{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analisi del traffico crittografato senza decrittazione","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un sistema per l'analisi del traffico senza la sua decrittazione. Questo metodo \u00e8 semplicemente chiamato 'apprendimento automatico'. \u00c8 emerso che, se si alimenta un classificatore speciale con un grande volume di traffico vario, il sistema pu\u00f2 rilevare con un'alta probabilit\u00e0 le attivit\u00e0 di codice dannoso all'interno del traffico crittografato.<\/p>\n

<\/p>\n

\"Analisi<\/p>\n

<\/a><\/noindex><\/p>\n

Le minacce informatiche sono cambiate e sono diventate 'pi\u00f9 intelligenti'. Recentemente \u00e8 cambiata la stessa concezione di attacco e difesa. Il numero di eventi in rete \u00e8 aumentato drasticamente. Gli attacchi sono diventati pi\u00f9 complessi e i criminali informatici hanno un raggio d'azione pi\u00f9 ampio.<\/p>\n

<\/p>\n

Secondo le statistiche di Cisco, nel corso dell'ultimo anno i criminali hanno triplicato il numero di malware utilizzati per le loro attivit\u00e0, in particolare per la loro occultazione \u2014 la crittografia. Teoricamente, un 'corretto' algoritmo di crittografia non pu\u00f2 essere violato. Per capire cosa si nasconde all'interno del traffico crittografato, \u00e8 necessario decrittarlo conoscendo la chiave, tentare di decifrarlo con vari trucchi, o attaccarlo frontalmente, oppure sfruttare delle vulnerabilit\u00e0 nei protocolli crittografici.<\/p>\n

<\/p>\n

\"Analisi
\nIl quadro delle minacce informatiche del nostro tempo<\/em><\/p>\n

<\/p>\n

Machine Learning<\/h3>\n

<\/p>\n

Conosci la tecnologia a menadito! Prima di discutere di come funziona la tecnologia di decodifica basata sull'apprendimento automatico, \u00e8 necessario esaminare come funziona la tecnologia delle reti neurali.<\/p>\n

<\/p>\n

L'apprendimento automatico (Machine Learning) \u00e8 un ampio sottoinsieme dell'intelligenza artificiale che studia i metodi per costruire algoritmi in grado di apprendere. Questa disciplina si concentra sulla creazione di modelli matematici di 'apprendimento' per il computer. L'obiettivo dell'apprendimento \u00e8 fare previsioni su qualcosa. Nel linguaggio umano, chiamiamo questo processo \u00absaggezza\u00bb<\/em>. La saggezza si manifesta nelle persone che hanno vissuto abbastanza a lungo (un bambino di 2 anni non pu\u00f2 essere saggio). Quando ci rivolgiamo a persone pi\u00f9 esperte per ricevere consigli, forniamo loro alcune informazioni sull'evento (dati in ingresso) e chiediamo aiuto. Loro, a loro volta, ricordano tutte le situazioni della vita che in qualche modo sono collegate al tuo problema (base di conoscenze) e, sulla base di queste conoscenze (dati), ci forniscono, in un certo senso, una predizione (consiglio). Questo tipo di consigli \u00e8 stato chiamato predizione perch\u00e9 la persona che d\u00e0 il consiglio non sa con certezza cosa accadr\u00e0, ma solo suppone. L'esperienza di vita dimostra che una persona pu\u00f2 avere ragione, ma pu\u00f2 anche sbagliarsi.<\/p>\n

<\/p>\n

Non bisognerebbe confrontare le reti neurali con l'algoritmo di branching (if-else). Si tratta di cose diverse e hanno differenze fondamentali. L'algoritmo di branching ha una chiara \"comprensione\" di cosa fare. Lo dimostrer\u00f2 con degli esempi.<\/p>\n

<\/p>\n

Compito. Determinare la distanza di frenata di un'automobile in base alla sua marca e all'anno di produzione.<\/p>\n

<\/p>\n

Esempio di funzionamento dell'algoritmo di branching. Se l'automobile \u00e8 del marchio 1 e prodotta nel 2012, la sua distanza di frenata \u00e8 di 10 metri, altrimenti, se l'automobile \u00e8 del marchio 2 e prodotta nel 2011 e cos\u00ec via.<\/p>\n

