Sintesi Tecnica: Un Framework di Intelligenza Artificiale Spiegabile Dinamica per l'Intrusione in Tempo Reale e la Prioritizzazione Automatica degli Alert

1. Definizione del Problema

I Security Operation Center (SOC) affrontano un collo di bottiglia operativo critico: gli analisti sono sopraffatti da 50–100 alert di sicurezza all'ora, un volume che induce fatica cognitiva e ritarda la risposta agli incidenti. Gli attuali Sistemi di Rilevamento delle Intrusioni (IDS) contribuiscono a questo problema attraverso elevati tassi di falsi positivi e architetture "black-box" prive di interpretabilità. Di conseguenza, il tempo medio globale di rilevamento (MTTD) di una violazione dei dati rimane a 181 giorni, con violazioni non rilevate che costano in media 5,46 milioni di USD.

Le soluzioni esistenti soffrono di tre lacune primarie:

1. Spiegazioni Statiche: La maggior parte delle applicazioni di Explainable AI (XAI) genera spiegazioni offline, non riuscendo a supportare l'inferenza in tempo reale.
2. Assenza di Modellazione Temporale: Molti approcci trattano i flussi di rete in modo indipendente, ignorando le dipendenze temporali caratteristiche degli attacchi multi-stadio.
3. Mancanza di Prioritizzazione degli Alert: La letteratura raramente affronta l'ottimizzazione congiunta della spiegabilità e della riduzione del volume degli alert, lasciando non affrontata la causa principale del carico di lavoro dei SOC (l'alert fatigue).

2. Metodologia: Il Framework di Spiegabilità Dinamica (DEF)

Il documento propone il Dynamic Explainable Framework (DEF), una pipeline a tre stadi progettata per integrare rilevamento, spiegazione e prioritizzazione in un sistema unificato.

2.1 Architettura del Framework

Il DEF elabora il traffico di rete grezzo attraverso i seguenti stadi sequenziali:

1. Rilevamento: Un modello ibrido di deep learning che combina analisi temporale e topologica.
2. Spiegazione: Moduli XAI post-hoc (SHAP e LIME) che generano le razionali al momento dell'inferenza.
3. Prioritizzazione: Uno strato di punteggio che filtra gli alert a bassa confidenza prima che raggiungano l'analista.

2.2 Componenti Core

• Modulo Time-Series Transformer: Il traffico di rete è trattato come un flusso sequenziale. Un meccanismo di self-attention multi-testa cattura le dipendenze temporali a lungo raggio attraverso una finestra di $T$ flussi consecutivi, consentendo il rilevamento di pattern di attacco multi-stadio che i classificatori a livello di singolo flusso non riescono a cogliere.
• Modulo Graph Convolutional Network (GCN): La topologia di rete è modellata come un grafo dove i nodi rappresentano host/servizi e gli archi rappresentano i flussi di comunicazione. Il GCN apprende gli embedding dei nodi per rilevare i pattern di propagazione dell'attacco (ad es. movimento laterale) invisibili ai modelli per singolo flusso.
• Fusione delle Caratteristiche e Classificazione: L'embedding temporale ($h_T$) dal Transformer e l'embedding grafico ($g$) dal GCN vengono concatenati e passati attraverso una testa di classificazione per predire la classe di attacco.
• Moduli di Spiegazione XAI:
  • SHAP (SHapley Additive exPlanations): Calcola i valori di Shapley per fornire attribuzioni delle caratteristiche globali e locali. Il framework utilizza l'algoritmo TreeExplider per l'efficienza.
  • LIME (Local Interpretable Model-Agnostic Explanations): Genera approssimazioni lineari locali per singole istanze per spiegare specifiche decisioni di rilevamento.
• Strato di Prioritizzazione degli Alert: Ogni alert $a$ riceve un punteggio di priorità composito $P(a)$:
  $$P(a) = \alpha \hat{p}_{attack}(a) + \beta S_{SHAP}(a) + \gamma C_{GCN}(a)$$
  Dove $\hat{p}_{attack}$ è la probabilità predetta di un attacco, $S_{SHAP}$ è il valore assoluto medio di SHAP (confidenza della spiegazione) e $C_{GCN}$ è la centralità di intermediazione (betweenness centrality) del nodo sorgente. Gli alert al di sotto di una soglia calibrata $\theta$ vengono soppressi.

