DPI basata su CNN per una sicurezza 5G più solida

Le reti 5G private ridefiniscono la connettività sicura per la difesa e le infrastrutture critiche. Per proteggere questa infrastruttura, la Deep Packet Inspection (DPI) sposta la cybersecurity direttamente all'edge della rete, fermando il traffico malevolo prima che impatti le operazioni fondamentali.

Gli approcci tradizionali alla cybersecurity si basano spesso su un'ispezione centralizzata in cloud. Il problema? Non possono fermare gli attacchi informatici che colpiscono direttamente la stazione base, un punto critico nelle reti 5G private, soprattutto per le applicazioni mission-critical.

Per capire come l'Intelligenza Artificiale possa aiutare ad affrontare questa sfida, abbiamo parlato con Emilio Paolini, ricercatore in IA presso la Scuola Superiore Sant'Anna ed ex dottorando con SMA-RTY, il cui lavoro accademico ha contribuito allo sviluppo del motore di Deep Packet Inspection (DPI) di SMA-RTY per la rete 5G privata NGCI.

Comprendere i rischi di cybersecurity del 5G privato

Innanzitutto, quali sono oggi i principali rischi di cybersecurity per le reti 5G private?

Una delle minacce più grandi viene dagli attacchi DoS e DDoS. Cercano di sovraccaricare server o funzioni di rete inondandoli di traffico, rendendo i servizi indisponibili.

Un attacco DoS proviene da una singola fonte. Un attacco DDoS? Immaginatelo come un ingorgo causato da migliaia di auto che arrivano da tutte le direzioni contemporaneamente: è molto più difficile da gestire.

Nelle reti 5G private, dispositivi compromessi connessi alla rete stessa possono generare questo traffico. Senza un rilevamento rapido, questi attacchi possono mettere fuori uso servizi critici. La sfida è individuare il traffico malevolo immediatamente, prima che si propaghi.

Schema dei vettori di attacco DoS e DDoS diretti contro una stazione base 5G privata

Perché l'ispezione in cloud fallisce all'edge del 5G?

La sicurezza di rete tradizionale si basa su un'ispezione centralizzata in cloud. Sebbene efficace per le reti IT standard, dove il traffico converge centralmente, questo modello introduce latenza e falle di sicurezza nei deployment 5G privati localizzati.

Le reti 5G private, però, operano spesso come “bolle”. Se l'ispezione avviene troppo tardi, il traffico malevolo può aver già colpito l'intera rete. Le protezioni in cloud, in questi casi, non sono un'opzione.

Dalle FC-NN alle CNN: scegliere gli strumenti di IA giusti

Quindi il problema principale degli approcci tradizionali è che non possono proteggere la bolla: è questo che ha portato alla vostra ricerca?

Esattamente.

L'idea di fondo era rendere intelligente la stazione base stessa: non solo un punto di trasmissione, ma anche un punto di enforcement della sicurezza.

Potevamo applicare una sicurezza basata su IA direttamente al gNodeB, rilevando le minacce nell'istante in cui compaiono? Questo è stato il punto di partenza, e ci ha portati a esplorare il Deep Learning.

Nei vostri studi avete usato reti neurali (NN) e reti neurali convoluzionali (CNN). Perché proprio queste?

Inizialmente abbiamo lavorato con le NN, in particolare con architetture fully connected, perché sono una soluzione consolidata per i problemi di classificazione ed erano già state applicate alla cybersecurity.

Durante le nostre analisi, però, abbiamo osservato che il traffico di rete può essere ben rappresentato come una matrice, in cui ogni riga corrisponde a un pacchetto e ogni colonna rappresenta una feature, come la dimensione del pacchetto o la temporizzazione.

Questa struttura assomiglia a una sorta di immagine. E dato che le CNN sono progettate per individuare pattern nelle immagini, ci siamo chiesti: potrebbero rilevare pattern nel traffico di rete in modo più efficace?

