When Explanations Help or Harm Network Intrusion Alert Triage: A Distribution-Conditional Benchmark

Nel mondo ad alta tensione della sicurezza informatica, un flusso costante di traffico digitale scorre attraverso le reti ogni secondo. La maggior parte di questo traffico è innocuo, ma al suo interno si nascondono tentativi di intrusione, furto di dati o interruzione dei servizi. Per catturare questi intrusi, le organizzazioni utilizzano sistemi automatizzati che agiscono come sentinelle digitali. Questi sistemi scansionano costantemente il flusso di dati, cercando modelli che appaiano sospetti. Quando individuano qualcosa di insolito, lanciano un allarme. Tuttavia, questi sistemi non sono perfetti; spesso generano migliaia di falsi allarmi, segnalando attività normali come minacce. Ciò crea un enorme arretrato per gli analisti di sicurezza umani, che devono setacciare il rumore per trovare il vero pericolo. La domanda critica per questi team non è solo se il sistema sia in grado di individuare un attacco, ma se l'elenco di allarmi che produce metta le minacce più pericolose proprio in cima, dove un analista stanco possa vederle per primo.

Per anni, un'idea popolare nel campo dell'intelligenza artificiale è stata quella di usare le "spiegazioni" per aiutare a risolvere questo problema. La logica è semplice: se un computer può spiegare a un essere umano perché ha segnalato un determinato allarme, l'uomo può fidarsi di più e dare priorità meglio. Immaginate una guardia giurata che non solo indica una persona sospetta, ma spiega anche: "La sto osservando perché tiene una borsa grande e si muove velocemente". La speranza è che aggiungere questo ragionamento all'elenco degli allarmi aiuterebbe gli analisti a trovare gli attacchi reali più velocemente. Ma questa supposizione non è mai stata testata rigorosamente nella caotica realtà della sicurezza di rete. L'aggiunta di una spiegazione aiuta davvero, o confonde il sistema e spinge le minacce reali più in basso nell'elenco?

Un team di ricercatori di università turche ha deciso di rispondere a questa domanda con un esperimento controllato e accurato. Non si sono limitati a chiedere se le spiegazioni fossero "buone" o "cattive". Al contrario, hanno costruito un campo di prova per vedere esattamente quando le spiegazioni aiutano, quando non fanno nulla e quando, invece, peggiorano la situazione. Sono partiti con tre diversi tipi di rilevatori automatizzati, ognuno addestrato a riconoscere attività di rete insolite senza essere stato istruito su quali attacchi specifici cercare. Questi rilevatori generavano un elenco di allarmi basandosi puramente su quanto i dati apparissero strani. I ricercatori hanno poi preso questo elenco e applicato una regola specifica: hanno aggiunto una "firma" alla spiegazione. Questa firma era un insieme predefinito di caratteristiche che corrispondevano a un tipo specifico di attacco, come un attacco Denial of Service, caratterizzato da un massiccio allagamento di dati.

I ricercatori hanno poi testato se potenziare la priorità degli allarmi che corrispondevano a questa firma migliorasse effettivamente l'ordine dell'elenco. Hanno utilizzato un metodo chiamato SHAP, che scompone la decisione di un computer nel contributo di ogni pezzo di dato, per vedere se il computer si stesse concentrando sulle cose giuste. Hanno confrontato l'elenco originale, ordinato solo in base a quanto i dati fossero strani, rispetto a un nuovo elenco in cui gli allarmi corrispondenti alla firma dell'attacco ricevevano un leggero incremento di priorità. Hanno eseguito questo test attraverso migliaia di scenari, utilizzando diversi tipi di attacchi, diversi rilevatori e diverse dimensioni di elenchi, per vedere se i risultati resistessero alla prova.

