Machine Learning Based Intrusion Detection for Cloud Storage: An Empirical Evaluation of Signature and Random Forest Fusion
Questo studio valuta empiricamente un prototipo di rilevamento delle intrusioni semi-sintetico per lo storage in cloud iniettando attacchi in tracce non etichettate di Microsoft Azure, riscontrando che, sebbene i modelli Random Forest forniscano segnali di classificazione utili, la loro prestazione instabile sotto il drift temporale del carico di lavoro e il scarso rilevamento di attacchi "low-and-slow" indicano che non sono ancora pronti per l'implementazione in produzione.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale moderno, vaste quantità di informazioni personali e aziendali risiedono nel cloud storage, un sistema in cui i dati sono conservati su server remoti anziché su un singolo computer. Poiché questi dati possono essere accessibili da qualsiasi luogo, il potenziale di accessi non autorizzati è molto più grande rispetto ai sistemi di archiviazione tradizionali e isolati. Per proteggere queste informazioni, i team di sicurezza si affidano ai sistemi di rilevamento delle intrusioni, che agiscono come torri di guardia digitali. Questi sistemi funzionano generalmente in due modi: alcuni cercano modelli noti di comportamenti scorretti, come una guardia giurata che riconosce il volto di un criminale specifico, mentre altri apprendono quale sia l'attività normale e segnalano un allarme quando accade qualcosa di insolito. La sfida è che gli utenti legittimi spesso si comportano in modi che sembrano sospetti, e gli attaccanti possono imitare il comportamento normale, rendendo difficile distinguere tra i due senza causare un'ondata di falsi allarmi.
I ricercatori Simon Usifoh e Olawale Olaniyi si sono posti l'obiettivo di testare un approccio specifico per risolvere questo problema utilizzando dati reali provenienti da Microsoft Azure, un importante provider cloud. Hanno costruito un prototipo di sistema progettato per individuare gli intrusi nel cloud storage combinando due metodi: un insieme di regole fisse che cercano segni evidenti di problemi e un modello di machine learning che apprende dai modelli dei dati. Il team non ha utilizzato un dataset inventato di attacchi finti, pratica comune in questo campo, ma è partito invece da trentamila record di log di accesso reali e non etichettati provenienti da applicazioni reali. Poiché questi log non erano accompagnati da etichette di sicurezza, i ricercatori li hanno trattati come uno sfondo neutro di attività normale. Hanno poi iniettato con cura simulazioni controllate di campagne di attacco in questi dati reali. Tre specifici template di attacco — esfiltrazione a raffiche (burst exfiltration), scansione ad ampio raggio (broad access probing) e raffiche di sovrascrittura (overwrite bursts) — sono comparsi in tutti i periodi di addestramento, validazione e test, mentre un quarto tipo, l'esfiltrazione lenta e costante (low-and-slow exfiltration), è stato iniettato solo nel periodo di test. Ciò ha permesso loro di vedere come il loro sistema di rilevamento si sarebbe comportato di fronte a minacce nascoste all'interno di un'attività umana autentica e disordinata.
I risultati hanno rivelato un quadro complesso di ciò che funziona e di ciò che non funziona in un contesto reale. Il modello di machine learning, noto come Random Forest, si è dimostrato piuttosto bravo a classificare gli eventi, il che significa che riusciva a identificare quali attività fossero più probabilmente attacchi rispetto ad altre. Tuttavia, quando i ricercatori hanno cercato di impostare una soglia specifica per decidere quando far scattare un allarme, il sistema è diventato instabile. In alcuni test, il modello ha catturato circa il sessantuno per cento degli attacchi, ma ha anche segnalato un numero significativo di attività innocue come pericolose. Quando hanno combinato il modello di machine learning con le regole fisse per cercare di migliorare le prestazioni, il sistema non è migliorato; al contrario, è peggiorato, generando ancora più falsi allarmi. Infatti, la versione più efficace del sistema era semplicemente il modello di machine learning da solo, poiché il tentativo di fonderlo con altri metodi non aggiungeva valore e aumentava solo il rumore.
Un risultato particolarmente sorprendente è stata l'incapacità del sistema di rilevare attacchi lenti e sottili. Mentre il modello era ragionevolmente efficace nel individuare raffiche rapide di furto di dati, scansioni estese e raffiche di sovrascrittura, è fallito quasi completamente nel notare il tipo specifico di attacco in cui i dati vengono rubati molto lentamente nel tempo. Questo comportamento "low-and-slow", che è spesso il più pericoloso perché evita di far scattare gli allarmi standard, è stato mancato in più del novantaquattro per cento dei casi. Lo studio ha inoltre evidenziato un problema importante relativo al tempo. Il sistema è stato addestrato su dati di una settimana e testato su dati della settimana successiva. Anche se la tecnologia sottostante era la stessa, il modo in cui le applicazioni si comportavano è cambiato naturalmente nel tempo, un fenomeno che i ricercatori chiamano deriva temporale (temporal drift). Questo spostamento ha fatto sì che le impostazioni di confidenza del sistema, che erano state ottimizzate sui dati precedenti, fallissero completamente quando applicate ai dati successivi, dimostrando che un modello che funziona bene in un momento può non funzionare nel momento successivo.
In definitiva, lo studio conclude che, sebbene l'approccio di machine learning mostri promesse nell'identificare modelli sospetti, non è ancora pronto per l'implementazione nel mondo reale nella sua forma attuale. Il sistema produce troppi falsi allarmi per essere pratico e la sua capacità di rilevare attacchi lenti e furtivi è attualmente troppo debole. I ricercatori sottolineano che il valore del loro lavoro non risiede in un prodotto finito, ma in un framework riproducibile che utilizza dati reali per mostrare i limiti degli attuali metodi. Suggeriscono che gli sforzi futuri debbano concentrarsi sulla creazione di sistemi che possano adattarsi ai cambiamenti nei comportamenti degli utenti nel tempo e nel trovare modi migliori per distinguere tra l'attività maliziosa lenta e i periodi di operatività normale e tranquilla. Finché queste sfide non saranno risolte, tali sistemi rimarranno strumenti utili per la ricerca e l'auditing, ma non ancora per il compito critico di proteggere lo storage cloud live.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.