Può l’apprendimento automatico trasformare Wazuh in un detective infallibile?

Nel mondo digitale, le minacce informatiche diventano sempre più astute, e i centri operativi di sicurezza (SOC) hanno bisogno di strumenti più intelligenti. Wazuh è un SIEM open‑source molto usato, ma il suo metodo tradizionale basato su regole genera tantissimi falsi allarmi, come un allarme antincendio che suona ogni volta che accendi la cucina. Un team di ricercatori ha deciso di dare a Wazuh una marcia in più, inserendo due tecniche di machine learning: Random Forest (RF) e DBSCAN. RF è come una foresta di decisioni che, analizzando i dati, riesce a distinguere il vero pericolo dal rumore di fondo, raggiungendo il 97,2 % di precisione. DBSCAN, invece, raggruppa gli eventi simili e riduce i falsi positivi al 0,082 %, con un’accuratezza del 91,06 %. Ma la velocità è fondamentale: entrambi i modelli elaborano i dati in meno di 100 ms, e il 95 % degli eventi è gestito entro 500 ms. I test di scalabilità mostrano che il sistema resta stabile fino a 500 eventi al secondo, con una latenza media di 45 ms. In pratica, grazie all’intelligenza artificiale, Wazuh diventa più veloce, più preciso e meno “chiassoso”, aiutando i professionisti a concentrarsi sui veri pericoli.

Il modello Random Forest è un ensemble di alberi decisionali che, mediante bagging, riduce la varianza e migliora la generalizzazione. In questo contesto, ogni albero è addestrato su un sottoinsieme casuale di feature estratte dai log di sicurezza (es. IP sorgente, porta di destinazione, firma di malware). La combinazione delle predizioni tramite voto maggioritario consente di raggiungere un tasso di accuratezza del 97,2 %, con una curva ROC (Receiver Operating Characteristic) che mostra un’area sotto la curva (AUC) superiore a 0,98, indicativa di eccellente discriminazione tra eventi benigni e maligni. DBSCAN (Density‑Based Spatial Clustering of Applications with Noise) è stato impiegato per identificare cluster di attività anomale in uno spazio multidimensionale definito da metriche temporali e di frequenza. Il parametro ε (epsilon) è stato ottimizzato mediante ricerca a griglia, mentre il minimo numero di punti (MinPts) è stato fissato a 5, garantendo la rilevazione di micro‑attacchi distribuiti. La capacità di DBSCAN di etichettare come “rumore” i punti isolati riduce drasticamente i falsi positivi, portandoli a 0,0821 %. Entrambi i modelli sono stati implementati in Python con librerie scikit‑learn e integrati nel pipeline di Wazuh tramite moduli custom. Per rispettare i requisiti di latenza, i modelli sono stati serializzati in formato ONNX e caricati in memoria RAM, evitando I/O su disco. Il throughput di 500 eventi al secondo è stato verificato con Apache JMeter, mantenendo una latenza media di 45 ms, ben al di sotto della soglia di 100 ms stabilita per il processing in tempo reale. Inoltre, è stata condotta una valutazione di robustezza mediante perturbazione dei dati di input (ad esempio, aggiunta di rumore gaussiano) per assicurare che le performance non degradino significativamente in scenari di dati incompleti o corrotti. Questo approccio ibrido dimostra come l’unione di tecniche supervisionate (RF) e non supervisionate (DBSCAN) possa bilanciare precisione e resilienza, offrendo una soluzione scalabile e pronta per ambienti SOC moderni.