Detecție de intruziuni în rețea fără deep packet inspection

Aproape 95% din conexiunile HTTPS treceau prin TLS 1.3 sau QUIC la finalul lui 2025 (Cloudflare Radar Year in Review 2024), ceea ce înseamnă că IDS-ul bazat pe semnături care încă face pattern matching pe payload-uri la perimetrul tău scanează un conținut parolat pe care nu îl mai poate citi. O lucrare publicată luna aceasta pe arXiv propune un alt unghi: tratează secvența de headere de pachet dintr-un flow ca pe un limbaj și învață cum „sună” traficul benign.

Modelul se numește PLM-NIDS. Consumă exclusiv metadate L3/L4 — lungimea pachetului, inter-arrival time, TTL, combinațiile de flag-uri TCP, porturile sursă/destinație trecute prin hash — și le dă ca secvențe de tokens într-o arhitectură state-space RWKV-4. Antrenarea a folosit 344.232 de flow-uri benigne neetichetate. La inferență, scorul este perplexitatea per flow: perplexitate mare înseamnă că flow-ul nu sună a trafic normal în rețeaua respectivă.

Cifrele din preprintul PLM-NIDS merită citate: PR-AUC 0,93 zero-shot, 0,94 după fine-tuning supervizat pe atacuri etichetate. Competitiv cu baseline-urile clasice supervizate, care au nevoie de corpusuri complet etichetate, fără să deschidă vreodată un pachet.

De ce contează operațional

Trei lucruri se schimbă pentru un stack de detecție aliniat aegis:

1. Invarianță la parolare. TLS 1.3 ascunde extensiile SNI în spatele ECH; QUIC parolează aproape tot handshake-ul de transport (RFC 9001). Modelelor care lucrează doar pe headere nu le pasă.
2. Postura la cold-start. PR-AUC 0,93 zero-shot înseamnă că un SOC nou poate ridica o detecție de bază doar pe trafic benign capturat — fără corpus de atacuri etichetate încă de la început. Contează pentru obligația NIS2 de avertizare timpurie în 24 de ore impusă entităților esențiale.
3. Aliniere cu confidențialitatea. Fără DPI nu există retenție de payload, ceea ce simplifică testul de echilibrare a intereselor din art. 6 alin. (1) lit. (f) GDPR și se aliniază cu munca ENISA din 2024 pe encrypted-traffic analytics.

2026-05-31T14:22:08Z plm-nids: flow_id=8af3 src=10.4.2.17:54221 dst=104.18.32.7:443
                     proto=tcp len_seq=[60,52,1460,1460,1460,89] iat_ms=[12,8,4,4,4,210]
                     perplexity=87.4 threshold=42.0 verdict=ANOMALY action=mirror_to_soc

Arhitectura într-o singură diagramă

Avertismentele pe care nimeni nu le pune în abstract

Modelele care lucrează doar pe headere moștenesc două moduri de eșec cunoscute. Exfiltrarea low-and-slow peste sesiuni QUIC de lungă durată poate imita forma unor flow-uri benigne de streaming — tehnica MITRE ATT&CK T1041 vizează explicit această breșă. Al doilea: detectoarele bazate pe perplexitate se degradează în fața flow shaping-ului adversarial; un atacator care își cadențează beacon-urile ca să se potrivească cu distribuțiile IAT învățate rămâne sub prag.

Poziția CAI Technology: modelele de limbaj pe headere sunt o primă etapă cu recall mare, nu singurul detector de pe fir. Combină-le cu triaj SOC agentic și obții recall-ul modelării de limbaj împreună cu precizia unei bucle de analist. Rezervă DPI pentru cele 0,1% dintre flow-uri pe care modelul de limbaj le marchează ca fiind în afara distribuției — singura postură defensabilă economic odată ce toată flota ta e parolată. Vezi cum integrăm asta în pipeline-ul nostru de detecție aegis.

Citește mai departe

• De ce sistemele retrieval-augmented scapă uneori mai mult semnal decât ar trebui
• Argumentul de agentic safety pe care îl aplicăm fiecărui pipeline de detecție pe care îl livrăm
• Ce face calendarul AI Act mutat în 2027 planurilor de achiziții pentru SOC

Timp estimat de citire: 3 minute