NOS-Gate: Queue-Aware Streaming IDS for Consumer Gateways under Timing-Controlled Evasion

Resumen Técnico: NOS-Gate – IDS de Transmisión Consciente de Colas para Gateways de Consumo bajo Evasión Controlada por Tiempos

Planteamiento del Problema
Los gateways de consumo se sitúan entre dispositivos IoT cifrados y los servicios en la nube, lo que limita su capacidad para realizar una inspección profunda de paquetes (DPI). Aunque el cifrado oculta el contenido de la carga útil, no elimina los canales laterales como el tiempo de los paquetes, sus tamaños y las estructuras de ráfagas. Estas señales de metadatos pueden ser explotadas para la identificación de dispositivos y el monitoreo de seguridad. Sin embargo, surge un desafío operativo crítico: un adversario adaptativo puede remodelar los tiempos de llegada entre paquetes y los patrones de ráfagas para imitar los ritmos de un dispositivo benigno mientras persigue un objetivo de ataque oculto. Esta "evasión controlada por tiempos" socava los sistemas de detección basados únicamente en metadatos que dependen de umbrales estáticos o precisión offline. Además, los gateways de consumo operan bajo estrictas restricciones de uso de CPU y latencia, lo que hace que los modelos grandes o el entrenamiento pesado sean impracticables. El problema central abordado es si un gateway independiente puede detectar estos ataques con forma temporal lo suficientemente rápido como para actuar, utilizando solo metadatos, a una baja tasa de falsas alarmas, y si la mitigación resultante realmente reduce el daño en la cola visible para el usuario en lugar de exacerbarlo.

Metodología
El artículo propone NOS-Gate, un sistema de detección de intrusiones (IDS) de transmisión diseñado específicamente para gateways de consumo independientes.

• Arquitectura: NOS-Gate instancia una unidad dinámica ligera de dos estados, derivada de la dinámica de Redes de Espigas Optimizadas para la Red (NOS), para cada flujo de red.
  • Estado $v$ (Acumulación de Evidencia): Actúa como una cola de evidencia acotada que aumenta cuando las características de metadatos normalizadas se desvían de los patrones benignos. Incluye términos de fuga para evitar la acumulación ilimitada y una no linealidad acotada para reducir la sensibilidad a transitorios poco comunes.
  • Estado $u$ (Recuperación/Supresión): Un estado de recuperación que aumenta bajo una elevación sostenida y proporciona retroalimentación negativa para suprimir activaciones repetidas (histéresis).
  • Entrada: El "impulso exógeno" se reinterpreta de la interferencia de la cola (en el NOS original) a una señal de evidencia escalar ($E_{i,t}$) computada a partir de características de metadatos normalizadas (tiempo, tamaño, contención y datos opcionales de apretón de manos DNS/TLS).
• Lógica de Detección: El sistema califica ventanas de longitud fija (250 ms) de metadatos. Para estabilizar las decisiones y evitar el oscurecimiento (flapping), aplica una regla de persistencia K-de-M: un flujo se marca como accionable solo si ocurren $K$ alarmas dentro de las $M$ ventanas más recientes.
• Mecanismo de Acción: Tras una alarma persistente, NOS-Gate activa una mitigación reversible: reduce temporalmente el peso del flujo marcado bajo un esquema de Cola Equitativa Ponderada (WFQ). Esto tiene como objetivo reducir el daño en la cola final (latencia para el ataque) al tiempo que limita el retardo colateral para el tráfico benigno, sin bloquear inmediatamente el flujo.
• Protocolo de Calibración: El sistema opera en un modo independiente y sin etiquetas. Utiliza un segmento de "calentamiento" (burn-in) asumido como benigno para calcular umbrales de cuantiles altos (por ejemplo, el percentil 99.9) para cada flujo. Estos umbrales se congelan para la fase de prueba. Las etiquetas se utilizan únicamente para reportar métricas de rendimiento, no para el entrenamiento o ajuste.

Marco de Evaluación: El Benchmark de "Mundos" (Worlds)
Para evaluar rigurosamente el sistema bajo evasión controlada por tiempos, los autores introducen un benchmark ejecutable de "mundos".

