From Detection to Response: A Deep Learning and Retrieval-Augmented Generation Framework for Network Intrusion Mitigation

Resumen Técnico: De la Detección a la Respuesta

Enunciado del Problema
Aunque los Sistemas de Detección de Intrusos (IDS) basados en aprendizaje automático han logrado una alta precisión en la clasificación de ataques de red, a menudo no abordan la necesidad operativa crítica de los analistas de seguridad: determinar la respuesta adecuada. Los modelos actuales de aprendizaje profundo suelen funcionar como "cajas negras", proporcionando etiquetas de predicción sin explicar la lógica de la decisión. Además, las técnicas existentes de Inteligencia Artificial Explicable (XAI), como SHAP y LIME, identifican características influyentes pero no ofrecen orientación accionable para la mitigación. Asimismo, las fuentes autorizadas de conocimientos de ciberseguridad (por ejemplo, las directrices de NIST, MITRE ATT&CK) son demasiado extensas para consultarlas manualmente durante incidentes en tiempo real. Este artículo aborda la brecha entre la detección de amenazas de alta precisión y la generación de estrategias de respuesta estructuradas, basadas en evidencia y accionables.

Metodología
Los autores proponen un marco unificado, de extremo a extremo, que integra la detección de intrusiones basada en aprendizaje profundo con un pipeline de Generación Aumentada por Recuperación (RAG). El sistema opera a través de cinco etapas modulares:

1. Adquisición y Preprocesamiento de Datos: El marco utiliza dos conjuntos de datos de referencia, CICIDS2018 y UNSW-NB15. Para permitir la evaluación entre conjuntos de datos, se construye un espacio de características unificado de 66 dimensiones. Las características categóricas se codifican mediante one-hot encoding y se aplica relleno con ceros para cerrar las brechas dimensionales. Un diccionario de interpretación de características mapea los nombres técnicos de las características a descripciones legibles por humanos e implicaciones de seguridad.
2. Clasificación DNN Calibrada por Confianza: En lugar de un único modelo multiclase, el sistema emplea un ensemble de tres Redes Neuronales Profundas (DNN) binarias entrenadas independientemente utilizando una estrategia uno-contra-resto (Benigno-vs-Resto, DoS-vs-Resto, DDoS-vs-Resto).
   • Arquitectura: Los modelos utilizan capas totalmente conectadas con activación ReLU. El modelo CICIDS2018 utiliza tres capas ocultas, mientras que el modelo UNSW-NB15 utiliza cuatro, incorporando normalización por lotes y regularización por dropout.
   • Manejo del Desequilibrio de Clases: Para abordar el desequilibrio severo de clases (por ejemplo, el tráfico DoS que constituye solo el 0,64% de UNSW-NB15), el sistema emplea pérdida de entropía cruzada binaria ponderada por clases, sobremuestreo aleatorio, submuestreo controlado y selección de modelos basada en la puntuación F1.
   • Salida: El ensemble produce una clase predicha y una puntuación de confianza escalar, que se mapea a un "Nivel de Triaje SOC" discreto (Muy Alto, Alto, Medio, Bajo) para guiar la priorización del analista.
3. Construcción de Prompts Consciente de la Explicación: Tras la clasificación, el sistema extrae las 5 características más influyentes utilizando atribución basada en gradientes. Estas características se mapean a descripciones en lenguaje natural mediante el diccionario de interpretación. Luego se ensambla un prompt estructurado que contiene:
   • Contexto de detección (clase de ataque, confianza, nivel).
   • Metadatos del flujo de red (IPs, puertos, marcas de tiempo).
   • Indicadores anómalos (las 5 características principales y sus interpretaciones).
   • Una instrucción de rol del sistema que define al LLM como un analista senior de ciberseguridad con requisitos explícitos de citación.
4. Recuperación Híbrida RAG: El prompt se aumenta recuperando orientación relevante de una base de conocimientos construida a partir de 14 documentos autorizados (incluidas Publicaciones Especiales de NIST y MITRE ATT&CK). El pipeline de recuperación utiliza un enfoque híbrido:
   • Búsqueda Léxica: Clasificación BM25.
   • Búsqueda Semántica: Recuperación de vectores densos utilizando FAISS y transformadores de oraciones.
   • Expansión de Consultas: Un diccionario de sinónimos específico de ciberseguridad expande los términos (por ejemplo, de "DoS" a "agotamiento de recursos").
   • Reclasificación: Un codificador cruzado reclasifica los principales candidatos para seleccionar los 5 fragmentos finales para el prompt.
5. Generación de Informes Basada en LLM: Un modelo LLaMA 3:8B desplegado localmente (vía Ollama) genera un informe estructurado de respuesta a incidentes. El informe incluye secciones sobre Fundamentación, Indicadores Clave, Evaluación de Confianza, Evaluación de Amenazas y Recomendaciones, todos fundamentados en las citas recuperadas.

