Come può BERT scovare attacchi invisibili nelle reti SDN?

Le reti software‑defined (SDN) separano il cervello della rete (piano di controllo) dal suo corpo (piano dati). Questa flessibilità è fantastica, ma rende il centro di comando un bersaglio allettante per gli hacker. Tradizionalmente, i sistemi di difesa si concentrano su attacchi noti, come i DDoS, ma cosa succede quando appare una minaccia nuova?

Un gruppo di ricercatori ha provato a trasformare i flussi di dati di rete in “frasi” comprensibili a un modello di linguaggio, BERT‑base‑uncased. In pratica, ogni pacchetto diventa una parola e le sequenze di pacchetti formano frasi che BERT può analizzare. Grazie a Random Forest, le caratteristiche più utili vengono selezionate, riducendo il carico computazionale.

Il risultato? Un sistema che valuta più flussi contemporaneamente, rendendo la decisione più solida. Nei test, BERT ha riconosciuto attacchi già noti con una precisione del 99,96 % e, sorprendentemente, ha mantenuto lo stesso livello di accuratezza anche su attacchi mai visti prima. Questo dimostra che un modello di linguaggio, se addestrato correttamente, può cogliere schemi nascosti nel traffico di rete, anticipando minacce emergenti.

L’approccio apre la porta a difese più intelligenti per le SDN, dove la capacità di rilevare l’ignoto è cruciale per mantenere le reti sicure e resilienti.

Il modello BERT‑base‑uncased è stato originariamente addestrato su 3,3 miliardi di token provenienti da Wikipedia e BookCorpus, consentendo di catturare relazioni contestuali a lungo raggio. Per adattarlo al dominio delle reti, i flussi di pacchetti sono stati codificati in sequenze di token che rappresentano attributi come indirizzo IP, porta, protocollo e dimensione del pacchetto. Questa tokenizzazione preserva la struttura temporale e gerarchica del traffico, permettendo a BERT di apprendere dipendenze tra eventi di rete. La fase di feature selection con Random Forest riduce il numero di token da 512 a circa 150, mantenendo le informazioni più discriminanti per la classificazione. L’addestramento supervisionato utilizza una loss function cross‑entropy bilanciata per gestire l’eventuale sbilanciamento tra classi di attacco e traffico legittimo. Per la capacità di generalizzare a minacce non viste, è stato impiegato un approccio di fine‑tuning con data augmentation: nuovi flussi sintetici sono stati generati variando parametri di timing e dimensione, simulando attacchi zero‑day. Il risultato è un modello che, grazie alla sua architettura transformer, può inferire pattern di anomalie anche quando le sequenze di token differiscono significativamente da quelle del set di addestramento, garantendo una robusta resilienza contro evoluzioni rapide delle tattiche di attacco.