• Estructura: Un mundo es una instancia sintética, totalmente especificada y reproducible que contiene procesos de dispositivos benignos, generadores de episodios maliciosos y una estructura de contención (cliques de flujos que comparten un dominio de programación).
• Presupuestos Adversarios: Los ataques están restringidos por presupuestos operativos auditables:
  1. Suelo de Rendimiento ($R_{min}$): El ataque debe mantener una tasa de datos mínima.
  2. Distorsión de Tiempo ($\epsilon$): La distancia de Wasserstein entre la distribución de tiempo de llegada entre intervalos (IAT) maliciosa y una referencia benigna debe permanecer por debajo de un umbral.
  3. Sigilo de Contención ($\delta_q$): El ataque no debe aumentar significativamente el retardo medio de la cola de la clique de contención en comparación con el tráfico benigno.
• Factibilidad: El benchmark incluye un protocolo para determinar si un conjunto específico de presupuestos es factible; si no lo es, el generador intenta restaurar la factibilidad o reporta la infactibilidad.
• Medición de Impacto: La evaluación implica la reproducción de paquetes mediante WFQ para cuantificar el retardo de la cola final (p99.9) y el retardo colateral (impacto en flujos benignos) bajo la acción de filtrado.

Contribuciones Clave

1. Detector NOS-Gate: Un IDS de transmisión basado solo en metadatos que mapea la dinámica NOS a la detección de intrusiones a nivel de flujo, contando con un gancho de acción directo (despriorización de WFQ) impulsado por un mecanismo de alerta basado en persistencia.
2. Benchmark de Mundos Ejecutable: Un benchmark reproducible con estructuras de contención publicadas y presupuestos de atacante auditables, que permite la evaluación de los resultados de la cola final y colateral bajo ataques con forma de tiempo.
3. Protocolo Operativo Estandarizado: Un método de calibración independiente y sin etiquetas que utiliza el umbral de cuantiles de calentamiento, el cual fija un presupuesto explícito de falsas alarmas sin ajuste supervisado, permitiendo una comparación justa de los impactos de detección y acción.

Resultos
Evaluado a través de múltiples mundos reproducibles y episodios maliciosos bajo un punto de operación estricto de tasa de falsos positivos (FPR) de 0.1%:

• Rendimiento de Detección: NOS-Gate logró un recall de incidentes de 0.952 (perdiendo solo 1 de 21 incidentes), superando al mejor baseline (TinyGRU, 0.857 de recall) y a otros baselines sin etiquetas (KitNET, Autoencoder). La regla de persistencia permitió a NOS-Gate acumular desviaciones modestas a lo largo del tiempo, dificultando que los adversarios controlados por tiempo suprimieran las puntuaciones por debajo del umbral de cuantiles altos.
• Impacto en la Cola: Cuando se habilitó el filtrado de WFQ, NOS-Gate fue el único método que mejoró consistentemente tanto el retardo de cola p99.9 (reducido en ~3.24 ms) como el retardo colateral p99.9 (reducido en ~3.16 ms) en comparación con la reproducción base sin filtrado. Otros métodos, al aplicar filtrado, a menudo aumentaron los retardos de cola debido a un filtrado menos dirigido.
• Eficiencia: NOS-Gate demostró un costo de puntuación medio de ≈2.09 µs por ventana de flujo en una CPU estándar, comparable a un autoencoder compacto y significativamente más rápido que KitNET y TinyGRU.

Significancia y Reivindicaciones
El artículo afirma que NOS-Gate aborda una brecha de despliegue específica: la necesidad de un IDS de gateway que no solo sea preciso bajo la evasión por tiempo, sino que también sea capaz de tomar acciones que mejoren mediblemente el rendimiento de red visible para el usuario (resultados de cola) en lugar de solo generar alarmas.

• Modestia de las Reivindicaciones: Los autores declaran explícamente que no pretenden realizar inspección de carga útil, despliegue en firmware de grado de ISP, ni que sus mundos sintéticos reproduzcan perfectamente cada conjunto de datos del mundo real.
• Contribución Central: El trabajo proporciona un protocolo falsable y un conjunto de artefactos (mundos, presupuestos, estructuras de contención) que hacen que tanto la evasión como el impacto en la cola sean medibles. Demuestra que, bajo presupuestos estrictos de falsas alarmas, un detector de transmisión ligero de dos estados puede lograr una mayor detección de incidentes y mejores resultados de cola que otros baselines más complejos cuando se combina con una acción reversible de WFQ.
• Limitaciones: La evaluación actual se centra en la actividad sostenida en flujos específicos. Los autores señalan que un adversario adaptativo podría intentar diluir la evidencia aumentando la rotación de flujos (muchos flujos de corta duración) o distribuyendo la actividad entre múltiples endpoints, un escenario no evaluado en este artículo pero identificado como una dirección para el trabajo futuro que involucre agregación ligera o acoplamiento entre flujos.