Evasion Adversarial Attacks Remain Impractical Against ML-based Network Intrusion Detection Systems, Especially Dynamic Ones

Resumen Técnico: Ataques Adversariales de Evasión contra NIDS Basados en ML

1. Planteamiento del Problema

El aprendizaje automático (ML) se ha vuelto omnipresente en los Sistemas de Detección de Intrusiones en Redes (NIDS) debido a su capacidad para procesar grandes volúmenes de datos con alta precisión. Sin embargo, estos sistemas son vulnerables a ataques adversariales, diseñados para engañar a los modelos y provocar predicciones erróneas (clasificar tráfico malicioso como benigno).

El problema central identificado por los autores es la brecha significativa entre la investigación académica y la realidad práctica:

• La mayoría de la investigación se centra en dominios de visión por computadora, donde los ataques son más factibles.
• En el dominio de la seguridad de redes, existen restricciones únicas (funcionalidad de red, integridad del protocolo, correlación de características) que hacen que muchos ataques teóricos sean inviables en la práctica.
• La mayoría de los estudios asumen modelos estáticos, ignorando que los NIDS modernos suelen ser dinámicos (se reentrenan continuamente para adaptarse al concept drift), lo que podría invalidar los ataques basados en gradientes.

2. Metodología

Los autores emplearon un enfoque mixto que combina revisión sistemática, modelado de amenazas y experimentación empírica:

• Revisión Sistemática de Literatura (SLR): Se analizaron publicaciones de 2022 en adelante sobre ataques de evasión en NIDS basados en ML/DL. Se extrajeron datos sobre modelos de amenazas, dependencias de consultas y restricciones de implementación.
• Modelado de Amenazas (Árbol de Ataque): Se desarrolló un árbol de ataque para visualizar los requisitos necesarios para ejecutar un ataque de evasión. Esto permitió identificar "nodos hoja" con factibilidad cuestionable (marcados con '?') y aquellos con cierta viabilidad (marcados en rojo).
• Taxonomía de Problemas de Factibilidad: Se clasificaron los obstáculos prácticos en categorías como conocimiento del atacante, espacio de ataque (espacio de características vs. espacio de problemas) y adaptabilidad a modelos dinámicos.
• Experimentación con Aprendizaje Dinámico:
  • Entorno: Se utilizó el conjunto de datos CSE-CIC-IDS2018.
  • Modelos: Se implementaron tres arquitecturas NIDS: Red Neuronal Artificial (ANN), Red Neuronal Convolucional (CNN) y Máquina de Vectores de Soporte (SVM).
  • Escenario de Ataque: Se simularon ataques de evasión (FGSM, PGD, BIM) utilizando conocimientos de gradientes.
  • Variable Dinámica: Se evaluó la eficacia de los ataques contra modelos que se reentrenaban diariamente (simulando un entorno de aprendizaje continuo) utilizando conocimientos de gradientes de días anteriores (hoy, ayer, hace dos días).

3. Contribuciones Clave

1. Identificación de Prerrequisitos Cuestionables: Mediante el árbol de ataque, demostraron que el acceso directo al vector de características o la obtención de información interna del modelo (caja blanca) es extremadamente improbable en escenarios reales de NIDS.
2. Taxonomía de Problemas de Factibilidad: Crearon una estructura jerárquica que detalla por qué los ataques son difíciles en redes, incluyendo:
   • Características Imperturbables: Muchas características de red son booleanas o discretas (ej. protocolos), limitando la capacidad de añadir perturbaciones.
   • Correlaciones de Características: Alterar una característica puede romper la coherencia con otras (ej. cambiar la duración del flujo sin alterar los paquetes), invalidando el tráfico.
   • Problema de Mapeo Inverso: Convertir perturbaciones en el espacio de características a modificaciones reales en paquetes (espacio de problemas) es complejo y a menudo destruye la funcionalidad maliciosa o de red.
3. Análisis de Ataques "Prácticos": Identificaron tres rutas teóricamente viables pero con limitaciones:
   • Perturbaciones aleatorias o ciegas (sin conocimiento del modelo).
   • Consulta por canales laterales (inferencia basada en tiempos de respuesta o uso de CPU).
   • Uso de modelos sustitutos entrenados con datos de tráfico sniffed.
   • Conclusión: Incluso estos métodos tienen "trampas" (catches) que reducen su eficacia en la vida real.
4. Evaluación de la Dinámica del Modelo: Demostraron que el reentrenamiento continuo actúa como una defensa natural.

4. Resultados Experimentales

Los experimentos sobre el impacto del aprendizaje dinámico arrojaron hallazgos cruciales:

• Efectividad del Reentrenamiento: Cuando los atacantes utilizan gradientes actualizados (día n), los modelos sufren una degradación significativa en precisión y F1-score.
• Obsolescencia del Conocimiento: Sin embargo, cuando el ataque se ejecuta con gradientes de un día (día n+1) o dos días (día n+2) de antigüedad, la precisión y la puntuación F1 de los modelos se recuperan a niveles superiores al 90%.
• Sin Entrenamiento Adversarial: Esta recuperación ocurrió incluso sin que el modelo hubiera sido entrenado con ejemplos adversariales; el simple hecho de reentrenar con datos recientes desalineó las perturbaciones antiguas de las nuevas fronteras de decisión.
• Visualización: Las visualizaciones t-SNE mostraron que las fronteras de decisión y la distribución de datos evolucionan constantemente, haciendo que las perturbaciones diseñadas para un modelo antiguo sean ineficaces en el modelo actual.

5. Significado y Conclusión

El artículo concluye que existe una brecha masiva entre la investigación teórica y la implementación práctica en el campo de los ataques adversariales contra NIDS:

• Irreversibilidad de los Ataques Complejos: La mayoría de los ataques sofisticados basados en gradientes son poco prácticos en el mundo real debido a la falta de acceso al modelo, la complejidad del espacio de problemas y la necesidad de mantener la funcionalidad del tráfico.
• Defensa Natural Dinámica: La naturaleza dinámica de los NIDS modernos (reentrenamiento periódico) actúa como una defensa robusta contra ataques que requieren gradientes precisos, ya que el modelo cambia antes de que el atacante pueda ejecutar el ataque con éxito.
• Recomendación para la Investigación: Los autores sugieren que la comunidad de seguridad debe dejar de asumir modelos estáticos y amenazas de caja blanca generosas. En su lugar, deben enfocarse en ataques más simples (como perturbaciones ciegas) y desarrollar defensas que no sean excesivamente costosas, dado que los defensores reales no necesitan protegerse contra amenazas que probablemente no existen en la práctica.

En resumen, el papel argumenta que, aunque los ataques adversariales son teóricamente posibles, su factibilidad práctica contra NIDS dinámicos es extremadamente baja, lo que cuestiona la necesidad de mecanismos de defensa complejos y costosos basados en suposiciones de investigación poco realistas.