SECURE Framework for Detecting Integrity Attacks in High-Frequency Trading Systems

Nel mondo digitale, la sicurezza è spesso immaginata come una fortezza con mura progettate per tenere fuori gli intrusi. Questa visione tradizionale si concentra su tre pilastri principali: mantenere segreti i dati, garantire che i sistemi rimangano online e assicurarsi che le informazioni all'interno rimangano esattamente come sono state inviate. Sebbene la protezione del segreto dei dati e il mantenimento del funzionamento dei sistemi siano sfide ben note, un pericolo più sottile passa spesso inosservato. Si tratta della minaccia all'integrità dei dati. A differenza di un virus che manda in crash un sistema o di un hacker che ruba una password, un attacco all'integrità altera silenziosamente i dati stessi. Cambia un numero qui o un record lì senza fermare la macchina. Nei sistemi a lento movimento, come un piccolo cambiamento potrebbe essere innocuo, ma in ambienti in cui le decisioni avvengono migliaia di volte al secondo, un numero minuscolo e manipolato può innescare una cascata di azioni errate. Questo è particolarmente vero nel trading ad alta frequenza, dove i computer comprano e vendono azioni in un battito di ciglia basandosi sui dati che vedono. Se quei dati sono leggermente distorti, l'intero mercato può essere tratto in inganno, eppure il sistema continua a funzionare regolarmente, nascondendo l'inganno alla luce del sole.

I ricercatori S. Malathy e R. Anandhi del Dwaraka Doss Goverdhan Doss Vaishnav College in India hanno proposto un nuovo modo per catturare queste manipolazioni invisibili. Chiamano il loro approccio il framework SECURE, un processo in sei fasi progettato per osservare, analizzare e reagire ai flussi di dati in tempo reale. Il nome sta per Sorveglianza (Surveillance), Esame (Examination), Controllo (Control), Comprensione (Understanding), Risposta (Response) ed Evoluzione (Enhancement). Il sistema inizia osservando costantemente il flusso in entrata dei dati, proprio come una telecamera di sicurezza che non ammicca mai. Una volta raccolti, i dati passano alla fase di esame, dove un programma informatico addestrato a riconoscere i pattern cerca qualsiasi cosa di insolito. I ricercatori hanno scelto un tipo specifico di strumento di riconoscimento dei pattern chiamato Random Forest, che funziona costruendo molti diversi alberi decisionali e chiedendo loro di votare se un pezzo di dato sia normale o sospetto. Questo metodo è particolarmente efficace nel gestire la natura rumorosa e caotica dei dati veloci.

Tuttavia, sapere che qualcosa non va non è sufficiente; gli esperti di sicurezza devono sapere perché. Per risolvere questo problema, i ricercatori hanno aggiunto uno strato di spiegabilità al loro sistema. Hanno utilizzato una tecnica chiamata SHAP, che agisce come un riflettore, illuminando i dettagli specifici che hanno causato al computer di segnalare un evento come sospetto. Invece di dire semplicemente "questo è brutto", il sistema può indicare l'esatto cambiamento di prezzo o la dimensione dell'ordine che ha attivato l'allarme. Questa trasparenza aiuta gli analisti umani a fidarsi del giudizio della macchina. Il framework passa poi al controllo, dove può bloccare o segnalare il dato sospetto, seguito da una fase di risposta in cui vengono inviati avvisi e conservati i registri. Infine, il sistema entra in una fase di evoluzione, dove impara dai nuovi dati per diventare più bravo a individuare futuri trucchi.

Per testare se questa idea funzioni, i ricercatori l'hanno applicata a uno scenario del mondo reale: il mercato azionario. Hanno utilizzato un dataset di dati del libro ordini di Livello 2, che registra ogni ordine di acquisto e vendita per un'azione, inclusi prezzo, quantità e tempo. In questo ambiente, hanno simulato due tipi comuni di manipolazione di mercato noti come spoofing e layering. Lo spoofing avviene quando un trader inserisce un ordine massiccio senza l'intenzione di acquistare, solo per creare un falso senso di domanda e trarre in inganno gli altri affinché comprino. Il layering consiste nel piazzare molti ordini a diversi livelli di prezzo per creare una pressione artificiale. Entrambe le tattiche cambiano i dati per influenzare il mercato senza effettivamente interrompere il sistema di trading, rendendole esempi perfetti di attacchi all'integrità. I ricercatori hanno trattato queste manipolazioni come i dati "cattivi" e il trading normale come i dati "buoni", per poi alimentare il tutto nel loro framework SECURE.

I risultati hanno mostrato che il nuovo sistema era significativamente migliore nel catturare questi trucchi rispetto a un modello informatico standard da solo. Quando i ricercatori hanno testato una versione base del loro strumento di riconoscimento dei pattern senza il framework completo in sei fasi, esso identificava correttamente circa il 91,84 percento degli attacchi. Ma quando hanno aggiunto la struttura completa SECURE, inclusi i passaggi specifici per il controllo e gli strumenti di spiegabilità, l'accuratezza è salita al 96,82 percento. Il sistema è diventato molto più bravo a trovare i veri attacchi facendo meno errori sul trading normale. L'analisi dei dati ha rivelato che il sistema stava prestando attenzione alle cose giuste. Ha imparato che i cambiamenti improvvisi nel movimento dei prezzi, le quantità insolite di azioni e i picchi di volume a specifici livelli di prezzo erano i segnali più forti di manipolazione. Questi sono esattamente i comportamenti che un trader umano cercherebbe, provando che il computer non stava solo indovinando, ma stava riconoscendo pattern logici.

Ciò che rende questo lavoro particolarmente prezioso è che non dipende dal sapere esattamente cosa farà l'attaccante dopo. Invece di cercare una lista specifica di comportamenti dannosi noti, il sistema impara a individuare la forma generale di una menzogna nei dati. Ciò significa che il framework non è limitato solo ai mercati azionari. I ricercatori suggeriscono che lo stesso metodo potrebbe essere utilizzato per proteggere altri sistemi veloci, come le reti di sensori in una smart city o i dispositivi medici che monitorano i pazienti in tempo reale. In qualsiasi luogo in cui i dati fluiscano rapidamente e un piccolo cambiamento possa avere un grande impatto, la capacità di rilevare manipolazioni sottili è cruciale. Combinando uno strumento veloce di riconoscimento dei pattern con un metodo che spiega il proprio ragionamento, il framework SECURE offre un modo per mantenere onesti i sistemi ad alta velocità. Dimostra che, nella corsa a proteggere i dati, la chiave non è solo guardare il rumore, ma capire la storia che i dati stanno raccontando.