<\/p>\n

Esempio di funzionamento di una rete neurale. Raccogliamo dati sui percorsi di frenata delle automobili degli ultimi 20 anni. Creiamo una tabella del tipo \"marca-anno di produzione-percorso di frenata\" in base alla marca e all'anno. Forniamo questa tabella alla rete neurale e iniziamo a insegnarle. L'addestramento avviene nel seguente modo: fornendo dati alla rete neurale, ma senza il percorso di frenata. La rete neurale cerca di prevedere quale sar\u00e0 il percorso di frenata, sulla base della tabella caricata. Fa una previsione e pone la domanda all'utente: \"Ho ragione?\". Prima della domanda, crea una quarta colonna - la colonna delle previsioni. Se ha ragione, inserisce 1 nella quarta colonna, se sbaglia, 0. La rete neurale passa quindi al prossimo evento (anche se ha sbagliato). Cos\u00ec la rete impara e quando l'addestramento \u00e8 completo (raggiunto un certo criterio di convergenza), forniamo i dati dell'automobile di nostro interesse e alla fine otteniamo una risposta.<\/p>\n

<\/p>\n

Per chiarire la questione del criterio di convergenza, spiego che si tratta di una formula matematicamente derivata per la statistica. Un esempio lampante di 2 diverse formule di convergenza. La rossa rappresenta la convergenza binaria, la blu rappresenta la convergenza normale.<\/p>\n

<\/p>\n

\"Analisi
\nDistribuzioni binomiale e normale della probabilit\u00e0<\/em><\/p>\n

<\/p>\n

Per chiarire, poniti la domanda: \u00abQual \u00e8 la probabilit\u00e0 di incontrare un dinosauro?\u00bb Ci sono 2 possibili risposte. Risposta 1 \u2013 molto bassa (grafico blu). Risposta 2 \u2013 o incontro, o non incontro (grafico rosso).<\/p>\n

<\/p>\n

Certo, il computer non \u00e8 un essere umano e apprende in modo diverso. Si distinguono 2 tipi di apprendimento per la macchina: apprendimento per casi<\/strong> e apprendimento deduttivo<\/strong>.<\/p>\n

<\/p>\n

L'apprendimento per casi \u00e8 un metodo di apprendimento basato su leggi matematiche. I matematici raccolgono tabelle statistiche, traggono conclusioni e caricano nella rete neurale il risultato \u2013 una formula per il calcolo.<\/p>\n

<\/p>\n

L'apprendimento deduttivo avviene interamente nella rete neurale (dalla raccolta dei dati fino alla loro analisi). Qui si forma una tabella senza formula, ma con statistica.<\/p>\n

<\/p>\n

Una panoramica dettagliata della tecnologia richiederebbe altre decine di articoli. Per ora, questo \u00e8 sufficiente per una comprensione generale.<\/p>\n

<\/p>\n

Neuroplasticit\u00e0<\/h3>\n

<\/p>\n

In biologia c'\u00e8 un concetto chiamato neuroplasticit\u00e0. La neuroplasticit\u00e0 \u00e8 la capacit\u00e0 dei neuroni (cellule cerebrali) di agire \"in base alla situazione\". Ad esempio, una persona che ha perso la vista sente meglio i suoni, percepisce gli odori e tocca gli oggetti. Questo avviene perch\u00e9 una parte del cervello (una parte dei neuroni) dedicata alla vista ridistribuisce le sue funzioni su altre abilit\u00e0.<\/p>\n

<\/p>\n

Un esempio chiaro di neuroplasticit\u00e0 nella vita \u00e8 il lecca-lecca BrainPort.<\/p>\n

<\/p>\n

Nel 2009, l'Universit\u00e0 del Wisconsin-Madison ha annunciato l'uscita di un nuovo dispositivo che sviluppa le idee del \"display linguistico\", chiamato BrainPort. BrainPort funziona secondo un algoritmo: il segnale video viene inviato da una telecamera a un processore, che gestisce lo zoom, la luminosit\u00e0 e altri parametri dell'immagine. Trasforma inoltre segnali digitali in impulsi elettrici, assumendo di fatto le funzioni della retina.<\/p>\n

<\/p>\n

\"Analisi
\nLecca-lecca BrainPort con occhiali e telecamera<\/em><\/p>\n

<\/p>\n

\"Analisi
\nBrainPort in azione<\/em><\/p>\n

\n

\r\n \"Riproduci\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Lo stesso vale per i computer. Se la rete neurale percepisce un cambiamento nel processo, si adatta ad esso. Questo \u00e8 il vantaggio chiave delle reti neurali rispetto ad altri algoritmi: l'autonomia. Una sorta di umanit\u00e0.<\/p>\n

