NOS-Gate: Queue-Aware Streaming IDS for Consumer Gateways under Timing-Controlled Evasion

Technische Samenvatting: NOS-Gate – Queue-bewuste Streaming IDS voor Consumentengateways onder Timing-gecontroleerde Evasie

Probleemstelling
Consumentengateways bevinden zich tussen versleutelde IoT-apparaten en clouddiensten, wat diepe pakketinspectie (DPI) bemoeilijkt. Hoewel encryptie de inhoud van de payload verbergt, elimineert dit de zijkanalen zoals pakkettiming, grootte en burst-structuren niet. Deze metadata-signalen kunnen worden geëxploiteerd voor apparaatidentificatie en beveiligingsmonitoring. Er ontstaat echter een kritieke operationele uitdaging: een adaptieve tegenstander kan de inter-arrival tijden van pakketten en burst-patronen hervormen om de ritmes van legitieme apparaten na te bootsen, terwijl een verborgen aanvalsobjectief wordt nagestreefd. Deze "timing-gecontroleerde evasie" ondermijnt metadata-gebaseerde detectiesystemen die vertrouwen op statische drempelwaarden of offline nauwkeurigheid. Bovendien werken consumentengateways onder strikte beperkingen met betrekking tot CPU-gebruik en latentie, waardoor grote modellen of zware training onpraktisch zijn. Het kernprobleem dat wordt geadresseerd is of een stand-alone gateway deze timing-gevormde aanvallen snel genoeg kan detecteren om in te grijpen, gebruikmakend van enkel metadata, met een laag aantal vals-positieven, en of de resulterende mitigatie daadwerkelijk de gebruikerszichtbare wachtrij-schade vermindert in plaats van deze te verergeren.

Methodologie
Het artikel stelt NOS-Gate voor, een streaming Intrusion Detection System (IDS) dat specifiek is ontworpen voor stand-alone consumentengateways.

• Architectuur: NOS-Gate instantieert een lichtgewicht, tweetoestands dynamische eenheid afgeleid van Network-Optimised Spiking (NOS) dynamica voor elke netwerkstroom.
  • Toestand $v$ (Bewijsaccumulatie): Fungeert als een begrensde bewijs-wachtrij die stijgt wanneer genormaliseerde metadata-features afwijken van legitieme patronen. Het bevat lektermen om ongebreidelde accumulatie te voorkomen en begrensde niet-lineariteit om de gevoeligheid voor zeldzame transiënten te verminderen.
  • Toestand $u$ (Herstel/Onderdrukking): Een hersteltoestand die stijgt bij aanhoudende verhoging en negatieve feedback biedt om herhaaldelijk triggeren te onderdrukken (hysteresis).
  • Input: De "exogene drive" wordt geherinterpreteerd van wachtrij-interferentie (in de originele NOS) naar een scalaire bewijs-signaal ($E_{i,t}$) berekend uit genormaliseerde metadata-features (timing, grootte, congestie, en optionele DNS/TLS handshake-data).
• Detectielogica: Het systeem scoort vaste vensters (250 ms) van metadata. Om beslissingen te stabiliseren en "flapping" te voorkomen, past het een K-van-M persistentieregel toe: een stroom wordt gemarkeerd als actiebaar als er $K$ alarmen optreden binnen de meest recente $M$ vensters.
• Actiemechanisme: Bij een persistente melding activeert NOS-Gate een omkeerbare mitigatie: het vermindert tijdelijk het gewicht van de gemarkeerde stroom onder Weighted Fair Queueing (WFQ). Dit beoogt de wachtrij-staart-schade (latentie voor de aanval) te verminderen terwijl de nevenschade (collateral delay) voor legitiem verkeer wordt beperkt, zonder de stroom onmiddellijk te blokkeren.
• Kalibratieprotocol: Het systeem werkt in een stand-alone, label-vrije modus. Het gebruikt een verondersteld legitiem "burn-in" segment om hoog-kwantiel drempelwaarden (bijv. 99,9e percentiel) voor elke stroom te berekenen. Deze drempelwaarden worden bevroren tijdens de testfase. Labels worden alleen gebruikt voor het rapporteren van prestatie-metrieken, niet voor training of afstemming.

Evaluatiekader: De "Worlds" Benchmark
Om het systeem rigoureus te evalueren onder timing-gecontroleerde evasie, introduceert de auteur een uitvoerbare "worlds" benchmark.

