Deep Packet Inspection: difesa proattiva per ORAN

Le reti di comunicazione moderne stanno diventando più aperte, flessibili e interconnesse grazie alle architetture Open Radio Access Network (ORAN). Questa evoluzione è simile alla trasformazione di un ufficio chiuso in uno spazio di lavoro aperto e collaborativo: migliora flessibilità e innovazione, ma richiede anche controlli di sicurezza più solidi, perché più persone e sistemi interagiscono nello stesso ambiente.

Per bilanciare apertura e protezione, l'intelligenza artificiale sta diventando un abilitatore chiave. All'interno di NGCI (Next Generation Communication Infrastructure – la nostra rete privata standalone), SMA-RTY integra soluzioni di cybersecurity basate su IA progettate per mantenere le reti resilienti, affidabili e continuamente operative. Un elemento centrale di questo approccio è la Deep Packet Inspection (DPI), che aiuta le reti a identificare e fermare le minacce prima che possano causare interruzioni.

Oggi la sicurezza di rete si affida principalmente a difese perimetrali, firewall e sistemi di rilevamento delle intrusioni basati su firme. Gli operatori monitorano il traffico alla ricerca di minacce note e intervengono quando viene rilevata un'attività sospetta. Sebbene queste misure tradizionali siano efficaci contro molti attacchi comuni, tendono a essere reattive, rispondendo solo dopo che una minaccia è stata identificata.

• Le difese perimetrali costituiscono la prima linea di protezione, controllando quali dispositivi e utenti possono accedere alla rete.
• I firewall monitorano e filtrano il traffico tra reti interne ed esterne, bloccando le connessioni non autorizzate.
• I sistemi di rilevamento delle intrusioni basati su firme si concentrano su firme di attacco specifiche e predefinite, cercando in sostanza copie esatte di minacce note e avvisando gli operatori quando trovano una corrispondenza.

Sebbene queste misure siano efficaci contro attacchi comuni e già identificati, sono in gran parte reattive e non possono rilevare minacce nuove, in evoluzione o sofisticate che non corrispondono alle firme esistenti. Questo limite lascia una falla nelle reti moderne e dinamiche, dove gli attacchi possono adattarsi rapidamente e aggirare le difese tradizionali.

La Deep Packet Inspection (DPI) è un metodo avanzato per analizzare in dettaglio il traffico di rete tramite reti neurali convoluzionali (CNN, Convolutional Neural Networks). Il monitoraggio tradizionale controlla solo le intestazioni dei pacchetti, un po' come leggere l'indirizzo su una busta. La DPI, invece, valuta come vengono inviati i pacchetti, con quale frequenza compaiono e se il loro comportamento di consegna devia dalla norma, senza aprire la busta.

Cos'è una CNN? È una classe di modelli di intelligenza artificiale progettati per riconoscere pattern complessi. Sono nati ispirandosi ai sistemi visivi biologici, in particolare al modo in cui la corteccia visiva animale elabora le informazioni. Nella visione biologica, i neuroni rispondono a stimoli provenienti da aree specifiche del campo visivo, permettendo al cervello di ricostruire le immagini combinando segnali visivi sovrapposti. Le CNN replicano un approccio a strati simile, estraendo progressivamente dai dati le caratteristiche rilevanti.

Sviluppate inizialmente per l'analisi delle immagini, come il riconoscimento di numeri scritti a mano in applicazioni finanziarie e di elaborazione documentale, eccellono nell'identificare strutture ricorrenti e anomalie all'interno di grandi dataset. Applicate al networking, le CNN imparano a riconoscere i pattern di traffico, distinguendo con elevata accuratezza tra comportamenti legittimi e potenziali minacce.

A differenza degli algoritmi tradizionali che si affidano a filtri progettati manualmente, le CNN imparano automaticamente quali caratteristiche sono più rilevanti durante la fase di addestramento. Questo riduce significativamente l'intervento umano, migliorando al contempo scalabilità e accuratezza di rilevamento.

La DPI di SMA-RTY monitora continuamente il traffico di rete e distingue in tempo reale tra attività legittime e potenzialmente dannose. Opera in modo trasparente all'interno dell'infrastruttura, lavorando in background senza influire sull'esperienza degli utenti. Questo è possibile perché è stata addestrata su dataset di attacchi noti, che le consentono di riconoscere i pattern malevoli in modo rapido e accurato.

Il sistema verifica costantemente il tipo e il comportamento del traffico che attraversa la rete. Quando rileva traffico che non corrisponde ai pattern attesi, attiva automaticamente misure di protezione. Queste azioni includono:

1. l'interruzione della sessione dati sospetta,
2. l'inserimento della sorgente del traffico malevolo in una denylist per bloccarne ulteriori attività,
3. e la modifica della frequenza operativa della cella per prevenire possibili exploit o interferenze.

La risposta automatizzata sposta la sicurezza di rete da un modello reattivo a uno proattivo. Riducendo la dipendenza dall'intervento manuale, gli operatori possono mantenere la continuità del servizio mentre la rete si protegge da sola in tempo reale. Allo stesso tempo, garantisce che gli utenti legittimi possano continuare a usare la rete senza interruzioni.

