Come fanno i modelli di machine learning a riconoscere gli attacchi zero‑day che nessuno ha mai visto?

Immaginate di dover difendere una rete da attacchi informatici che nessuno ha mai visto prima: è proprio la sfida degli attacchi zero‑day. Questi attacchi sono nuovi, quindi i sistemi tradizionali che riconoscono solo pattern già conosciuti spesso falliscono. In uno studio recente, cinque modelli di apprendimento supervisionato sono stati testati su dati fortemente sbilanciati, dove gli attacchi normali sono la stragrande maggioranza e gli attacchi zero‑day appaiono solo nella fase di test. I ricercatori hanno applicato tecniche di grid search per ottimizzare i parametri, ridotto la dimensionalità con PCA e usato l’oversampling (SMOTE) per bilanciare le classi. I risultati mostrano che il Random Forest raggiunge la massima accuratezza sia con che senza oversampling, ma richiede più tempo di calcolo. Per un buon compromesso tra velocità e precisione, è stato scelto l’XG Boost, che riesce a individuare gli attacchi zero‑day in modo rapido e affidabile. Questo lavoro dimostra che, con le giuste strategie di pre‑elaborazione, anche i modelli supervisionati possono diventare strumenti efficaci contro le minacce più elusive.

Lo studio ha utilizzato un dataset di traffico di rete contenente etichette di traffico benigno e vari tipi di attacco, tra cui exploit zero‑day simulati. La classe di attacco rappresentava meno dell’1% del totale, creando un forte squilibrio che tende a far privilegiare la classe maggioritaria durante l’addestramento. Per mitigare questo effetto, è stata applicata la tecnica SMOTE (Synthetic Minority Over‑sampling Technique) che genera nuovi esempi sintetici della classe minoritaria nello spazio delle feature. In parallelo, è stata effettuata una riduzione della dimensionalità tramite PCA, mantenendo il 95% della varianza spiegata, per ridurre il rumore e migliorare la generalizzazione dei modelli. Ogni algoritmo (Logistic Regression, Decision Tree, Random Forest, Support Vector Machine, XG Boost) è stato sottoposto a una ricerca a griglia su iperparametri critici (ad esempio, numero di alberi e profondità per RF, learning rate e max depth per XGB). Le metriche di valutazione hanno incluso accuracy, precision, recall, F1‑score e AUC‑ROC, oltre al tempo di esecuzione medio per predizione. I risultati hanno mostrato che Random Forest raggiunge l’accuracy più alta (≈94%) sia con che senza oversampling, ma il tempo medio di predizione è circa 2,3 volte superiore rispetto a XG Boost. XG Boost, invece, ha ottenuto un’accuracy leggermente inferiore (≈91%) con un tempo di predizione significativamente più basso, rendendolo più adatto a scenari di rilevamento in tempo reale. L’analisi delle curve di apprendimento ha evidenziato che entrambi i modelli beneficiano dell’oversampling soprattutto in termini di recall della classe zero‑day, passando da circa 0,62 a 0,78. Questi risultati suggeriscono che una combinazione di oversampling per migliorare la sensibilità e di algoritmi basati su boosting per la velocità possa rappresentare una strategia efficace contro le minacce zero‑day.