An Optimized Decision Tree-Based Framework for Explainable IoT Anomaly Detection

Resumen Técnico: Un Marco de Detección de Anomalías en IoT Basado en Árboles de Decisión Optimizado para la Explicabilidad

Planteamiento del Problema
La rápida proliferación de dispositivos del Internet de las Cosas (IoT) ha expandido significativamente la superficie de ataque cibernético, lo que requiere Sistemas de Detección de Intrusiones (IDS) robustos. Sin embargo, las soluciones actuales de IDS para IoT enfrentan un trilema crítico: a menudo luchan con datos de alta dimensión y desbalanceados, incurren en costos computacionales demasiado altos para dispositivos de borde (edge) con recursos limitados y carecen de interpretabilidad. La naturaleza de "caja negra" de muchos modelos de alto rendimiento (como los ensambles de aprendizaje profundo) socava la confianza y dificulta el cumplimiento de las regulaciones emergentes de transparencia de la IA. En consecuencia, existe una necesidad urgente de un marco de detección ligero, preciso y transparente capaz de implementarse en tiempo real en dispositivos de borde.

Metodología
Los autores proponen un marco centrado en un clasificador de Árbol de Decisión (DT) optimizado, integrado con técnicas de IA Explicable (XAI) para garantizar la transparencia. La metodología sigue un flujo de trabajo estructurado:

1. Recolección y Preprocesamiento de Datos: El estudio utiliza el conjunto de datos WUSTL-EHMS-2020, que comprende 16,318 muestras normales, 1,124 muestras de suplantación (spoofing) y 922 muestras de alteración de datos. El preprocesamiento implica la eliminación de duplicados, la codificación de etiquetas para variables categóricas y el manejo de valores atípicos mediante la técnica del Rango Intercuartílico (IQR) (reemplazando los valores atípicos con la media). Las características se normalizan mediante la normalización z-score para asegurar la estabilidad del entrenamiento.
2. Selección de Características: Para reducir la dimensionalidad y mejorar la generalización, los autores emplean un proceso de selección de dos pasos:
   • Prueba Chi-Cuadrado: Las características con valores p > 0.05 se descartan para eliminar variables irrelevantes.
   • Eliminación Recursiva de Características (RFE) con Validación Cruzada: Esto identifica el subconjunto de características más predictivo. El análisis de correlación de Pearson refina aún más la selección, reteniendo las características con valores p ajustados < 0.05.
3. Balanceo de Datos: Para abordar el desbalanceo de clases en el conjunto de entrenamiento, las clases minoritarias (Suplantación y Alteración de Datos) se sobremuestrean mediante sobremuestreo aleatorio para igualar a la clase mayoritaria (Normal), resultando en un conjunto de entrenamiento balanceado de 34,272 muestras.
4. Entrenamiento del Modelo y Comparación de Línea Base: Se aplica una inyección de ruido Gaussiano (15% de la desviación estándar original) para simular la variabilidad del mundo real. El DT optimizado propuesto se entrena y se compara contra clasificadores de línea base: Random Forest, K-Nearest Neighbors (KNN), Perceptrón Multicapa (MLP) y CatBoost.
5. Integración de la Explicabilidad: El marco incorpora dos métodos de XAI:
   • SHAP (SHapley Additive exPlanations): Proporciona atribución de características local y global.
   • Análisis de Sensibilidad de Morris: Identifica la importancia de las características a nivel global midiendo el efecto general de las perturbaciones de entrada, incluyendo efectos no lineales e interacciones.

Contribuciones Clave

• Marco de Árbol de Decisión Optimizado: Desarrollo de un clasificador DT ligero diseñado específicamente para entornos IoT, equilibrando una alta precisión con una baja carga computacional.
• Pipeline de Preprocesamiento Integral: Implementación de un pipeline robusto que incluye reducción de ruido, normalización y manejo de desbalanceo de clases adaptado al tráfico de IoT.
• Explicabilidad de Doble Modo: Integración de SHAP y el análisis de sensibilidad de Morris para proporcionar transparencia tanto local (a nivel de instancia) como global (a nivel de modelo), abordando la limitación de la "caja negra" de los modelos complejos.
• Validación Lista para el Borde (Edge-Ready): Demostración de que el modelo propuesto logra un rendimiento de vanguardia manteniendo velocidades de inferencia adecuadas para dispositivos de borde con recursos limitados, a diferencia de las alternativas más pesadas de ensambles o aprendizaje profundo.

Resultados
El marco propuesto fue evaluado en un conjunto de prueba y mediante validación cruzada de 5 pliegues (5-fold cross-validation), arrojando las siguientes métricas de desempeño:

• Precisión (Accuracy): 99.91% en el conjunto de prueba; 98.93% de precisión media en la validación cruzada.
• F1-Score: 99.51%.
• Kappa de Cohen: 0.9960.
• Estabilidad: El modelo demostró una estabilidad excepcional con una desviación estándar de validación cruzada de solo 0.0003, superando a Random Forest, KNN, MLP y CatBoost en consistencia.
• Eficiencia: El DT optimizado exhibió tiempos mínimos de entrenamiento e inferencia en comparación con los modelos de ensamble, lo que lo hace superior para aplicaciones en tiempo real.

Información sobre la Importancia de las Características
Tanto SHAP como el análisis de sensibilidad de Morris identificaron a SrcMac (dirección MAC de origen) como el predictor más significativo en todas las clases. Otras características altamente influyentes incluyeron SIntPkt (Tiempo inter-paquete de origen) y DIntPkt (Tiempo inter-paquete de destino). Por el contrario, se encontró que características como DstLoad, Rate, Load y jitter tenían un impacto insignificante en las predicciones.

Significancia y Reivindicaciones
El artículo afirma que este marco resuelve con éxito la compensación entre la calidad de la detección, la interpretabilidad del modelo y la eficiencia computacional. Al lograr una precisión casi perfecta (99.91%) mientras se mantiene computacionalmente ligero, la solución se posiciona como una alternativa viable a los métodos de aprendizaje profundo y basados en blockchain que a menudo sufren de alta sobrecarga y baja escalabilidad. La integración de XAI asegura que el proceso de toma de decisiones sea transparente, fomentando la confianza y permitiendo el cumplimiento de las regulaciones de transparencia de la IA. Los autores concluyen que esta combinación de alta precisión, explicabilidad y bajo consumo de recursos hace que el marco sea una herramienta confiable para la detección de anomalías en tiempo real en entornos IoT con recursos restringidos. Se sugiere como trabajo futuro incluir procesos de aprendizaje adaptativo y la validación en conjuntos de datos más amplios y del mundo real.