<\/p>\n

Analisi del Traffico Crittografato<\/h3>\n

<\/p>\n

L'Analisi del Traffico Crittografato fa parte del sistema Stealthwatch. Stealthwatch \u00e8 una soluzione sviluppata da Cisco nel settore del monitoraggio e dell'analisi della sicurezza, che utilizza i dati di telemetria aziendale provenienti dall'infrastruttura di rete esistente.<\/p>\n

<\/p>\n

La base di Stealthwatch Enterprise \u00e8 costituita dagli strumenti Flow Rate License, Flow Collector, Management Console e Flow Sensor.<\/p>\n

<\/p>\n

\"Analisi
\nInterfaccia Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Il problema della crittografia \u00e8 diventato molto serio, poich\u00e9 una quantit\u00e0 significativamente maggiore di traffico \u00e8 stata crittografata. In passato si crittografavano solo i codici (principalmente), mentre ora viene crittografato l'intero traffico e separare i dati 'puliti' dai virus \u00e8 diventato di gran lunga pi\u00f9 difficile. Un esempio lampante \u00e8 WannaCry, che ha utilizzato Tor per nascondere la propria presenza in rete.<\/p>\n

<\/p>\n

\"Analisi
\nVisualizzazione della crescita della criptazione del traffico in rete<\/em><\/p>\n

<\/p>\n

\"Analisi
\nCrittografia nella macroeconomia<\/em><\/p>\n

<\/p>\n

Il sistema Encrypted Traffic Analytics (ETA) \u00e8 necessario per gestire il traffico crittografato senza doverlo decriptare. Gli aggressori sono astuti e utilizzano algoritmi di crittografia robusti, e violarli non \u00e8 solo un problema, ma comporta anche costi enormi per le organizzazioni.<\/p>\n

<\/p>\n

Il sistema funziona nel seguente modo. Un certo tipo di traffico arriva all'azienda. Questo traffico entra nel TLS (transport layer security \u2014 protocollo di sicurezza del trasporto). Supponiamo che il traffico sia crittografato. Cerchiamo di rispondere a una serie di domande su quale tipo di connessione sia stata stabilita.<\/p>\n

<\/p>\n

\"Analisi
\nIl principio di funzionamento del sistema Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Per rispondere a queste domande, utilizziamo l'apprendimento automatico in questo sistema. Vengono utilizzati studi della Cisco e, basandosi su questi studi, viene creata una tabella con due risultati: traffico dannoso e \"buono\". Certamente, non sappiamo con certezza quale traffico sia entrato nel sistema in quel momento specifico, ma possiamo tracciare la cronologia del traffico sia all'interno dell'azienda sia a livello globale, utilizzando dati provenienti da tutto il mondo. Alla fine di questa fase, otteniamo una tabella enorme con i dati.<\/p>\n

<\/p>\n

Dallo studio emergono segni distintivi \u2013 regole specifiche che possono essere espresse in forma matematica. Queste regole variano notevolmente in base a vari criteri: dimensioni dei file trasferiti, tipo di connessione, paese da cui proviene il traffico, e cos\u00ec via. Cos\u00ec, un'ampia tabella si \u00e8 trasformata in un insieme di formule. Sono diminuite, ma non \u00e8 sufficiente per un funzionamento ottimale.<\/p>\n

<\/p>\n

Successivamente, viene applicata la tecnologia del machine learning \u2013 la convergenza della formula e, in base ai risultati di questa convergenza, otteniamo un trigger \u2013 un interruttore che, al verificarsi di determinati dati, attiva un flag che pu\u00f2 essere alzato o abbassato.<\/p>\n

<\/p>\n

Il risultato finale \u00e8 un insieme di trigger che coprono il 99% del traffico.<\/p>\n

<\/p>\n

\"Analisi
\nFasi di verifica del traffico in ETA<\/em><\/p>\n

<\/p>\n

Grazie al nostro lavoro, affrontiamo anche un altro problema: l'attacco dall'interno. Non sono pi\u00f9 necessarie persone in mezzo che filtrano manualmente il traffico (in questo momento mi contraddico). In primo luogo, non \u00e8 pi\u00f9 necessario spendere molti soldi per un abile amministratore di sistema (continuo a contraddirmi). In secondo luogo, non c'\u00e8 pi\u00f9 il rischio di hacking dall'interno (almeno, in parte).<\/p>\n

