Cognitive Threat Intelligence and Explainable Federated Security Analytics for distributed Infrastructure Systems

Resumen Técnico: Inteligencia de Amenazas Cognitiva y Analítica de Seguridad Federada Explicable para Sistemas de Infraestructura Distribuida

Planteamiento del Problema
La rápida expansión de los sistemas de infraestructura distribuida, la computación en la nube, el Internet de las Cosas (IoT) y las arquitecturas de borde (edge), ha incrementado significamente la superficie de ataque de la ciberseguridad. Los sistemas tradicionales de detección de intrusiones (IDS) centralizados enfrentan limitaciones críticas en este entorno, incluyendo problemas de escalabilidad, alta sobrecarga de comunicación, respuesta tardía ante amenazas y riesgos significativos de privacidad asociados con la transmisión de tráfico de red sensible a servidores centrales. Además, muchas soluciones de ciberseguridad impulsadas por IA existentes operan como sistemas de "caja negra", careciendo de la transparencia necesaria para que los analistas comprendan el razonamiento detrás de las predicciones de anomalías y las clasificaciones de amenazas. Esta opacidad obstaculiza la confianza, la investigación de incidentes y el cumplimiento normativo. Existe una necesidad apremiante de un marco que logre simultáneamente la preservación de la privacidad, la inteligencia de amenazas colaborativa, la escalabilidad y la toma de decisiones explicable sin comprometer la precisión de la detección.

Metodología
Este estudio propone y evalúa un marco de Inteligencia de Amenazas Cognitiva y Analítica de Seguridad Federada Explicable. La metodología emplea un diseño de investigación empírica y experimental utilizando conjuntos de datos de referencia de ciberseguridad: NSL-KDD y CIC-IDS2017.

1. Arquitectura de Aprendizaje Federado (FL): En lugar de centralizar los datos brutos, el marco distribuye el proceso de entrenamiento. Los modelos de seguridad locales se entrenan de forma independiente en nodos de red distribuidos. Solo se comparten parámetros de modelo y actualizaciones cifradas con un agregador central mediante un mecanismo de Promedio Federado (Federated Averaging). Esto asegura que el tráfico de red sensible permanezca local, preservando la privacidad de los datos y reduciendo el riesgo de puntos únicos de falla.
2. Implementación Algorítmica: El estudio implementa y compara varios algoritmos de aprendizaje automático y aprendizaje profundo para la detección de anomalías y la clasificación de ataques dentro del entorno federado. Estos incluyen:
   • Aprendizaje Automático (Machine Learning): Random Forest, XGBoost.
   • Aprendizaje Profundo (Deep Learning): Autoencoder, redes de Memoria de Largo Corto Plazo (LSTM).
3. Integración de IA Explicable (XAI): Para abordar la limitación de la "caja negra", el marco integra SHAP (Explicaciones de Shapley Aditivas) y LIME (Explicaciones Locales Interpretables Independientes del Modelo). Estas técnicas generan información comprensible para el ser humano sobre las predicciones del modelo, explicando qué características de la red (por ejemplo, bytes de origen, bytes de destino) contribuyeron más a detecciones de anomalías específicas.
4. Preprocesamiento de Datos: Los conjuntos de datos fueron sometidos a limpieza, normalización, selección de características y manejo de desequilibrios de clase (particularmente para tipos de ataque poco comunes como R2L y U2R) para asegurar la robustez del modelo.
5. Métricas de Evaluación: El rendimiento se evaluó utilizando métricas estándar de ciberseguridad: Exactitud (Accuracy), Precisión, Exhaustividad (Recall), F1-Score, ROC-AUC, latencia de detección y sobrecarga de comunicación.

Contribuciones Clave

• Detección Descentralizada con Preservación de la Privacidad: El estudio demuestra una arquitectura viable para la detección colaborativa de amenazas donde los datos brutos nunca se comparten, mitigando las preocupaciones de privacidad inherentes a un IDS centralizado.
  la brecha entre los modelos federados de alto rendimiento y la necesidad de interpretabilidad, proporcionando un mecanismo para que los analistas de seguridad validen las decisiones impulsadas por la IA.
• Benchmarking Algorítmico: La investigación proporciona un análisis comparativo de Random Forest, XGBoost, Autoencoder y LSTM dentro de un entorno federado, identificando sus fortalezas relativas en entornos distribuidos.
• Análisis de Importancia de Características: Al aplicar XAI, el estudio identifica atributos específicos del tráfico de red (notablemente src_bytes y dst_bytes) que son más críticos para detectar actividad maliciosa, mejorando la transparencia del proceso de detección.

Resultados
Los resultados experimentales en los conjuntos de datos NSL-KDD y CIC-IDS2017 arrojaron los siguientes hallazgos:

• Rendimiento del Modelo: Todos los modelos evaluados demostraron una alta efectividad, con métricas de rendimiento promedio (Exactitud, Precisión, Exhaustividad) superando consistentemente el 90%.
• Mejor Desempeño: XGBoost logró la mayor exactitud y el mejor puntaje ROC-AUC (0.98), seguido de cerca por LSTM (0.97) y Random Forest (~0.95). El modelo Autoencoder mostró un rendimiento inferior, atribuido a los desafíos de la detección de anomalías no supervisada.
• Tasas de Detección de Ataques: El marco alcanzó una tasa de detección de aproximadamente el 98% para ataques de Denegación de Servicio (DoS) y del 95% para ataques de Prospección (Probe). Las tasas de detección fueron menores para los ataques de Remoto-a-Local (R2L) y Usuario-a-Raíz (U2R), lo que refleja la complejidad y escasez de estos tipos de ataque en los conjuntos de datos.
• Explicabilidad: SHAP y LIME identificaron con éxito la importancia de las características, confirmando que las métricas de volumen de datos (src_bytes, dst_bytes) eran indicadores primarios de anomalías.
• Sobrecarga de Comunicación: El estudio observó costos de comunicación variables entre los nodos cliente, donde algunos nodos (por ejemplo, Cliente 4) incurrieron en una mayor sobrecarga debido a actualizaciones de modelos más grandes o un entrenamiento local complejo, resaltando la eficiencia de la comunicación como un desafío de optimización pendiente.
• Matriz de Confusión: El modelo demostró una alta fiabilidad, con 987 Verdaderos Positivos y 950 Verdaderos Negativos, y relativamente pocos Falsos Positivos (35) y Falsos Negativos (28).

Significancia del Estudio
El artículo afirma que esta investigación contribuye al desarrollo de arquitecturas de ciberseguridad inteligentes, explicables y resilientes adaptadas para la infraestructura distribuida moderna. Al integrar el Aprendizaje Federado con la IA Explicable, el marco propuesto aborda los desafíos duales de la privacidad de los datos y la transparencia en la toma de decisiones. El estudio sugiere que tales marcos pueden reducir la dependencia de las infraestructuras de seguridad centralizadas, minimizar la exposición de datos sensibles y fomentar la confianza en los sistemas de seguridad automatizados. En última instancia, el trabajo tiene como objetivo apoyar a las organizaciones en el despliegue de soluciones escalables, transparentes y conscientes de la privacidad para proteger los sistemas digitales críticos contra las amenazas cibernéticas en evolución.

Direcciones Futuras
Los autores señalan que el trabajo futuro debería centrarse en optimizar la eficiencia de la comunicación para mejorar la escalabilidad y el rendimiento en tiempo real. También sugieren explorar modelos de IA híbridos, federación habilitada por blockchain y sistemas de inteligencia de amenazas adaptativos para entornos de computación de borde (edge) e IoT.