Dati che diventano immagini: un altro modo di riconoscere le minacce informatiche
Come i dati della cybersicurezza diventano immagini per riconoscere meglio malware e intrusioni
Questo studio parte da un’idea precisa: per riconoscere meglio le minacce informatiche può essere utile cambiare il modo in cui i dati vengono rappresentati. Invece di trattare malware e intrusioni di rete solo come insiemi di valori numerici, gli autori li trasformano in immagini a colori. Non si tratta di un espediente grafico né di un modo per rendere i dati più gradevoli da vedere. L’obiettivo è costruire una rappresentazione diversa, in cui contano non solo i singoli valori, ma anche il modo in cui sono disposti nello spazio. In questa forma, un modello sviluppato per analizzare immagini può cercare regolarità, vicinanze e differenze tra comportamenti benigni e comportamenti malevoli. È proprio questo cambio di rappresentazione a costituire il centro del lavoro.
Il punto di partenza è un insieme di caratteristiche che descrivono attività informatiche. Prima di trasformarle in immagini, però, queste informazioni vengono preparate. Le caratteristiche espresse in forma non numerica vengono tradotte in numeri, mentre quelle già numeriche vengono riportate tutte sulla stessa scala, così da poter essere trattate in modo uniforme. Solo dopo questa preparazione si costruisce l’immagine. Anche la sua dimensione non è uguale in tutti i casi, ma viene scelta automaticamente in base al numero delle caratteristiche da rappresentare. Questo mostra che la codifica può adattarsi a insiemi di dati diversi, senza richiedere una struttura fissa.
A questo punto ogni caratteristica viene associata a un punto dell’immagine. Il suo valore numerico viene trasformato in un colore, distribuendo l’informazione sui tre canali fondamentali dell’immagine digitale: rosso, verde e blu. Gli autori usano una codifica a colori costruita secondo la logica delle immagini digitali. Il punto, anche qui, non è visivo in senso estetico. Il colore serve a conservare l’informazione numerica in una forma che possa essere letta come immagine da un modello di visione artificiale. Lo studio segnala inoltre che questa scelta sostituisce la codifica in scala di grigi usata in un precedente lavoro degli stessi autori. La novità, quindi, non sta solo nell’uso delle immagini, ma anche nel passaggio a una rappresentazione a colori più ricca.
La fase decisiva riguarda il modo in cui queste caratteristiche vengono collocate dentro l’immagine. Non vengono distribuite a caso, né semplicemente messe una dopo l’altra. Lo studio spiega che le caratteristiche tra loro correlate vengono posizionate in punti vicini, così da conservare nello spazio relazioni che in una tabella resterebbero disperse. Gli autori richiamano un loro lavoro precedente per la procedura precisa con cui viene fatto questo abbinamento tra caratteristiche e punti dell’immagine, ma qui l’aspetto essenziale è già chiaro: esiste un criterio ordinato, non una scelta arbitraria. In questo modo, gruppi di caratteristiche che tendono a comparire insieme possono formare zone riconoscibili dell’immagine. Ed è proprio da questa organizzazione che cominciano a emergere configurazioni visive ricorrenti, utili a distinguere classi diverse di minacce.
Si capisce allora perché una rappresentazione per immagini possa aiutare a distinguere comportamenti benigni e comportamenti malevoli. Se una certa minaccia presenta combinazioni ricorrenti di caratteristiche, la loro vicinanza nello spazio può produrre configurazioni visive relativamente stabili. Il modello non si limita più a leggere valori isolati, ma può cogliere relazioni locali tra gruppi di caratteristiche e distribuzioni che interessano parti più ampie dell’immagine. Lo studio collega proprio a questo la possibilità di ricavare vere e proprie “firme” visive delle diverse classi. In questo senso l’immagine non serve a rendere il dato più gradevole o più facile da guardare, ma a organizzarne il contenuto in un modo che può rendere più riconoscibili le differenze tra dati normali e dati malevoli.
Una volta costruita l’immagine, il modello non la analizza tutta insieme. La divide in piccoli riquadri e mette in relazione ciò che compare nelle diverse zone. In questo modo può leggere meglio la struttura complessiva dell’immagine, non solo i singoli punti. Lo studio mostra anche che la dimensione di questi riquadri non è un dettaglio secondario: può influire sull’accuratezza, e la scelta più utile cambia a seconda del tipo di dati considerati. Per il lettore non tecnico il punto essenziale è questo: non basta trasformare i dati in immagini, bisogna anche decidere come scomporle perché il modello possa leggerle nel modo più efficace.
Il metodo viene provato in due campi diversi della sicurezza informatica. Il primo riguarda il malware, cioè i software dannosi. Il secondo riguarda le intrusioni di rete, cioè i tentativi di attacco che passano attraverso il traffico di rete. Per mettere alla prova il metodo, gli autori usano quattro raccolte di dati: CICMalDroid20 e CICMalMem22 per il malware; NSL-KDD e UNSW-NB15 per le intrusioni di rete. Pur partendo da dati diversi, lo studio mostra che possono essere trattati con la stessa logica, cioè trasformandoli in immagini a colori costruite a partire dalle relazioni tra le caratteristiche. È questo il punto più interessante della proposta. Dati molto diversi tra loro vengono ricondotti a una forma comune, che il modello può analizzare come insieme di configurazioni visive. In questo modo, sia il malware sia le intrusioni di rete non vengono letti soltanto come serie di numeri, ma come strutture da cui il sistema prova a riconoscere configurazioni ricorrenti utili a distinguere i comportamenti benigni da quelli malevoli.
Questo articolo nasce nell’ambito delle attività di Terza Missione promosse da Stroncature in collaborazione con l’Università degli Studi di Bari Aldo Moro, nel quadro delle iniziative di Public Engagement finanziate dal “Bando per Finanziamento di Iniziative di Public Engagement” a valere sul Progetto “Sistema Universitario Pugliese”, finanziato nell’ambito della misura “Patti Territoriali dell’Alta Formazione per le Imprese” (CUP F61B23000370006). Il testo rielabora in forma divulgativa il contributo scientifico “VINCENT: Cyber-threat detection through vision transformers and knowledge distillation” di Luca De Rose, Giuseppina Andresini, Annalisa Appice e Donato Malerba, dell’Università degli Studi di Bari Aldo Moro, pubblicato sulla rivista Computers & Security, vol. 144, 2024, art. 103926, DOI 10.1016/j.cose.2024.103926, per renderne i contenuti più fruibili a un pubblico non specialista.