Contribuciones Clave

1. Estrategia de Prompting Estructurado: Un método novedoso que vincula el razonamiento del LLM a evidencia concreta de detección (clase predicha, confianza y 5 características anómalas principales) en lugar de consultas genéricas.
2. Pipeline de Recuperación Híbrido: Un sistema de recuperación que combina búsqueda de palabras clave BM25, búsqueda de vectores densos basada en FAISS y reclasificación con codificador cruzado para extraer estrategias de mitigación relevantes de fuentes autorizadas.
3. Marco de Mitigación de Extremo a Extremo: Un sistema que no solo detecta ataques, sino que genera informes de mitigación estructurados y fundamentados en citas, cerrando la brecha entre la detección y la respuesta.
4. Evaluación Rigurosa: Un marco de evaluación que compara las salidas mejoradas con RAG frente a la verdad fundamental escrita por expertos y líneas base de LLM estándar, utilizando las métricas BERTScore, ROUGE y BLEU.

Resultados

• Rendimiento de Detección: El ensemble DNN logró una precisión del 99,84% en el conjunto de datos CICIDS2018 y del 95,30% en el conjunto de datos UNSW-NB15. Cabe destacar que la recuperación (recall) de DoS en el conjunto de datos UNSW-NB15 altamente desequilibrado mejoró del 0,30% (línea base) al 97,6% tras aplicar intervenciones de equilibrado.
• Rendimiento de Recuperación: El pipeline de recuperación híbrido logró una tasa de éxito del 97% con una reciprocidad media de rango (MRR) de 0,87 y una latencia promedio de 1,8 segundos.
• Calidad del Informe: Los informes mejorados con RAG superaron significativamente a las salidas de LLM estándar en todas las métricas. En comparación con la línea base, el sistema RAG mostró una mejora del 4,4% en la puntuación F1 de BERTScore, un aumento del 32,5% en ROUGE-1, un aumento del 126,4% en ROUGE-2 y un aumento del 244,1% en BLEU. Los informes generados incluyeron consistentemente citas a fuentes de NIST y MITRE (tasas de citación del 93,3% y 86,7%, respectivamente).

Importancia
El artículo afirma que su marco aborda con éxito la limitación persistente en la investigación de IDS donde la detección se desconecta de la respuesta accionable. Al integrar la detección basada en aprendizaje profundo con un pipeline RAG fundamentado en conocimientos de ciberseguridad confiables, el sistema produce informes de mitigación que no solo son precisos, sino también explicables, conscientes del contexto y operativamente útiles para los analistas del Centro de Operaciones de Seguridad (SOC). Los autores enfatizan que este enfoque reduce el tiempo entre la detección de un ataque y la respuesta efectiva, mitigando así el riesgo de interrupción prolongada del sistema. El uso de un LLM desplegado localmente también aborda las preocupaciones de privacidad y regulatorias asociadas con el enrutamiento de datos sensibles de tráfico de red a APIs externas.