Come l'IA trasforma i dati di rete in immagini per fermare gli hacker?

Nel mondo di oggi, le reti sono costantemente sotto attacco da parte di intrusioni dannose. Per affrontare il problema dei dati ad alta dimensione, rumorosi e non lineari, i ricercatori hanno sviluppato un modello che combina diverse tecniche. Prima di tutto, viene usato un metodo ibrido di selezione delle caratteristiche e riduzione della dimensionalità basata sui kernel, che proietta le informazioni in uno spazio a bassa dimensione preservando le differenze non lineari. Queste caratteristiche ridotte vengono poi trasformate in immagini a colori, dove ogni tonalità rappresenta una particolare proprietà del traffico di rete. Su queste immagini viene applicata una rete neurale convoluzionale, ottimizzata tramite transfer learning: i pesi di una rete pre‑addestrata vengono affinati sul nuovo compito, migliorando la capacità di distinguere tra vari tipi di attacco. Testati sui dataset UNSW‑NB15 e CICIDS 2017, i risultati mostrano un'accuratezza del 99,99% e del 99,96% rispettivamente, con F1‑score altrettanto elevati. Questo approccio dimostra come l'unione di riduzione della dimensionalità, rappresentazione visiva e apprendimento trasferito possa portare a sistemi di rilevamento delle intrusioni estremamente efficaci e pronti per l'uso reale.

Il modello proposto si basa su una pipeline a più stadi. Nella prima fase, un algoritmo ibrido combina filtro e wrapper per la selezione delle caratteristiche, utilizzando criteri di mutua informazione e ridondanza per eliminare variabili irrilevanti o ridondanti. Successivamente, si applica una riduzione della dimensionalità kernel PCA (kPCA) con kernel gaussiano, scelta per la sua capacità di catturare strutture non lineari nei dati di rete. Le coordinate risultanti vengono normalizzate e mappate nello spazio di colore RGB mediante una funzione di semantica feature mapping che assegna a ciascuna dimensione un canale di colore, permettendo di visualizzare pattern complessi come immagini. Queste immagini, di dimensioni 64×64 pixel, vengono poi elaborate da una CNN costituita da tre blocchi conv‑batchnorm‑relu‑maxpool, seguiti da due layer fully connected con dropout. Il transfer learning sfrutta i pesi di una rete ResNet‑18 pre‑addestrata su ImageNet; i primi due blocchi vengono congelati mentre gli ultimi vengono fine‑tunati sul dataset di intrusioni. Una fase di pesatura dei sottomodelli (ensemble) assegna maggior peso ai sottoclassificatori che mostrano migliore precisione su classi minority, migliorando il recall globale. L'addestramento utilizza l'ottimizzatore Adam con learning rate iniziale 1e-4, ridotto tramite scheduler step ogni 10 epoche. La funzione di loss è la cross‑entropy pesata per gestire lo squilibrio di classe. Valutazioni incrociate a 5‑fold mostrano deviazioni standard inferiori allo 0,05% sull'accuratezza, indicando grande stabilità. Infine, l'analisi di ablazione conferma che ciascun componente (selezione caratteristiche, kPCA, mapping immagine, transfer learning) contribuisce in modo significativo al risultato finale.