Applicazione della trasformata wavelet alla caratterizzazione e al rilievo di anomalie in reti basate sul protocollo IP

Un'anomalia nel traffico di rete, o evento anomalo, da un punto di vista del tutto generale, corrisponde ad un qualsiasi evento non previsto che modifica in modo più o meno sostanziale il profilo del traffico di rete, ritenuto nella norma sulla base delle caratteristiche tipiche della rete. La modifica del profilo di traffico (in genere un aumento o più in generale una modifica del suo profilo standard) può degradare le prestazioni di una rete fino a bloccare l'erogazione dei fondamentali servizi per cui la rete stessa è stata progettata e implementata.
Inoltre, lo sviluppo - sia in termini di complessità che di importanza - delle reti informatiche ha determinato la proliferazione di una serie molto variegata di eventi anomali che si possono presentare ed osservare nel traffico di rete.
E' risultato pertanto necessario lo sviluppo in parallelo del concetto di Anomaly Detection e di Anomaly Detection System (ADS), termine coniato da James P. Anderson in un suo rapporto tecnico del 15 Aprile 1980.
L'idea di base degli ADS è di rilevare un'anomalia nel traffico dati associato ad un sistema informatico, allo scopo di segnalarne la presenza all'amministratore della rete tramite un allarme e in modo da poter intervenire con le azioni più opportune tali da risolvere in modo veloce ed efficiente il problema associato all’anomalia rilevata.
Risultati particolarmente incoraggianti hanno mostrato le metodologie basate sull'utilizzo delle trasformata Wavelet. Le peculiari caratteristiche di localizzazione tempo-frequenza di tale trasformata e l'ottima capacità di individuazione delle singolarità, la rendono un valido aiuto nel campo dell'Anomaly Detection.
E’ stato perciò implementato un sistema di anomaly detection articolato in due parti:
-Rough detection: implementata tramite uno degli ADS già presenti il letteratura, il cui scopo è lavorare ad alta sensibilità in modo da essere sicuri di minimizzare il numero di falsi negativi, senza preoccuparsi del numero elevato di falsi positivi;
-Fine detection, implementata tramite un sistema basato sulla trasformata wavelet, il cui scopo è quello di discernere, tra le segnalazioni della rough detection, quali corrispondono effettivamente ad eventi anomali, e quali corrispondono a variazioni regolari del traffico.
La fine detection consente inoltre di effettuare una stima dell’effettiva durata dell’evento anomalo, riducendo i problemi di frammentazione, ovvero di ripetute segnalazioni di durata inferiore per una stessa anomalia.
Numorose prove sono state effettuate lavorando su tracce di traffico relative a reali ambienti di rete e con anomalie generate tramite i principali tools di attacco oggi disponibili sul web, consentendo di ricavare significative statistiche sulle prestazioni del sistema realizzato.
I risultati sperimentali ottenuti al variare delle caratteristiche delle anomalie (durata, intensità e posizione) mostrano la capacità di tale sistema di lavorare ad un’alta sensibilità, in modo da garantire un’ottima percentuale di rilevazione, ma mantenendo comunque limitato il numero di falsi positivi. Tali risultati hanno consentito inoltre di verificare l’ottima capacità del sistema sia in termini di precisione nella stima della durata dell’evento anomalo che in termini di risoluzione nei confronti di anomalie ravvicinate.