🔒 Rilevatore di Intrusioni di Rete — Punteggio di Anomalia dal Vivo

Una volta che il punteggio supera la soglia, la simulazione osserva quali singoli z-score stanno guidando l'anomalia. Se lo z-score delle porte distinte è fortemente positivo mentre quello della durata è fortemente negativo, la firma corrisponde a molte porte toccate in pochissimo tempo — classificata come scansione di porte. Se gli z-score di byte per pacchetto e durata sono entrambi fortemente positivi mentre le porte distinte restano basse, la firma corrisponde a un trasferimento di dati ampio, prolungato e ristretto — classificato come esfiltrazione. Qualsiasi segnalazione che non corrisponda chiaramente a nessuna delle due firme viene etichettata come anomalia generica.

Abbassare la soglia segnala più connessioni: il recall aumenta (meno intrusioni reali sfuggono come falsi negativi) ma la precisione diminuisce (più traffico ordinario viene erroneamente segnalato come falso positivo, un effetto che gli analisti chiamano affaticamento da allerta). Alzare la soglia fa l'opposto — meno allerte, precisione più alta, ma una probabilità crescente che scansioni o sessioni di esfiltrazione reali passino inosservate.

Il traffico di rete reale cambia costantemente — viene distribuita una nuova applicazione, cambia una pianificazione di backup, il lavoro da remoto sposta il profilo orario del traffico — un fenomeno chiamato concept drift. Ricalcolare media e deviazione standard da una finestra scorrevole di connessioni recenti non segnalate permette alla base di seguire la deriva legittima pur resistendo agli attacchi che arrivano come un picco improvviso, al costo di essere vulnerabile ad attaccanti che aumentano deliberatamente in modo lento abbastanza da essere assorbiti nella base — a volte chiamato avvelenamento "a rana bollita".

Trattare le quattro caratteristiche come non correlate ignora le correlazioni reali — una matrice di covarianza completa disegnerebbe una regione normale ellittica e inclinata invece di quella allineata agli assi di questa simulazione. I sistemi in produzione vanno ancora oltre: isolation forest, autoencoder e altri modelli di machine learning catturano strutture non lineari e di ordine superiore su decine di caratteristiche, e sono tipicamente combinati con regole basate su firme, feed di threat intelligence e revisione da parte di analisti umani, invece di affidarsi a un singolo punteggio statistico isolato.

Un falso negativo — un'intrusione mancata — può significare che i dati escono realmente dalla rete o che un punto d'appoggio resta inosservato, con costi misurati in rimedio alla violazione e danno reputazionale. Un falso positivo costa tempo dell'analista. Poiché il tempo degli analisti è limitato, un rilevatore ottimizzato solo per il recall può essere controproducente se seppellisce le allerte genuine sotto un diluvio di allerte false — ed è esattamente per questo che il compromesso precisione/recall esposto dal cursore della soglia di questa simulazione è la decisione operativa centrale nel rilevamento reale delle intrusioni.