacchi, chiamati Distributed Denial-of-Service, stanno diventando più veloci e complessi, evolvendosi in modi che li rendono difficili da individuare con gli strumenti di sicurezza tradizionali. Per anni, i sistemi di sicurezza si sono affidati a regole statiche o semplici controlli statistici per identificare problemi, ma questi metodi spesso faticano a tenere il passo con i rapidi e mutevoli schemi delle moderne minacce informatiche.

Per affrontare questa sfida, i ricercatori Asma Djama, Mohamed Maazouz, Hamza Kheddar e Muhammet Ali Akcayol hanno sviluppato un nuovo approccio che combina due diversi tipi di intelligenza artificiale. Il loro lavoro si concentra sulla creazione di un sistema che possa non solo rilevare questi attacchi, ma anche comprendere la tempistica e la sequenza dei dati che fluiscono attraverso una rete. I ricercatori hanno costruito un modello ibrido che utilizza prima un tipo di rete neurale progettata per ricordare le sequenze, proprio come un essere umano potrebbe ricordare l'ordine degli eventi in una storia. Questa parte del sistema, chiamata Long Short-Term Memory, o LSTM, osserva il flusso del traffico di rete nel tempo per individuare schemi sottili che indicano che un attacco si sta preparando. Una volta che questo sistema ha identificato questi schemi temporali, passa l'informazione a un secondo classificatore altamente efficiente noto come LightGBM. Questo secondo componente agisce come un decisore rapido, smistando il traffico in categorie specifiche per determinare esattamente che tipo di attacco si sta verificando, se presente.

Il team ha testato questo sistema combinato utilizzando tre grandi collezioni realistiche di dati di rete che includevano sia il traffico normale che vari tipi di attacchi malevoli. Questi dataset rappresentavano diversi ambienti, che andavano dalle reti informatiche standard a configurazioni complesse che coinvolgevano migliaia di diversi dispositivi IoT. I risultati hanno dimostrato che, insegnando al sistema a guardare la sequenza degli eventi piuttosto che solo istantanee isolate di dati, il modello è diventato significativamente più bravo a distinguere tra diversi tipi di attacchi. Nei test che coinvolgevano un dataset di oltre 450.000 campioni rappresentanti vari attacchi di inondazione (flood attacks), il modello ibrido ha identificato correttamente la natura del traffico nel 97,80% dei casi. Testato su un altro dataset con quasi 400.000 campioni, ha raggiunto un'accuratezza del 96,80%. Forse in modo ancora più impressionante, su un dataset di riferimento ampiamente utilizzato contenente oltre 390.000 campioni, il sistema ha raggiunto un'accuratezza del 99,89%.

Una scoperta chiave della ricerca è che la combinazione di questi due metodi supera l'uso di ciascuno di essi preso singolarmente. Quando i ricercatori hanno testato la componente decisionale senza la parte di apprendimento della sequenza, la capacità del sistema di distinguere tra attacchi dall'aspetto simile è scesa sensibilmente. Ad esempio, il sistema ha faticato a distinguere tra due tipi specifici di attacchi di inondazione che appaiono molto simili nelle loro statistiche di base ma si comportano diversamente nel tempo. Aggiungendo lo strato di apprendimento della sequenza, il modello è stato in grado di vedere la differenza nel modo in cui i pacchetti di dati arrivavano, portando a un quadro molto più chiaro della minaccia. I ricercatori hanno anche utilizzato una tecnica chiamata SHAP per guardare all'interno del processo decisionale del modello, assicurandosi che il sistema non stesse solo indovinando, ma che si stesse effettivamente basando le sue scelte su caratteristiche significative. Questa trasparenza è fondamentale per i team di sicurezza che devono poter fidarsi degli avvisi che ricevono.

Oltre all'accuratezza, lo studio ha evidenziato che il sistema è abbastanza veloce per l'uso nel mondo reale. In un mondo in cui gli attacchi avvengono in millisecondi, uno strumento di sicurezza deve reagire istantaneamente. I ricercatori hanno scoperto che il loro modello può fare una previsione in meno di un centesimo di millisecondo sui dataset più grandi, una velocità che permette di implementarlo nelle reti live senza rallentarle. Questa efficienza rende l'approccio adatto a dispositivi con risorse limitate, come i sensori presenti nelle case intelligenti o negli ambienti industriali, che non possono gestire carichi computazionali pesanti. Il lavoro suggerisce che insegnando alle macchine a comprendere il ritmo del traffico di rete, i sistemi di sicurezza possono diventare molto più resilienti contro le tattiche in evoluzione degli attaccanti informatici, offrendo uno scudo robusto per il futuro connesso.