I risultati sono stati sorprendenti e sfumati. I ricercatori hanno scoperto che aggiungere spiegazioni non migliora automaticamente l'elenco. Infatti, per alcuni dei tipi di attacchi più comuni, specificamente gli allagamenti Denial of Service, la spiegazione ha effettivamente peggiorato la situazione. Quando i ricercatori hanno applicato la regola della spiegazione a questi attacchi, le minacce reali sono state spinte più in basso nell'elenco, rendendo più difficile per un analista trovarle. Questo accadeva perché i rilevatori automatizzati erano già molto bravi a individuare questi allagamenti da soli, classificandoli in cima. La regola della spiegazione, cercando di essere utile, ha involontariamente rimescolato l'elenco e ha spostato verso il basso gli allarmi più urgenti.

Tuttavia, la storia non è del tutto negativa. In alcuni casi specifici, la spiegazione ha aiutato. Per certi tipi di attacchi e con specifici rilevatori, la spiegare ha avuto successo nel mantenere gli allarmi corretti in cima. Ma questi successi erano rari e fragili. I ricercatori hanno scoperto che il risultato dipendeva interamente dalla combinazione specifica del rilevatore utilizzato, dal tipo di attacco e dal momento esatto in cui i dati venivano raccolti. Ciò che funzionava per un tipo di attacco falliva per un altro. Ciò che funzionava su un giorno di dati non funzionava il giorno successivo.

Lo studio ha anche esaminato se questi risultati sarebbero rimasti validi nel mondo reale, dove i dati sono disordinati e imprevedibili. Hanno testato i loro metodi su diversi dataset, inclusi alcuni molto più grandi e complessi rispetto al test iniziale. Hanno scoperto che il modello rimaneva coerente: la regola della spiegazione non era una soluzione universale. In alcuni dataset moderni, aiutava leggermente, ma in altri causava danni. Fondamentalmente, hanno cercato di costruire un "selettore" che potesse decidere automaticamente quando usare la spiegazione e quando attenersi al semplice elenco. Hanno scoperto che non era possibile costruire un selettore che fosse abbastanza sicuro da essere utilizzato senza una costante supervisione umana. La regola che funzionava nei dati di addestramento spesso falliva quando applicata a nuovi dati non ancora visti.

I ricercatori hanno concluso che l'idea di aggiungere semplicemente spiegazioni agli avvisi di sicurezza non è una soluzione magica. Sebbene le spiegazioni possano essere utili per capire perché un computer ha preso una decisione, usarle per riordinare automaticamente un elenco di allarmi è rischioso. Lo studio ha dimostrato che, in molti casi, il semplice elenco basato sul punteggio di "stranezza" grezza era in realtà migliore rispetto all'elenco modificato dalle spiegazioni. L'approccio migliore, suggeriscono i ricercatori, è trattare la spiegazione come uno strumento secondario. I team di sicurezza dovrebbero mantenere l'elenco originale come modo primario per dare priorità al lavoro, usando la spiegazione solo come modo per doppiare il controllo o comprendere un allarme specifico, piuttosto che lasciare che essa cambi l'ordine dell'intero elenco.

Questo lavoro fornisce una mappa chiara e basata sull'evidenza per il futuro delle operazioni di sicurezza. Ci dice che non possiamo assumere che più informazioni portino sempre a decisioni migliori. A volte, lo strato aggiuntivo di spiegazione può oscurare i segnali più importanti. I ricercatori hanno dimostrato che prima che qualsiasi organizzazione adotti un sistema che riordina gli allarmi in base alle spiegazioni, deve testarlo rigorosamente nel proprio ambiente. Devono verificare che la spiegazione aiuti effettivamente i loro specifici rilevatori a trovare le loro specifiche minacce. Senza questa validazione locale, il tentativo di rendere la sicurezza più intelligente con le spiegazioni potrebbe solo renderla più lenta e meno efficace. La strada da seguire non è fidarsi ciecamente del ragionamento del computer, ma usarlo con cautela, sapendo esattamente quando aiuta e quando danneggia.