L'innovazione dietro il sistema DPI di SMA-RTY risiede nella capacità di trasformare il traffico di rete grezzo in una rappresentazione spaziale bidimensionale, trattando di fatto i dati di rete come immagini. Anziché analizzare i pacchetti in modo isolato, il sistema aggrega i flussi di traffico in matrici di input di dimensione N x F. In questa struttura, N rappresenta il numero di pacchetti raccolti in una specifica finestra temporale (fissata a 10 secondi per garantire il funzionamento in tempo reale) e F indica le feature specifiche estratte da ogni pacchetto. Le feature selezionate (F) includono metadati critici che preservano la privacy degli utenti, come la lunghezza del pacchetto IP, il Time-To-Live (TTL), i flag IP e i tempi di inter-arrivo. Questi attributi vengono normalizzati nell'intervallo [0, 1], per evitare che valori numerici più grandi sovrastino la rete neurale durante l'addestramento.

Al cuore del motore di rilevamento c'è una rete neurale convoluzionale (CNN) personalizzata, progettata per un'estrema efficienza computazionale. Pur avendo testato architetture di computer vision allo stato dell'arte (come ResNet o Inception), lo studio ha rilevato che una CNN più snella, con soli tre layer convoluzionali, offriva prestazioni superiori per questo compito specifico. Questo modello personalizzato raggiunge un F1-score fino a 0,9989 nell'identificazione di minacce complesse come attacchi DoS o SYN Flood.

Questa architettura leggera è specificamente progettata per essere integrata nella Network Data Analytics Function (NWDAF) all'edge della rete. Distribuendo questa intelligenza direttamente all'interno della stazione base, il sistema può identificare e scartare i pacchetti malevoli alla fonte, impedendone la propagazione attraverso la core network e garantendo la resilienza.

Un equivoco comune è che la deep packet inspection richieda la lettura del contenuto del payload. La DPI di SMA-RTY si concentra esclusivamente su metadati e anomalie comportamentali, analizzando la struttura del traffico senza ispezionare il payload sensibile degli utenti.

Così come si può individuare un comportamento postale sospetto osservando la frequenza delle spedizioni e i percorsi di consegna — senza aprire le buste — la DPI di SMA-RTY valuta come si comportano i flussi di dati, non cosa contengono. Analizzando le caratteristiche strutturali e comportamentali dei flussi di dati, la DPI di SMA-RTY può rilevare e mitigare autonomamente minacce complesse preservando la privacy degli utenti. Questo consente alla rete di rispondere ai rischi di sicurezza senza richiedere interventi manuali, garantendo una connettività continua e affidabile per gli utenti legittimi.

La DPI di SMA-RTY è particolarmente preziosa nelle bolle tattiche: ambienti di rete temporanei o rapidamente dispiegabili utilizzati in difesa, risposta alle emergenze, operazioni industriali o missioni remote. Questi scenari richiedono elevata affidabilità in condizioni dinamiche e spesso ostili.

I vantaggi chiave includono:

• Sopravvivenza autonoma: la rete può interrompere una sessione malevola e riconfigurarsi in pochi millisecondi.
• Agilità di frequenza: cambiando frequenza, la bolla tattica diventa un bersaglio mobile, rendendo quasi impossibile per gli attaccanti localizzarla.
• Continuità senza interruzioni: per gli utenti legittimi all'interno della bolla, la transizione è fluida come un battito di cuore mancato, appena percepibile eppure vitale per la sopravvivenza.

In questi ambienti, la DPI agisce come un livello di sicurezza adattivo che monitora continuamente il traffico e reagisce in tempo reale, garantendo comunicazioni stabili e sicure quando sono più critiche.

SMA-RTY affronta la sicurezza ORAN come un sistema vivo e adattivo, non come un livello di protezione statico. Invece di affidarsi esclusivamente alla protezione perimetrale, la rete è dotata di meccanismi autonomi in grado di identificare e neutralizzare le minacce nel momento in cui emergono.

Partendo dall'intelligenza basata su CNN, SMA-RTY sta ora portando avanti la ricerca sullo Spike Learning, noto anche come Spiking Neural Networks. Ispirato ai sistemi neurali biologici, lo spike learning elabora le informazioni solo al raggiungimento di soglie specifiche, consentendo reazioni più rapide e una migliore efficienza energetica.

Questa evoluzione potenzierà ulteriormente le capacità della DPI, abilitando reti che imparano continuamente dalle condizioni operative e diventano sempre più adattive nel tempo. Il risultato è un tessuto di comunicazione più resiliente, efficiente e intelligente, progettato per operare in modo affidabile anche in ambienti digitali estremamente impegnativi.

• E. Paolini, L. Valcarenghi, L. Maggiani and N. Andriolli, "Real-Time Network Packet Classification Exploiting Computer Vision Architectures," in IEEE Open Journal of the Communications Society, vol. 5, pp. 1155-1166, 2024, doi: 10.1109/OJCOMS.2024.3363082. https://ieeexplore.ieee.org/stamp/stamp.jsp?arnumber=10423385
• E. Paolini, L. Valcarenghi, L. Maggiani and N. Andriolli, "Real-Time Clustering Based on Deep Embeddings for Threat Detection in 6G Networks," in IEEE Access, vol. 11, pp. 115827-115835, 2023, doi: 10.1109/ACCESS.2023.3325721. https://ieeexplore.ieee.org/stamp/stamp.jsp?arnumber=10287343