3. Configurazione Sperimentale

• Dataset: Un benchmark strutturato derivato da CIC-IDS-2018, composto da 60.000 campioni in otto categorie (Benigno, Bot, Brute Force FTP/SSH, DDoS, DoS Hulk, DoS Slowloris, Web Attack). Il dataset riflette lo sbilanciamento delle classi del mondo reale con circa il 70% di traffico benigno.
• Pre-elaborazione: Include pulizia, normalizzazione, sovracampionamento SMOTE per il set di addestramento e una suddivisione stratificata 70/15/15.
• Baseline: Confrontato con Snort (basato su firma), Random Forest, LSTM, XGBoost e XGBoost+SHAP.
• Metriche: Accuratezza, Precisione, Recall, Macro F1-score, AUC-ROC, Tasso di Falsi Positivi (FPR) e Tasso di Riduzione degli Alert (ARR).

4. Risultati Chiave

Valutato su un set di test di 9.000 campioni, il DEF ha dimostrato la seguente performance:

4.1 Performance di Rilevamento

• Accuratezza: 94,58%
• Macro F1-Score: 90,11%
• AUC-ROC: 0,9855
• Tasso di Falsi Positivi: 1,16% (un miglioramento significativo rispetto al ~12% di FPR di Snort).
• Confronto: Il DEF ha superato Random Forest (F1 87,97%) e LSTM (F1 90,11%) nell'analisi comparativa, in particolare nel rilevamento di attacchi Bot e Brute Force.

4.2 Prioritizzazione degli Alert e Impatto sul SOC

• Riduzione degli Alert: Con una soglia $\theta = 0,6$, il sistema ha ridotto il numero di alert presentati agli analisti del 68,9% (da una baseline di 50–100 alert/ora a circa 16–31 alert/ora).
• Preservazione della Recall: Nonostante la riduzione, il sistema ha mantenuto una recall del 90,72%, garantendo che la stragrande maggioranza degli attacchi reali non venisse persa.
• Riduzione del Carico di Lavoro: La riduzione si traduce in una diminuzione del tempo di triage per l'analista da ~1.000 minuti/ora a ~310 minuti/ora.

4.3 Efficienza e Qualità della XAI

• Velocità SHAP: Ha generato spiegazioni globali e locali in 8,7 ms per campione, soddisfacendo le soglie di quasi-tempo reale per le dashboard SOC.
• Velocità LIME: Ha generato spiegazioni locali in 234,8 ms per istanza.
• Interpretabilità: Il sistema fornisce razionali interpretabili dall'uomo (ad es. specifiche soglie di feature che spingono una predizione verso "attacco") insieme a ogni alert, agevolando il processo decisionale dell'analista senza richiedere competenze di ML.

5. Significato e Rivendicazioni

Il documento afferma che il DEF affronta simultaneamente la triade di accuratezza, riduzione del carico di lavoro e trasparenza, che la letteratura esistente spesso tratta in isolamento.

• Viabilità Operativa: Il framework dimostra che un'elevata accuratezza di rilevamento e una significativa riduzione del volume degli alert sono simultaneamente raggiungibili senza compromettere la recall delle minacce reali.
• XAI in Tempo Reale: Generando spiegazioni in millisecondi (8,7 ms per SHAP), il framework colma il divario tra modelli di deep learning complessi e la necessità di fiducia e azione immediata da parte dell'analista.
• Approccio Olistico: A differenza di studi precedenti che si concentrano esclusivamente sul rilevamento o sulla spiegazione offline, il DEF integra la modellazione temporale (Transformer), la modellazione topologica (GCN) e la prioritizzazione in tempo reale in un unico pipeline adatto ad ambienti SOC di produzione.

Gli autori segnalano limitazioni, tra cui l'uso di un sottoinsieme strutturato di CIC-IDS-2018 invece dell'intero dataset grezzo, l'uso di XGBoost come proxy per LSTM a causa di vincoli ambientali, e la necessità di snapshot della topologia di rete in tempo reale per il modulo GCN. Il lavoro futuro proposto mira a validare l'intero pipeline Transformer+GCN sull'intero dataset e a condurre studi sugli utenti per misurare l'effettivo miglioramento del tempo di risposta degli analisti.