A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

Resumen Técnico: Un Método Novel de Codificación de Flujo a Imagen a Nivel de Byte para Sistemas de Detección de Intrusos en Redes

Enunciado del Problema
Los Sistemas de Detección de Intrusos (IDS) basados en red se entrenan predominantemente sobre registros de flujo tabulares. Estas representaciones unidimensionales (1D) limitan la capacidad de las arquitecturas convolucionales para explotar las correlaciones espaciales entre características, ya que los modelos estándar tratan las características de forma independiente o mediante operaciones secuenciales. Si bien los métodos existentes han intentado convertir el tráfico de red en representaciones de imagen bidimensionales (2D) para aprovechar las Redes Neuronales Convolucionales (CNN), a menudo dependen de reducción de dimensionalidad o arreglos espaciales heurísticos. Estos enfoques frecuentemente descartan información numérica de grano fino mediante normalización o colocación arbitraria de características, lo que podría comprometer la fiabilidad de la detección de intrusiones.

Metodología
Los autores proponen un método de codificación de flujo a imagen a nivel de byte, determinista y reversible, que convierte cada registro de flujo de red en una imagen RGB fija de 32×32 sin pérdida de precisión numérica. El proceso de codificación involucra tres etapas principales:

1. Partición y Preparación de Características: Las características se dividen en tipos continuos y categóricos. Las características continuas se estandarizan utilizando normalización z-score (media y desviación estándar derivadas exclusivamente de la partición de entrenamiento). Las características categóricas se mapean a índices enteros en lugar de codificación one-hot para evitar la dispersión de alta dimensionalidad.
2. Codificación de Bytes: Las características continuas se convierten a float32 (formato IEEE-754 de precisión simple) y se serializan en cuatro bytes. Las características categóricas se codifican como valores de 1 byte (promovidos a 2 bytes si el vocabulario supera los 255).
3. Disposición Espacial:
   • Características Continuas: Los bytes serializados se empaquetan secuencialmente en píxeles a lo largo de una trayectoria en forma de "L invertida", comenzando desde la esquina inferior derecha $(S-1, S-1)$, moviéndose hacia arriba hasta $(0, S-1)$ y luego hacia la izquierda hasta $(0, 0)$. Crucialmente, dado que un píxel contiene 3 bytes (RGB) y una característica contiene 4 bytes, los límites de las características se alinean intencionalmente de forma desfasada con los límites de los píxeles. Esto obliga a los filtros convolucionales a agregar información a través de las dimensiones de canal y espacial para capturar patrones de bytes intra-característica y correlaciones inter-características.
   • Características Discretas: Los índices categóricos se colocan contiguamente en el centro de la fila media $(\lfloor S/2 \rfloor)$, proporcionando un ancla espacial fija que separa los patrones discretos de los patrones de bytes continuos.
   • Relleno: Las posiciones no utilizadas se rellenan con ceros (fondo negro).

El estudio evalúa esta codificación frente a cuatro modelos IDS (CNN, CNN-LSTM, CNN-BiLSTM y ResNeXt-50) utilizando tanto configuraciones de flujo 1D como de imagen 2D en los conjuntos de datos NSL-KDD y UNSW-NB15, empleando sus particiones originales de entrenamiento y prueba para garantizar la reproducibilidad.

Contribuciones Clave

• Esquema de Codificación Novel: Un método determinista y reversible que convierte registros de flujo tabulares en imágenes RGB de 32×32 preservando los valores originales de las características y la precisión numérica.
• Agnosticismo Arquitectónico: El método no requiere modificación de las arquitecturas de modelos existentes, permitiendo una comparación directa entre modalidades 1D y 2D.
• Validación Empírica: Una evaluación exhaustiva en dos conjuntos de datos de referencia demuestra que la representación basada en imágenes mejora consistentemente la precisión de detección en arquitecturas tanto superficiales como profundas.

Resultados Experimentales
La representación basada en imágenes produjo ganancias consistentes de precisión sobre las líneas base basadas en flujo:

• UNSW-NB15: El método logró mejoras de precisión de hasta 15.6% para clasificación binaria y 12.8% para clasificación multiclase. Cabe destacar que alivió significativamente la disparidad de rendimiento entre las clases normales y de ataque, elevando la precisión de la clase de ataque desde un mínimo de ~29% (en modelos 1D) a más del 96% en modelos basados en imágenes.
• NSL-KDD: Las mejoras fueron más modestas pero consistentes, con ganancias de hasta 3.5% para clasificación binaria y 3.2% para clasificación multiclase. Las mejoras más significativas se observaron en la detección de clases minoritarias (por ejemplo, R2L y U2R), donde la precisión para clases específicas aumentó más de 30 puntos porcentuales en algunas configuraciones.
• Estabilidad: Los modelos basados en imágenes exhibieron desviaciones estándar menores en experimentos repetidos, lo que sugiere una mayor estabilidad de entrenamiento en comparación con sus contrapartes basadas en flujo.

Significado y Afirmaciones
El artículo afirma que la codificación visual a nivel de byte fortalece la detección de intrusiones impulsada por IA en redes informáticas locales al permitir que los filtros convolucionales aprendan patrones locales consistentes y relaciones inter-características que son inaccesibles mediante el procesamiento secuencial 1D. Los autores enfatizan que este enfoque es particularmente efectivo para detectar tipos de ataques raros donde las representaciones 1D carecen de información discriminativa suficiente.

Los autores reconocen limitaciones, señalando que la efectividad del método depende parcialmente de la composición de las características (los conjuntos de datos con más características binarias/nominales resultan en más regiones rellenas con ceros) y que la disposición fija actual no tiene en cuenta explícitamente las correlaciones semánticas inter-características. Además, la evaluación se restringe a conjuntos de datos de referencia fuera de línea, y el rendimiento en tiempo real en condiciones de tráfico en streaming permanece por validarse. Se propone trabajo futuro para explorar disposiciones espaciales adaptativas basadas en la correlación de características e investigar la implementación en entornos con recursos limitados.