Adversarial training su ML-NIDS

I sistemi di rilevamento delle intrusioni di rete basati su machine learning (ML-NIDS) raggiungono prestazioni elevate su traffico ordinario, ma sono vulnerabili agli adversarial attack: perturbazioni mirate del traffico malevolo che inducono il classificatore a etichettarlo come benigno. La letteratura ha affrontato questa minaccia soprattutto sul versante offensivo e prevalentemente in feature space, ovvero manipolando la rappresentazione interna del rilevatore, spazio analiticamente trattabile ma non realizzabile da un attaccante reale, che agisce sui pacchetti e non sulle feature estratte dal sistema. Il presente lavoro definisce, implementa e valuta un framework di adversarial training operante in problem space, in cui gli esempi adversariali derivano da perturbazioni realistiche e protocol-compliant applicate direttamente al traffico di rete a livello di pacchetto. La sperimentazione, condotta sul dataset CTU-13 con un classificatore Random Forest, confronta sistematicamente modelli baseline e modelli irrobustiti contro un'ampia gamma di perturbazioni. I risultati mostrano che i modelli ordinari subiscono un netto degrado in presenza di traffico perturbato, mentre l'adversarial training recupera la capacità di rilevamento senza penalizzare le prestazioni su traffico ordinario. Emerge inoltre che perturbazioni stocastiche ad ampia variabilità, adottate in addestramento, producono una robustezza trasferibile anche verso attacchi non osservati in precedenza.