Hybrid CNN-LSTM Framework for Intelligent Cyber Attack Detection and Prevention in U.S. Critical Digital Infrastructure: A Comparative Machine Learning Evaluation on CSE-CIC-IDS2018

Resumen Técnico: Marco Híbrido CNN-LSTM para la Detección Inteligente de Ciberataques

Planteamiento del Problema
La acelerada digitalización de la infraestructura crítica de los Estados Unidos (salud, finanzas, energía, transporte y gobierno) ha creado una superficie de ataque que los Sistemas de Detección de Intrusiones (IDS) tradicionales, basados en firmas, no están equipados para defender. Los enfoques heredados fallan contra exploits de día cero, campañas de denegación de servicio distribuido (DDoS), botnets y ataques de infiltración sigilosos porque dependen del reconocimiento de amenazas previamente vistas. Además, las soluciones de IA existentes suelen tener dificultades con altas tasas de falsos positivos, sobrecarga computacional en entornos de tiempo real y una falta de adaptabilidad ante paisajes de amenazas en evolución. El estudio aborda la necesidad de un marco de defensa inteligente y adaptativo capaz de detectar y clasificar ciberamenazas en tiempo real con alta sensibilidad y bajas tasas de falsas alarmas.

Metodología
El estudio emplea un diseño experimental cuantitativo utilizando el conjunto de datos de referencia CSE-CIC-IDS2018, un corpus de tráfico de red multivectorial realista generado por el Instituto Canadiense de Ciberseguridad. La metodología avanza a través de ocho etapas interconectadas:

1. Preprocesamiento de Datos: El conjunto de datos bruto, caracterizado por un desequilibrio de clases severo (el tráfico benigno supera ampliamente a los ataques) y problemas de calidad de datos (valores faltantes/infinitos), se sometió a una limpieza sistemática. Esto incluyó la eliminación de valores NaN/infinitos, la eliminación de registros duplicados y la aplicación de normalización Min-Max. Para abordar el desequilibrio de clases, se aplicó una combinación de sobremuestreo aleatorio para las clases de ataque minoritarias y submuestreo para la clase benigna dominante, aplicado exclusivamente al conjunto de entrenamiento, mientras que el conjunto de prueba mantuvo la distribución original para reflejar las condiciones del mundo real.
2. Ingeniería de Características: Se utilizó un enfoque de tres fases: análisis de correlación de Pearson para eliminar características redundantes (correlación > 0.95), clasificación de importancia de características basada en Random Forest para excluir atributos de baja señal, y una prueba de Análisis de Componentes Principales (PCA), que finalmente fue descartado ya que ofrecía ganancias marginales a costa de la interpretabilidad. El conjunto final de características incluyó Duración del Flujo, estadísticas de Longitud de Paquete, conteos de Paquetes hacia adelante/atrás, Puerto de Destino, Tipo de Protocolo y tiempos de inter llegada.
3. Desarrollo de Modelos: Se compararon sistemáticamente cinco arquitecturas:
   • Random Forest y XGBoost: Clasificadores de ensamble clásicos que sirven como bases estándar de la industria.
   • Máquina de Vectores de Soporte (SVM): Un clasificador basado en núcleos (entrenado en una submuestra estratificada del 30% debido a restricciones computacionales).
   • Red Neuronal Convolucional (CNN): Diseñada para extraer interacciones de características espaciales a partir de matrices de tráfico 2D remodeladas.
   • Long Short-Term Memory (LSTM): Diseñada para capturar secuencias temporales de flujos de red.
   • Híbrido CNN-LSTM: Una arquitectura de doble vía donde las capas CNN realizan la extracción de características espaciales, alimentando a las capas LSTM para el modelado de secuencias temporales.
4. Arquitectura del Marco: Los modelos se integraron en un flujo de defensa cibernética de extremo a extremo que comprende módulos para la recolección de tráfico, preprocesamiento, extracción de características, detección de amenazas basada en IA, clasificación de ataques y prevención automatizada de amenazas.
5. Evaluación: Los modelos fueron entrenados con una división estratificada de 80/20. El rendimiento se evaluó mediante Exactitud, Precisión, Recall, F1-Score, ROC-AUC y Tasa de Falsos Positivos (FPR).

Resultos Clave
Todos los modelos evaluados lograron una exactitud de detección superior al 96%, pero el modelo Híbrido CNN-LSTM demostró un rendimiento superior en todas las métricas:

• Exactitud: El modelo Híbrido alcanzó un 99.1%, superando a Random Forest (96.8%), XGBoost (97.5%), CNN (98.1%) y LSTM (98.4%).
• Precisión y Recall: El modelo Híbrido alcanzó aproximadamente un 99.0% de precisión y un 98.8% de recall, lo que indica una mejora genuina en la capacidad discriminativa en lugar de un compromiso entre ambos.
• Tasa de Falsos Positivos (FPR): El modelo Híbrido logró el FPR más bajo con un ~2.0%, una reducción significativa comparado con Random Forest (5.5%) y XGBoost (4.8%). Esta reducción es operativamente crítica para mitigar la fatiga de alertas de los analistas en entornos de alto volumen.
• Importancia de las Características: El análisis reveló que la Duración del Flujo (0.28 de importancia), la Longitud del Paquete (0.24) y el Puerto de Destino (~0.18) fueron las características más predictivas, representando colectivamente aproximadamente el 70% de la señal de clasificación.
• ROC-AUC: El marco logró un AUC de 1.00 en el conjunto de prueba, lo que indica una separación de clases casi perfecta bajo las condiciones experimentales.

Significancia y Reivindicaciones
El artículo sostiene que el marco Híbrido CNN-LSTM ofrece una mejora significativa y desplegable sobre los enfoques de IDS convencionales. La significancia del trabajo radica en su demostración de que la integración de la extracción de características espaciales (CNN) con el aprendizaje de secuencias temporales (LSTM) permite la captura simultánea de las firmas de características dentro del flujo y las secuencias de comportamiento entre flujos, algo que los modelos de arquitectura única omiten.

Los autores enfatizan que la capacidad del marco para mantener una alta sensibilidad de detección mientras reduce drásticamente los falsos positivos aborda un cuello de botella operativo primario en la ciberseguridad: la fatiga de alertas. Al lograr un ~99% de exactitud y un ~2% de FPR, el estudio sugiere que el aprendizaje profundo híbrido puede proporcionar una ciberseguridad escalable y de baja falsa alarma adecuada para proteger la infraestructura crítica de EE. UU.

Limitaciones y Alcance
El artículo mantiene una postura modesta respecto al despliegue operativo. Reconoce explícitamente que:

• Los resultados se basan en el conjunto de datos CSE-CIC-IDS2018, el cual no refleja amenazas post-2020 como el ransomware-as-a-service, el phishing generado por IA o las intrusiones en la cadena de suministro.
• La evaluación se realizó sobre tráfico reproducido en lugar de flujos de red en vivo, lo que significa que no se midió la latencia de inferencia en tiempo real bajo cargas de producción.
• El modelo SVM fue entrenado en una submuestra, lo que podría estar subestimando su rendimiento en relación con otros modelos.
• La explicabilidad no fue abordada; los modelos de aprendizaje profundo funcionan como "cajas negras", lo que sigue siendo una barrera para la adopción en industrias reguladas.
• El estudio concluye que, si bien el marco muestra una fuerte promesa empírica, es necesaria la validación contra datos de ataques contemporáneos y flujos de red en vivo antes de que se puedan extraer conclusiones operativas.