Adversarial Attack contro Network Intrusion Detection System basati su Machine Learning in Traffic Space

I Network Intrusion Detection System basati su machine learning (ML-NIDS) raggiungono prestazioni elevate nel riconoscimento del traffico malevolo, ma restano esposti agli adversarial attack, il cui obiettivo è evadere il detector: alterare il traffico malevolo in modo che venga classificato come benigno e sfugga al rilevamento. Gran parte della letteratura valuta questa vulnerabilità in feature space, perturbando le variabili di flusso già estratte, oppure assume capacità dell'attaccante poco realistiche, come il controllo dell'exporter dei flussi o l'interrogazione ripetuta del classificatore. Poiché il sensore di rilevamento risiede su un'infrastruttura protetta, tali ipotesi rischiano di sovrastimare l'efficacia reale dell'evasione. Questa tesi valuta l'evasione in traffic space, introducendo perturbazioni a livello di pacchetto su packet capture, prima dell'aggregazione in flussi. Si considerano due strategie, valutate separatamente: il padding del payload dei pacchetti e il ritardo del loro invio. Il modello di minaccia assume un attaccante blind, che modifica soltanto il proprio traffico malevolo nel rispetto dei vincoli di protocollo. La valutazione sperimentale riguarda più famiglie di botnet e malware tratte dai dataset pubblici CTU-13 e MCFP, traffico TCP e UDP, e tre classificatori: Decision Tree, Random Forest e HistGradientBoosting. A fini di confronto con la letteratura, le stesse perturbazioni sono replicate anche in feature space.