AMDS: Attack-Aware Multi-Stage Defense System for Network Intrusion Detection with Two-Stage Adaptive Weight Learning

Resumen Técnico: AMDS

1. El Problema

Los Sistemas de Detección de Intrusiones basados en Redes (NIDS) que utilizan aprendizaje automático (ML) son vulnerables a ataques adversarios. Estos ataques manipulan sutilmente el tráfico de red para evadir la detección sin ser perceptibles para analistas humanos.

• Limitaciones de las defensas actuales:
  • Las estrategias de defensa suelen ser uniformes, aplicando la misma lógica a todos los tipos de ataques, lo cual es ineficaz dada la heterogeneidad de las amenazas (ej. ataques basados en gradientes vs. cambios de distribución).
  • Los métodos de ensembles (conjuntos de modelos) suelen tratar la "desacuerdo" entre modelos como ruido que debe promediarse, en lugar de usarlo como una señal de alerta de manipulación adversaria.
  • La mayoría de los sistemas ofrecen o bien detección de ataques o clasificación de tráfico, pero no ambas simultáneamente con alta precisión.
  • El entrenamiento adversario (adversarial training) a menudo sacrifica la precisión en datos limpios y no generaliza bien a tipos de ataques no vistos.

2. Metodología Propuesta: AMDS

El sistema propuesto, AMDS (Attack-Aware Multi-Stage Defense System), es un marco de defensa en múltiples etapas que integra el aprendizaje de estrategias específicas para cada tipo de ataque. Su arquitectura consta de cuatro componentes principales:

• Ensemble Consciente de Adversarios:

  • Utiliza un conjunto de 6 clasificadores diversos (árboles de decisión, boosting, lineales y redes neuronales) para maximizar la diversidad arquitectónica.
  • Calcula tres señales de detección:
    1. Entropía: Incertidumbre de la predicción.
    2. Desacuerdo (Disagreement): Varianza en las predicciones entre los modelos del ensemble (señal clave de manipulación).
    3. Anomalía: Distancia de Mahalanobis respecto a la distribución de datos benignos.

• Enrutador en Cascada (Cascade Router):

  • Diseñado para eficiencia. Clasifica muestras de alta confianza y bajo desacuerdo inmediatamente (Etapa 1).
  • Solo las muestras sospechosas pasan a etapas más costosas de cálculo (Etapa 2 y 3), reduciendo la carga computacional promedio.

• Detección Adaptativa de Dos Etapas:

  • Etapa 1 (Inferencia Genérica): Calcula una puntuación de sospecha usando pesos genéricos y clasifica el ataque en una de dos categorías: basado en gradientes o cambio de distribución.
  • Etapa 2 (Refinamiento Específico): Re-calcula la puntuación de sospecha utilizando pesos aprendidos específicos para la categoría inferida. Esto permite adaptar la estrategia de detección según el tipo de amenaza.

• Ponderación de Modelos Adaptativa al Ataque:

  • Los pesos de los modelos del ensemble se ajustan dinámicamente según la categoría de ataque inferida. Se favorecen los modelos que tienen mayor precisión histórica contra ese tipo específico de ataque.
  • Incluye un mecanismo de mezcla basado en la confianza para evitar sobre-reacción si la inferencia de la categoría es incierta.

• Arquitectura de Doble Salida:

  • Proporciona simultáneamente: (1) Detección de adversarios (binario: limpio vs. manipulado) y (2) Clasificación del tipo de tráfico (multiclase).

3. Contribuciones Clave

1. Integración Multi-Señal: Demuestran que ninguna señal individual (entropía, desacuerdo o anomalía) es suficiente por sí sola (AUCs individuales entre 0.138 y 0.549), pero su combinación ponderada alcanza un AUC del 97.1%.
2. Aprendizaje de Pesos Específicos: Identifican patrones distintos:
   • Los ataques basados en gradientes se detectan mejor mediante el desacuerdo de los modelos.
   • Los ataques de cambio de distribución (inyección, morfología) requieren estrategias heterogéneas (dominadas por entropía o anomalía).
3. Mecanismo de Dos Etapas: La combinación de inferencia genérica con refinamiento por categoría logra un AUC del 94.2%, superando significativamente a enfoques puramente genéricos o puramente específicos.
4. Ponderación Dinámica: Mejora la precisión en ataques de cambio de distribución en +30 puntos porcentuales (pp) comparado con enfoques estáticos.
5. Evaluación Rigurosa: Comparación contra entrenamiento adversario (AT) y validación cruzada entre conjuntos de datos (CSE-CIC-IDS2018 y UNSW-NB15).

4. Resultados Experimentales

Evaluado en el conjunto de datos CSE-CIC-IDS2018 contra 7 tipos de ataques (FGSM, PGD, C&W, SPSA, Inyección, Morfología):

• Rendimiento General:
  • Precisión: 84.8% (mejora de +4.5 pp sobre el entrenamiento adversario y +3.9 pp sobre el ensemble estándar).
  • F1-Score: 71.7% (mejora de +9.0 pp sobre el entrenamiento adversario).
  • AUC de Detección: 94.2%.
• Comparación con Entrenamiento Adversario (AT):
  • El AT por sí solo mostró un beneficio mínimo o negativo (-0.6 pp) sobre los ensembles estándar, mientras que AMDS superó consistentemente al AT, especialmente en ataques de cambio de distribución (+18.4 pp de mejora).
• Robustez ante Adversarios Adaptativos:
  • Bajo ataques de caja blanca adaptativos (donde el atacante conoce la arquitectura de AMDS), el sistema mantuvo una precisión del 94.4% con una tasa de éxito del ataque del 4.2%.
• Generalización (UNSW-NB15):
  • El rendimiento disminuyó en el conjunto de datos de mayor dimensionalidad (190 características vs 77), sugiriendo que la efectividad de la defensa depende de la competencia del modelo base y que la fuerza del ataque escala con la raíz cuadrada de la dimensionalidad ($\sqrt{d}$).

5. Significado e Implicaciones

• Cambio de Paradigma: El trabajo demuestra que tratar el "desacuerdo" de los modelos como una señal útil, en lugar de ruido, es fundamental para la defensa.
• Especificidad vs. Generalidad: La defensa no debe ser uniforme; adaptar los pesos de detección y de los modelos según la categoría de la amenaza es más efectivo que un enfoque único para todos.
• Viabilidad Práctica: AMDS ofrece un equilibrio entre precisión en datos limpios y robustez ante ataques, superando las limitaciones del entrenamiento adversario tradicional.
• Advertencia de Despliegue: La efectividad de estos sistemas depende críticamente de la calidad del modelo base y de la dimensionalidad de las características. En espacios de alta dimensión, los presupuestos de perturbación deben ajustarse o aplicarse reducción de dimensionalidad.

En conclusión, AMDS presenta un enfoque práctico y empíricamente sólido para mejorar la robustez adversaria en la detección de intrusiones, superando a las técnicas de estado del arte mediante la integración inteligente de múltiples señales y la adaptación dinámica a la naturaleza del ataque.