<\/p>\n

\"Analisi
\nConcetto obsoleto del Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Ora, vediamo su cosa si basa il sistema.<\/p>\n

<\/p>\n

Il sistema si basa su 4 protocolli di comunicazione: TCP\/IP \u2013 protocollo di trasmissione dei dati su internet, DNS \u2013 server dei nomi di dominio, TLS \u2013 protocollo di sicurezza del livello di trasporto, SPLT (SpaceWire Physical Layer Tester) \u2013 tester del livello fisico della comunicazione.<\/p>\n

<\/p>\n

\"Analisi
\nProtocolli che lavorano con l'ETA<\/em><\/p>\n

<\/p>\n

Il confronto avviene attraverso il confronto dei dati. I protocolli TCP\/IP controllano la reputazione dei siti (storia delle visite, obiettivo della creazione del sito, ecc.), grazie al protocollo DNS possiamo escludere gli indirizzi \u00abcattivi\u00bb dei siti. Il protocollo TLS lavora con le \u00abimpronte\u00bb del sito (fingerprint) e verifica il sito attraverso il database del Computer Emergency Response Team (cert). L'ultima fase del controllo della connessione \u00e8 la verifica a livello fisico. I dettagli di funzionalit\u00e0 di questa fase non sono specificati, ma il concetto \u00e8 il seguente: controllo delle sinusoide e cosinusoide delle curve di trasmissione dati su impianti oscillografici, cio\u00e8 grazie alla struttura della richiesta a livello fisico, definiamo l'obiettivo della connessione.<\/p>\n

<\/p>\n

Grazie al funzionamento del sistema, possiamo estrarre dati dal traffico crittografato. Analizzando i pacchetti, possiamo leggere il massimo delle informazioni dai campi non crittografati all'interno del pacchetto. Attraverso l'ispezione del pacchetto a livello fisico, scopriamo le caratteristiche del pacchetto (parzialmente o completamente). Inoltre, non dobbiamo dimenticare la reputazione dei siti. Se la richiesta proviene da una fonte .onion, non \u00e8 saggio fidarsi. Per facilitare il lavoro con questo tipo di dati, \u00e8 stata creata una mappa dei rischi.<\/p>\n

<\/p>\n

\"Analisi
\nRisultato del lavoro ETA<\/em><\/p>\n

<\/p>\n

E tutto sembrerebbe a posto, ma parliamo del dispiegamento della rete.<\/p>\n

<\/p>\n

Realizzazione fisica dell'ETA<\/h3>\n

<\/p>\n

Qui sorgono diversi dettagli e sfumature. In primo luogo, nella creazione di questo tipo di
\nrete con software di alto livello, \u00e8 necessaria la raccolta dei dati. Raccogliere dati manualmente \u00e8 del tutto
\ninsensato, mentre implementare un sistema di risposta diventa gi\u00e0 pi\u00f9 interessante. In secondo luogo, i dati
\ndevono essere abbondanti, il che significa che i sensori installati nella rete devono funzionare
\nnon solo autonomamente, ma anche in modalit\u00e0 finemente sintonizzata, il che presenta diverse complessit\u00e0.<\/p>\n

<\/p>\n

\"Analisi
\nSensori e sistema Stealthwatch<\/em><\/p>\n

<\/p>\n

Installare un sensore \u00e8 una cosa, ma configurarlo \u00e8 un'altra questione del tutto diversa. Per la configurazione dei sensori, esiste un insieme che opera sulla seguente topologia: ISR = router con integrazione dei servizi Cisco (Cisco Integrated Services Router); ASR = router con aggregazione dei servizi Cisco (Cisco Aggregation Services Router); CSR = router per servizi cloud Cisco (Cisco Cloud Services Router); WLC = controller delle reti locali wireless Cisco (Cisco Wireless LAN Controller); IE = switch Ethernet industriale Cisco (Cisco Industrial Ethernet); ASA = dispositivo di sicurezza adattativa Cisco (Cisco Adaptive Security Appliance); FTD = soluzione di difesa dalle minacce Cisco Firepower Threat Defense; WSA = dispositivo di protezione del traffico web (Web Security Appliance); ISE = modulo di servizi di identificazione (Identity Services Engine)<\/p>\n

