Architettura Zero-Trust basata su Bidirectional Long Short-Term Memory e Deep Reinforcement Learning

La crescente distribuzione delle infrastrutture informatiche e il superamento dei tradizionali confini di rete hanno reso sempre più rilevante l’adozione del paradigma Zero Trust, basato sul principio di verifica continua delle richieste di accesso e sulla valutazione dinamica del rischio. In tale contesto, la presente tesi propone la progettazione e lo sviluppo di un’architettura di difesa automatizzata che integra tecniche di Deep Learning e Deep Reinforcement Learning per associare al rilevamento di attività sospette una risposta di sicurezza proporzionata al contesto osservato. La soluzione realizzata è organizzata in una pipeline composta inizialmente dall’analisi mediante una rete Bidirectional Long Short-Term Memory (BiLSTM). Il modello svolge il compito di classificare il comportamento osservato tra attività legittime e sospette, producendo una probabilità associata alla presenza di un attacco. Tale informazione viene successivamente integrata con caratteristiche temporali e contestuali all’interno dello stato di un agente di Reinforcement Learning basato su Deep Q-Network (DQN), incaricato di selezionare automaticamente la strategia di mitigazione più appropriata tra diverse azioni di risposta. La valutazione sperimentale, condotta sul dataset di eventi di sicurezza utilizzato nel progetto, ha mostrato prestazioni molto elevate nella capacità della BiLSTM di distinguere i comportamenti normali da quelli sospetti. Le analisi della componente DQN hanno inoltre evidenziato una capacità di selezionare in modo coerente differenti strategie di risposta. È stata inoltre analizzata la modalità online della pipeline, nella quale i nuovi eventi vengono valutati in funzione della storia disponibile. Quando non è presente una quantità sufficiente di informazioni temporali per costruire una sequenza valida, il sistema ricorre a una politica di cold-start basata sulle caratteristiche contestuali dell’evento. Nel complesso, il lavoro mostra la fattibilità di un’architettura nella quale la fase di rilevazione e quella di risposta vengono mantenute distinte ma integrate all’interno dello stesso processo decisionale. La soluzione consente quindi di passare dall’individuazione di un possibile comportamento malevolo alla selezione automatica di una contromisura, in accordo con il contesto osservato. I risultati ottenuti devono tuttavia essere interpretati considerando i limiti del dataset sintetico e le semplificazioni introdotte rispetto a un ambiente operativo reale.