Quindi il primo studio ha testato le NN e il secondo si è concentrato sulle CNN?

Sì. Il primo studio è stato un test preliminare per capire quanto bene le NN potessero rilevare gli attacchi DoS. I risultati hanno mostrato che una CNN poteva fare ancora meglio, così in seguito abbiamo seguito quella strada.

Come le avete validate?

In entrambi gli studi abbiamo addestrato gli algoritmi su dataset contenenti traffico benigno e malevolo*, per poi testarne le prestazioni con gli strumenti software Keysight BreakingPoint. Questo ci ha permesso di valutare gli approcci in un ambiente telecom realistico.

  • Nel primo studio abbiamo addestrato sul l'attacco DoS Hulk e testato su Hulk e su un altro attacco, DoS Golden Eye. L'accuratezza è stata superiore al 90%.
  • Nel secondo studio abbiamo addestrato una CNN personalizzata specificamente per il traffico mobile usando il dataset 5G-NIDD, generato da una rete 5G reale.

La CNN personalizzata ha superato le altre architetture allo stato dell'arte, diventando la base del motore DPI di SMA‑RTY.

Confronto delle prestazioni tra modelli NN e CNN nel rilevamento delle minacce di rete

* dataset CIC-IDS 2017 per il primo studio, basato su traffico internet tradizionale (non mobile), e dataset 5G-NIDD, basato su traffico mobile.

Come gli studi hanno dato forma al motore DPI di NGCI

Quali sono stati i risultati chiave?

Entrambi gli studi hanno confermato che la DPI basata su CNN è estremamente efficace nell'individuare attacchi DoS e DDoS a livello applicativo, e può farlo direttamente presso la core network. Un altro punto chiave: la stessa architettura può essere riaddestrata con nuovi dataset, rendendola adattabile a reti diverse.

In che modo queste ricerche hanno contribuito al motore DPI di NGCI?

Come dicevo poco fa, queste ricerche (soprattutto la seconda) hanno fornito le fondamenta del motore DPI di NGCI.

La CNN personalizzata utilizzata era composta da 3 layer convoluzionali (8, 64, 128 filtri) seguiti da 3 layer fully connected (512, 128, 9 unità) con attivazioni ReLU e SoftMax.

Detto in parole semplici.

Immaginatela come un checkpoint di sicurezza a più livelli:

  • I layer convoluzionali agiscono come scanner, ognuno più preciso del precedente: individuano pattern, dettagli e anomalie sottili.
  • I layer fully connected sono gli agenti di sicurezza, che esaminano le informazioni e decidono se il traffico è sicuro o malevolo.
Schema dell'architettura CNN a 3 layer utilizzata nel motore DPI di NGCI

La DPI si basa esattamente su questa CNN personalizzata testata nello studio, anche se da allora, naturalmente, sono stati apportati aggiornamenti.

Questo approccio a livelli consente al motore DPI di NGCI di rilevare le minacce istantaneamente alla stazione base, fermando gli attacchi prima che degenerino.

Perché la sicurezza IA all'edge è il futuro del 5G?

Man mano che le reti 5G private si espandono nei settori mission-critical, la cybersecurity deve evolvere di conseguenza. La sola protezione centralizzata non è più sufficiente.

La sicurezza deve diventare distribuita, intelligente e integrata nell'infrastruttura di rete stessa.

La DPI basata su CNN fa esattamente questo: trasforma le stazioni base da infrastruttura passiva in difensori attivi, garantendo che le reti di prossima generazione restino sicure e affidabili.

Inoltre, le celle 5G private possono ospitare servizi di terze parti direttamente all'edge. Questo significa che diverse applicazioni basate su IA, non solo di sicurezza, possono essere eseguite localmente, abilitando un approccio AI-RAN in cui l'intelligenza è incorporata in tutta la rete, non solo centralizzata.

Questa trasformazione avrà un ruolo chiave nel garantire sicurezza, flessibilità e affidabilità della connettività di prossima generazione.

Riferimenti

indietro