<\/p>\n

\"Analisi
\nMonitoraggio completo considerando qualsiasi dato di telemetria<\/em><\/p>\n

<\/p>\n

Ai network administrator viene l'aritmia per il numero di volte che appare la parola \"Cisco\" nel paragrafo precedente. Il prezzo di questa meraviglia non \u00e8 trascurabile, ma non \u00e8 di questo che parleremo oggi...<\/p>\n

<\/p>\n

La modellazione del comportamento degli hacker avverr\u00e0 come segue. Stealthwatch monitora attentamente l'attivit\u00e0 di ogni dispositivo in rete e riesce a creare un modello di comportamento normale. Inoltre, questa soluzione offre una comprensione approfondita dei comportamenti scorretti noti. A supporto di questa soluzione vengono utilizzati circa 100 diversi algoritmi di analisi o regole euristiche che riguardano diversi tipi di comportamento del traffico, come la scansione, il trasferimento di frame di allerta da un nodo, il tentativo di accesso tramite brute force, la presunta cattura di dati, la presunta fuga di dati, e cos\u00ec via. Gli eventi di sicurezza elencati rientrano nella categoria delle allerte logiche di alto livello. Alcuni eventi di sicurezza possono anche attivare l'allerta autonomamente. In questo modo, il sistema \u00e8 in grado di correlare numerosi incidenti anomali isolati e raccoglierli insieme per determinare il possibile tipo di attacco, nonch\u00e9 collegarlo a un dispositivo e a un utente specifico (figura 2). L'incidente pu\u00f2 poi essere analizzato dinamicamente e considerando i dati telemetrici correlati. Questo costituisce le informazioni contestuali nel loro migliore aspetto. I medici esaminano un paziente per capire cosa sia successo, non considerano i sintomi in isolamento. Studiano l'immagine complessiva per formulare una diagnosi. Analogamente, Stealthwatch registra ogni attivit\u00e0 anomala in rete e la analizza nel suo insieme per inviare allerte tenendo conto del contesto, aiutando cos\u00ec gli esperti di sicurezza a dare priorit\u00e0 ai rischi.<\/p>\n

<\/p>\n

\"Analisi
\nRilevamento delle anomalie tramite modellazione del comportamento<\/em><\/p>\n

<\/p>\n

La distribuzione fisica della rete appare cos\u00ec:<\/p>\n

<\/p>\n

\"Analisi
\nOpzione di distribuzione della rete per una rete filiale (semplificata)<\/em><\/p>\n

<\/p>\n

\"Analisi
\nOpzione di distribuzione della rete per una rete filiale<\/em><\/p>\n

<\/p>\n

La rete \u00e8 distribuita, ma rimane un dubbio sulla rete neurale. Abbiamo organizzato una rete di trasmissione dei dati, installato sensori sui portali e avviato un sistema di raccolta delle informazioni, ma la rete neurale non \u00e8 stata coinvolta. Per ora.<\/p>\n

<\/p>\n

Rete neurale multilivello<\/h3>\n

<\/p>\n

Il sistema analizza il comportamento dell'utente e del dispositivo per identificare infezioni dannose, comunicazioni con server di comando, perdite di dati e potenziali applicazioni indesiderate che operano all'interno dell'infrastruttura dell'organizzazione. Ci sono diversi livelli di elaborazione dei dati, nei quali un insieme di metodi di intelligenza artificiale, apprendimento automatico e statistica matematica aiuta la rete a imparare autonomamente la propria attivit\u00e0 normale, in modo da poter riconoscere l'attivit\u00e0 dannosa.<\/p>\n

<\/p>\n

Il sistema di analisi della sicurezza della rete, che raccoglie dati di telemetria da tutte le parti dell'estesa rete, incluso il traffico crittografato, \u00e8 una caratteristica unica di Stealthwatch. Esso sviluppa gradualmente una comprensione di ci\u00f2 che \u00e8 considerato \"anomalo\", classificando quindi i singoli elementi di \"attivit\u00e0 minacciosa\" e, infine, prendendo una decisione definitiva sulla possibile compromissione di un dispositivo o di un utente. La capacit\u00e0 di assemblare piccoli pezzi che insieme forniscono la prova per una decisione finale sulla compromissione dell'entit\u00e0 \u00e8 garantita da un'analisi e correlazione molto approfondite.<\/p>\n