• Structuur: Een "world" is een volledig gespecificeerde, reproduceerbare synthetische instantie die legitieme apparaatprocessen, kwaadaardige episode-generatoren en een congestiestructuur bevat (cliques van stromen die een scheduling-domein delen).
• Adversariële Budgetten: Aanvallen worden beperkt door controleerbare operationele budgetten:
  1. Doorvoergemiddelde ($R_{min}$): De aanval moet een minimale dataraat handhaven.
  2. Timing-distortie ($\epsilon$): De Wasserstein-afstand tussen de kwaadaardige inter-arrival tijd (IAT) distributie en een legitieme referentie moet onder een drempelwaarde blijven.
  3. Contestie-stealth ($\delta_q$): De aanval mag de gemiddelde wachtrijvertraging van de contestie-clique niet significant verhogen ten opzichte van legitiem verkeer.
• Haalbaarheid: De benchmark bevat een protocol om te bepalen of een specifieke set budgetten haalbaar is; zo niet, dan probeert de generator de haalbaarheid te herstellen of rapporteert onhaalbaarheid.
• Impactmeting: Evaluatie omvat pakketniveau WFQ-replay om de wachtrij-staartvertraging (p99.9) en de nevenschade (impact op legitieme stromen) onder de gating-actie te kwantificeren.

Kernbijdragen

1. NOS-Gate Detector: Een streaming, metadata-only IDS die NOS-dynamica mapt naar flow-niveau intrusiedetectie, voorzien van een directe actie-hook (WFQ deprioritisering) gedreven door een persistentie-gebaseerd alarmeringsmechanisme.
2. Uitvoerbare Worlds Benchmark: Een reproduceerbare benchmark met gepubliceerde congestiestructuren en controleerbare aanvallersbudgetten, wat de evaluatie van wachtrij-staart en collateral uitkomsten onder timing-gevormde aanvallen mogelijk maakt.
3. Gestandaardiseerd Operationeel Protocol: Een stand-alone, label-vrije kalibratiemethode met behulp van burn-in kwantiel-drempelwaarden, die een expliciet fout-positief budget vastlegt zonder gesuperviseerde afstemming, wat een eerlijke vergelijking van detectie en actie-impact mogelijk maakt.

Resultaten
Geëvalueerd over meerdere reproduceerbare werelden en kwaadaardige episodes onder een strikte 0,1% false-positive rate (FPR) werkpunt:

• Detectieprestaties: NOS-Gate behaalde een incident recall van 0,952 (slechts 1 van de 21 incidenten gemist), waarmee het de beste baseline (TinyGRU, 0,857 recall) en andere label-vrije baselines (KitNET, Autoencoder) overtrof. De persistentieregel stelde NOS-Gate in staat om matige afwijkingen over de tijd te accumuleren, waardoor het voor timing-gecontroleerde tegenstanders moeilijker werd om scores onder de hoog-kwantiel drempelwaarde te drukken.
• Wachtrijimpact: Wanneer WFQ gating werd ingeschakeld, was NOS-Gate de enige methode die consistent zowel de p99.9 wachtrijvertraging (vermindering van ~3,24 ms) als de p99.9 collateral delay (vermindering van ~3,16 ms) verbeterde vergeleken met baseline replay zonder gating. Andere methoden verhoogden, wanneer ze werden toegepast met gating, vaak de staartvertragingen door minder gerichte gating.
• Efficiëntie: NOS-Gate demonstreerde een gemiddelde scorekosten van ≈2,09 µs per flow-window op een standaard CPU, vergelijkbaar met een compacte autoencoder en aanzienlijk sneller dan KitNET en TinyGRU.

Betekenis en Claims
Het artikel claimt dat NOS-Gate een specifieke implementatiekloof aanpakt: de behoefte aan een gateway IDS die niet alleen accuraat is onder timing-evasie, maar ook in staat is om acties te ondernemen die meetbaar de gebruikerszichtbare netwerkprestaties (wachtrij-uitkomsten) verbeteren in plaats van enkel alarmen te genereren.

• Bescheidenheid van Claims: De auteurs stellen expliciet dat zij geen aanspraak maken op payload-inspectie, implementatie in ISP-grade firmware, of dat hun synthetische werelden elke echte dataset perfect reproduceren.
• Kernbijdrage: Het werk levert een falsifieerbaar protocol en een reeks artefacten (werelden, budgetten, congestiestructuren) die zowel evasie als de impact op de wachtrij meetbaar maken. Het demonstreert dat onder strikte fout-positief budgetten een lichtgewicht, tweetoestands streaming detector een hogere incidentdetectie en betere wachtrij-staart uitkomsten kan bereiken dan complexere baselines wanneer deze gekoppeld