Resource-Aware Layered Intrusion Detection Allocation Model

1. Definición del Problema

En las redes heterogéneas modernas, la detección de intrusiones no puede limitarse a un solo punto de observación. Si bien la inspección en capas superiores (como la capa de aplicación) permite detectar ataques sofisticados (ej. inyecciones SQL o ataques de fuerza bruta), conlleva un costo computacional y de almacenamiento significativamente mayor que la inspección en capas inferiores (como Ethernet).

El problema central que aborda este trabajo es la optimización de la profundidad de monitoreo en una red compuesta por dispositivos con distintos perfiles de riesgo, importancia y capacidades técnicas. El desafío consiste en decidir qué nivel de inspección asignar a cada dispositivo para maximizar la eficiencia de detección sin exceder un presupuesto de recursos limitado y respetando las restricciones de viabilidad de dispositivos con capacidades restringidas (como sensores IoT).

2. Metodología

Los autores formulan el problema como un Programa Lineal Entero (ILP). El modelo se desglosa de la siguiente manera:

• Variables de Decisión: Una variable binaria $y_{i,l}$ que indica si el dispositivo $i$ es monitoreado hasta la capa $l$ (donde $l \in \{1, 2, 3, 4\}$ representas las capas de Ethernet, IP, Transporte y Aplicación, respectivamente).
• Función Objetivo: Maximizar la eficiencia de detección, calculada como la suma ponderada de la importancia del dispositivo ($w_i$), la probabilidad de ataque ($p_i$) y la tasa de detección de la capa asignada ($d_l$):
  $$\max \sum_{i=1}^{n} \sum_{l=1}^{4} w_i p_i d_l y_{i,l}$$
• Restricciones:
  1. Presupuesto de Recursos: La suma de los costos de monitoreo de todos los dispositivos no debe superar el presupuesto global $R$.
  2. Unicidad de Capa: Cada dispositivo debe tener asignada exactamente una profundidad de monitoreo.
  3. Dispositivos Críticos ($C$): Los dispositivos esenciales deben tener un nivel de monitoreo mínimo $\alpha$ (ej. al menos hasta la capa de IP).
  4. Viabilidad de Dispositivos ($F$): Los dispositivos con limitaciones técnicas (como sensores IoT simples) tienen un límite máximo de monitoreo $\beta$ (ej. no pueden ser monitoreados en la capa de aplicación).

3. Contribuciones Clave

• Modelado Matemático Formal: A diferencia de otros trabajos que se centran en la ubicación de tareas de detección o en el entrenamiento de modelos de ML, este modelo se enfoca en la decisión estratégica de asignación de profundidad de inspección basada en el contexto de la red.
• Integración de Heterogeneidad: El modelo incorpora de manera explícita la importancia del activo, la probabilidad de amenaza y las limitaciones físicas de los dispositivos en una única formulación de optimización.
• Enfoque Multicapa: Establece una jerarquía de inspección que reconoce que la visibilidad aumenta con la profundidad de la capa, pero a un costo creciente.

4. Resultados y Evaluación

El modelo fue implementado y resuelto utilizando el marco de optimización SCIP en una red de prueba de seis dispositivos heterogéneos. Los resultados demostraron que:

• Priorización Inteligente: El modelo concentra los recursos de inspección profunda en dispositivos que son simultáneamente importantes y de alto riesgo.
• Cumplimiento de Restricciones: El sistema asignó correctamente niveles mínimos a dispositivos críticos y respetó los límites de capacidad de los dispositivos restringidos.
• Sensibilidad al Presupuesto: Se observó que, con presupuestos bajos, el modelo es selectivo y prioriza la seguridad de los activos vitales, mientras que con presupuestos mayores, permite una cobertura más amplia y profunda en toda la red. Si el presupuesto es insuficiente para cubrir los requisitos mínimos, el modelo identifica la inviabilidad de la solución.

5. Significado y Conclusión

Este trabajo es significativo porque ofrece un método estructurado y reproducible para la gestión de la ciberseguridad en entornos donde los recursos son finitos. Proporciona una base para la administración de seguridad adaptativa, permitiendo que los administradores de red optimicen su postura de defensa de manera matemática en lugar de basarse en configuraciones estáticas o manuales. El estudio sienta las bases para futuras investigaciones que integren la incertidumbre en las probabilidades de ataque y la escala de redes industriales masivas.