<\/p>\n

Questa capacit\u00e0 \u00e8 di grande importanza, poich\u00e9 un'azienda standard pu\u00f2 ricevere ogni giorno un'enorme quantit\u00e0 di segnali di allerta, e non \u00e8 possibile indagare su ognuno di essi \u2014 le risorse degli esperti di sicurezza sono limitate. Il modulo di machine learning elabora un'enorme quantit\u00e0 di informazioni praticamente in tempo reale per identificare incidenti critici con un alto grado di fiducia e pu\u00f2 anche suggerire un chiaro ordine di azioni per una rapida risoluzione.<\/p>\n

<\/p>\n

Esaminiamo pi\u00f9 nel dettaglio i numerosi metodi di machine learning utilizzati da Stealthwatch. Quando un incidente viene inviato al modulo di machine learning di Stealthwatch, passa attraverso un funnel di analisi della sicurezza, dove viene utilizzata una combinazione di metodi di machine learning supervisionati e non supervisionati.<\/p>\n

<\/p>\n

\"Analisi
\nCapacit\u00e0 di machine learning multilivello<\/em><\/p>\n

<\/p>\n

Livello 1. Rilevamento delle anomalie e modellazione della fiducia<\/h3>\n

<\/p>\n

A questo livello il 99% del traffico viene filtrato utilizzando rilevatori di anomalie statistici. Questi sensori lavorano insieme per creare modelli complessi di ci\u00f2 che \u00e8 considerato normale e ci\u00f2 che, al contrario, \u00e8 anomalo. Tuttavia, l'anomalia non \u00e8 necessariamente malevola. Molti eventi nella vostra rete non sono legati a minacce \u2014 sono semplicemente strani. \u00c8 importante quindi classificare tali processi indipendentemente dal comportamento minaccioso. Per questo motivo, i risultati del lavoro di tali rilevatori vengono sottoposti ad ulteriori analisi, per registrare comportamenti strani che possono essere spiegati e ai quali ci si pu\u00f2 fidare. Alla fine, solo una piccola parte dei flussi e delle richieste pi\u00f9 significativi passa ai livelli 2 e 3. Senza l'uso di tecniche di apprendimento automatico, i costi operativi per separare il segnale dal rumore sarebbero troppo elevati.<\/p>\n

<\/p>\n

Rilevamento delle anomalie.<\/strong> Nella fase iniziale, quando vengono individuate anomalie, vengono utilizzati metodi statistici di machine learning per separare il traffico statisticamente normale da quello anomalo. Oltre 70 rilevatori separati elaborano i dati di telemetria raccolti da Stealthwatch riguardo al traffico che attraversa il perimetro della tua rete, isolando il traffico interno del sistema dei nomi a dominio (DNS) e i dati del proxy, se presenti. Ogni richiesta viene elaborata da pi\u00f9 di 70 rilevatori, ognuno dei quali utilizza il proprio algoritmo statistico, formando una valutazione delle anomalie rilevate. Tali valutazioni vengono integrate e, grazie all'applicazione di diversi metodi statistici, si ottiene un'unica valutazione per ogni singola richiesta. Questa valutazione totale viene poi utilizzata per distinguere il traffico normale da quello anomalo.<\/p>\n

<\/p>\n

Modellazione della fiducia.<\/strong> Successivamente, le richieste simili vengono raggruppate e la valutazione complessiva delle anomalie per tali gruppi \u00e8 definita come media a lungo termine. Nel tempo, pi\u00f9 richieste vengono sottoposte ad analisi con successiva determinazione della media a lungo termine, consentendo di ridurre i falsi positivi e i falsi negativi. I risultati della modellazione della fiducia vengono utilizzati per selezionare un sottoinsieme di traffico, la cui valutazione delle anomalie supera una certa soglia dinamicamente definita, per il suo spostamento al livello successivo di elaborazione.<\/p>\n

<\/p>\n

Livello 2. Classificazione degli eventi e modellazione dell'oggetto<\/h3>\n

<\/p>\n

A questo livello avviene la classificazione dei risultati ottenuti nelle fasi precedenti, associando a eventi dannosi specifici. La classificazione degli eventi viene effettuata in base al valore assegnato dai classificatori di machine learning, con l'obiettivo di garantire un tasso di accuratezza costante superiore al 90%. Tra questi:<\/p>\n

<\/p>\n