Carbon-Aware Intrusion Detection: A Comparative Study of Supervised and Unsupervised DRL for Sustainable IoT Edge Gateways

Resumen Técnico: Detección de Intrusiones Consciente del Carbono para Pasarelas de Borde IoT Sostenibles

Enunciado del Problema
La rápida expansión del Internet de las Cosas (IoT) ha intensificado los desafíos de ciberseguridad, particularmente en lo que respecta a los ataques de Denegación de Servicio Distribuido (DDoS) en el borde de la red. Los Sistemas de Detección de Intrusiones (IDS) tradicionales enfrentan limitaciones críticas: luchan contra ataques de día cero debido a su dependencia de firmas estáticas, a menudo producen altas tasas de falsos positivos en modelos basados en anomalías y carecen de adaptabilidad al tráfico dinámico. Además, los enfoques existentes de Aprendizaje por Refuerzo Profundo (DRL) para IDS pasan por alto frecuentemente los factores de sostenibilidad. No tienen en cuenta la eficiencia energética y la huella de carbono de las operaciones de Aprendizaje Profundo, lo cual es cada vez más crítico para pasarelas de borde IoT a gran escala y con recursos limitados. Existe una brecha de investigación en abordar el doble desafío de la adaptabilidad (detectar amenazas en evolución) y la sostenibilidad (minimizar el impacto ambiental) simultáneamente.

Metodología
El artículo propone dos arquitecturas novedosas de IDS basadas en DRL diseñadas para pasarelas de borde, ambas incorporando una formulación de recompensa multiobjetivo "consciente del carbono" que optimiza conjuntamente el rendimiento de detección, la latencia, el uso de memoria, la sobrecarga energética y las emisiones de carbono estimadas.

1. DeepEdgeIDS (Híbrido no supervisado AE-DRL):

   • Arquitectura: Integra un Autoencoder (AE) para la extracción de características no supervisada con una Red de Q Profunda (DQN) para la mitigación adaptativa.
   • Mecanismo: El AE aprende representaciones comprimidas del tráfico benigno. Las anomalías se detectan mediante el error de reconstrucción ($A_s$). Este error, combinado con estadísticas de tráfico (tasa de paquetes, conteos SYN/ACK), forma el vector de estado para el agente DQN.
   • Paradigma de Aprendizaje: Opera en un entorno en línea sin etiquetas. No requiere etiquetas de verdad fundamental para el aprendizaje de políticas en tiempo real.
   • Función de Recompensa: Utiliza señales de retroalimentación disponibles en la implementación, incluida la confianza en la anomalía (derivada del error de reconstrucción) y la estabilización del tráfico post-mitigación, en lugar de métricas de verdad fundamental como la tasa de detección o la tasa de falsos positivos.
   • Base Teórica: Probado para converger mediante la propiedad de contracción de Bellman bajo recompensas acotadas. La estabilidad se asegura mediante análisis de Lyapunov, garantizando estabilidad asintótica bajo restricciones de potencia y carbono acotadas.

2. AutoDRL-IDS (Modelo LSTM-DRL supervisado):

   • Arquitectura: Aumenta el concepto de DeepEdgeIDS con una red de Memoria a Corto y Largo Plazo (LSTM) para capturar dependencias temporales en los patrones de tráfico, acoplada a un agente DQN.
   • Mecanismo: Aprovecha datos etiquetados durante el entrenamiento supervisado fuera de línea para optimizar las políticas de detección.
   • Paradigma de Aprendizaje: Une el entrenamiento supervisado fuera de línea con la adaptación de políticas en línea.
   • Función de Recompensa: Incorpora métricas dependientes de la verdad fundamental (Tasa de Detección y Tasa de Falsos Positivos) durante la fase de entrenamiento supervisado, junto con las penalizaciones de sostenibilidad (energía, carbono, latencia).
   • Base Teórica: Formulado como un problema de control estocástico restringido utilizando multiplicadores de Lagrange para manejar las restricciones de energía y memoria. La convergencia se prueba mediante las condiciones Karush-Kuhn-Tucker (KKT) y la aproximación estocástica Robbins-Monro.

