Enhancing Adversarial Robustness in Network Intrusion Detection: A Layer-wise Adaptive Regularization Approach

Resumen Técnico: Mejora de la Robustez Adversarial en la Detección de Intrusiones en Redes mediante LARAR

Enunciado del Problema
Los Sistemas de Detección de Intrusiones en Redes (NIDS) basados en aprendizaje profundo son cada vez más vulnerables a ataques adversariales, donde perturbaciones imperceptibles en los datos de entrada provocan una clasificación errónea. Aunque los métodos de entrenamiento adversarial más avanzados han mejorado la robustez, adolecen de limitaciones significativas: tratan las redes neuronales como "cajas negras", aplicando regularización uniforme en todas las capas sin comprender cómo se propagan o amplifican las perturbaciones adversariales a través de capas ocultas específicas. Esta falta de insight a nivel de capa impide estrategias de defensa dirigidas, lo que conduce a una asignación ineficiente de recursos y a una falta de interpretabilidad sobre qué partes de la red son más susceptibles al ataque. Además, los métodos existentes a menudo fallan en detectar muestras adversariales tempranamente en el proceso de inferencia.

Metodología: El Marco LARAR
El artículo propone LARAR (Robustez Adversarial a Nivel de Capa usando Regularización Adaptativa), un marco diseñado para extender el entrenamiento adversarial convencional con tres innovaciones centrales:

1. Métrica de Puntuación de Vulnerabilidad de Capa (LVS):
   Los autores introducen una métrica cuantificada para medir la sensibilidad de cada capa oculta a los ataques adversariales. El LVS se calcula como la diferencia normalizada entre las activaciones limpias y adversariales para una capa dada $l$:
   $$LVS(l) = \frac{1}{B} \sum_{i=1}^{B} \frac{\|h^{(l)}(x_{adv}^i) - h^{(l)}(x_i)\|_2}{\|h^{(l)}(x_i)\|_2 + \epsilon_{small}}$$
   Esta métrica identifica qué capas amplifican las perturbaciones, proporcionando interpretabilidad sobre el flujo interno del ruido adversarial.

2. Regularización Adaptativa a Nivel de Capa:
   A diferencia de los enfoques tradicionales que aplican penalizaciones uniformes, LARAR emplea una función de pérdida compuesta que incluye un término de regularización específico por capa y aprendible. La pérdida total ($L_{total}$) combina la Pérdida de Entropía Cruzada ($L_{CE}$), la Pérdida Auxiliar ($L_{aux}$), la Pérdida de Alineación de Gradientes ($L_{GA}$), la Pérdida de Suavizado de Características ($L_{FS}$) y el término adaptativo LVS:
   $$L_{total} = L_{CE} + \lambda_{aux}L_{aux} + \lambda_{GA}L_{GA} + \lambda_{FS}L_{FS} + \beta \sum_{l=1}^{L} w^{(l)} \cdot LVS^{(l)}$$
   Los pesos $w^{(l)}$ son parámetros aprendibles actualizados mediante descenso de gradiente. Esto permite que el modelo asigne automáticamente una regularización más fuerte a las capas con mayor vulnerabilidad empírica (LVS alto) y la reduzca para las capas robustas.

3. Supervisión Multi-Nivel y Detección Temprana:
   El marco integra Clasificadores Auxiliares (capas lineales simples) en capas ocultas intermedias para proporcionar supervisión multi-nivel, fortaleciendo las representaciones de características antes de la salida final. Además, el sistema establece umbrales de detección estadística ($\tau^{(l)}$) basados en la media y la desviación estándar de los valores LVS de datos de validación limpios. Si el LVS de una entrada en cualquier capa supera su umbral, la muestra se marca como adversarial, permitiendo una salida temprana y detección antes de la capa de clasificación final.

Configuración Experimental
El marco fue evaluado en el conjunto de datos UNSW-NB15, un punto de referencia para la detección de intrusiones en redes que contiene 82.332 muestras con 42 características. El modelo base consistió en una MLP de dos capas (dimensiones 128 y 64) con activaciones ReLU y normalización por lotes. Los autores compararon LARAR contra una Red Neuronal Vanilla estándar y una Base ADVNN (un método de entrenamiento adversarial de última generación sin análisis a nivel de capa). La evaluación incluyó precisión limpia y robustez frente al Método de Signo de Gradiente Rápido (FGSM), Descenso de Gradiente Proyectado (PGD) y ataques de transferencia.

Resultados Clave

• Mejora de la Robustez: LARAR logró una precisión limpia del 95,01%. Bajo condiciones adversariales, demostró mejoras significativas sobre la Base ADVNN:
  • FGSM: 31,45% de precisión (vs. 27,00% para Base ADVNN), una mejora del 16,4%.
  • PGD: 33,18% de precisión (vs. 28,70% para Base ADVNN), una mejora del 15,6%.
  • Ataques de Transferencia: 42,51% de precisión (vs. 38,29% para Base ADVNN), una mejora del 11,02%.
• Tasa de Éxito del Ataque (ASR): LARAR redujo la tasa de éxito de los ataques en aproximadamente 4,2% a 4,4% en comparación con la Base ADVNN en todos los tipos de ataque.
• Análisis de Capas: La métrica LVS reveló que la primera capa oculta fue consistentemente más vulnerable que la segunda. Los pesos adaptativos convergieron exitosamente para asignar una mayor presión de regularización a la capa más vulnerable, validando la capacidad del mecanismo para priorizar los recursos de defensa.
• Eficiencia: Aunque LARAR introdujo una sobrecarga computacional del 18% en el tiempo de entrenamiento en comparación con la Base ADVNN (debido al cálculo de LVS y pérdidas auxiliares), mantuvo el mismo tiempo de inferencia (0,8 ms) durante la operación normal. Con la detección temprana habilitada, el tiempo de inferencia podría reducirse un 25% para muestras clasificadas con confianza.

Significado y Afirmaciones
El artículo afirma que LARAR aborda la limitación de "caja negra" de las defensas adversariales actuales al proporcionar puntuaciones de vulnerabilidad a nivel de capa interpretables. Esta granularidad permite:

1. Defensa Dirigida: Asignar recursos computacionales específicamente a las capas más vulnerables en lugar de aplicar regularización uniforme.
2. Detección Temprana: Identificar muestras adversariales en capas intermedias, reduciendo potencialmente la latencia y la carga computacional durante la inferencia.
3. Perspectiva de Diseño: Ofrecer datos accionables para profesionales de la seguridad para comprender cómo se propagan las perturbaciones, sugiriendo que los extractores de características en etapas tempranas requieren un endurecimiento específico.

Los autores concluyen que, aunque LARAR incurre en una sobrecarga de entrenamiento modesta, la compensación está justificada por las ganancias sustanciales en robustez y la interpretabilidad mejorada del mecanismo de defensa. El trabajo posiciona a LARAR como un paso hacia una defensa adversarial más principista, transparente y eficiente en los NIDS.