Contribuciones Clave

• Diseño de Paradigma Dual: La introducción de dos soluciones IDS basadas en DRL distintas: un modelo LSTM-DRL supervisado (AutoDRL-IDS) para precisión en escenarios estructurados y un híbrido AE-DRL no supervisado (DeepEdgeIDS) para detección de anomalías sin etiquetas.
• Optimización Consciente del Carbono: La integración explícita de las emisiones de carbono y el consumo de energía como variables de retroalimentación continuas dentro de la función de recompensa DRL, permitiendo la toma de decisiones consciente de la sostenibilidad.
• Validación en el Mundo Real: Despliegue y evaluación de ambos modelos en pasarelas de borde físicas (Raspberry Pi 4) durante ataques DDoS en vivo, proporcionando la primera evaluación comparativa consciente del carbono de IDS basados en DRL en el borde.
• Rigor Teórico y Estadístico: Prueba de convergencia para DeepEdgeIDS mediante contracción de Bellman y análisis de estabilidad de Lyapunov, complementado con Análisis de Varianza (ANOVA) para validar estadísticamente las diferencias de rendimiento en múltiples métricas.

Resultados Experimentales
Los modelos fueron evaluados utilizando el conjunto de datos Bot-IoT y una plataforma de pruebas física que involucra dispositivos ESP32 y pasarelas Raspberry Pi 4 bajo diversos escenarios de ataques DDoS, incluidas simulaciones de día cero.

• Precisión de Detección: DeepEdgeIDS logró una precisión del 98.0% (evaluación fuera de línea) y una recuperación del 97.6%, superando a AutoDRL-IDS, que logró una precisión del 94.0%. DeepEdgeIDS demostró una adaptabilidad superior a los ataques de día cero y ráfagas de tráfico transitorias.
• Tiempo de Respuesta y Latencia: DeepEdgeIDS exhibió menor latencia y tiempos de respuesta más rápidos (estabilizándose dentro de 0.65s del inicio del ataque) en comparación con AutoDRL-IDS. Los resultados de ANOVA confirmaron que DeepEdgeIDS superó significativamente a AutoDRL-IDS en eficiencia de latencia ($p < 0.05$).
• Eficiencia de Recursos:
  • Energía y Carbono: AutoDRL-IDS demostró mayor eficiencia energética y menores emisiones de carbono, manteniendo un perfil estable adecuado para dispositivos restringidos. DeepEdgeIDS incurrió en una mayor sobrecarga agregada de CPU, energía y carbono debido a su adaptación continua en línea y extracción de características.
  • CPU y Memoria: AutoDRL-IDS mantuvo un uso de CPU más bajo (~25% frente a ~35% para DeepEdgeIDS). Las diferencias en el uso de memoria no fueron estadísticamente significativas, con ambos modelos permaneciendo dentro de límites aceptables para pasarelas de borde.
• Significancia Estadística: Las pruebas ANOVA confirmaron que la superior probabilidad de detección y la latencia de DeepEdgeIDS fueron estadísticamente significativas, mientras que las diferencias en el tiempo de respuesta no lo fueron. El tamaño del efecto indicó que la arquitectura del modelo fue un factor dominante en la eficacia de la detección.

Significado y Afirmaciones
El artículo afirma establecer un nuevo estándar de referencia para la ciberseguridad sostenible al demostrar que los IDS basados en DRL pueden optimizarse no solo para la precisión, sino también para el impacto ambiental. El estudio destaca un compromiso fundamental: DeepEdgeIDS ofrece una adaptabilidad superior, una respuesta más rápida a las amenazas de día cero y una mayor precisión de detección a costa de un mayor consumo de energía y carbono. Por el contrario, AutoDRL-IDS proporciona una solución más eficiente energéticamente, estable y predecible, adecuada para entornos con recursos limitados donde los datos etiquetados están disponibles para el entrenamiento.

Los autores afirman que su trabajo llena una brecha crítica al ir más allá de la precisión pura de detección para incluir la sostenibilidad como un objetivo de optimización central. Concluyen que estas arquitecturas avanzan el desarrollo de marcos de seguridad autoadaptativos y sostenibles para ecosistemas IoT de próxima generación, ofreciendo una base práctica para equilibrar la precisión, la eficiencia de recursos y la robustez en redes de borde dinámicas.