nCMD: Benign-Anchored Feature Selection for Imbalanced Network Intrusion Detection

Resumen Técnico: Selección de Características Anclada en el Tráfico Benigno para la Detección de Intrusiones en Redes Desbalanceadas (nCMD)

Planteamiento del Problema

Los Sistemas de Detección de Intrusiones en Redes (NIDS) operan en un régimen fundamentalmente asimétrico caracterizado por un tráfico de alta dimensionalidad donde los flujos benignos predominan abrumadoramente, mientras que los ataques son escasos, diversos y se definen como desviaciones del comportamiento normal. Este desbalance extremo de clases plantea un desafío significativo para el aprendizaje de detección, particularmente en entornos con recursos limitados (por ejemplo, nodos de borde en redes de defensa) donde la detección debe ser rápida, interpretable y robusta.

Los métodos tradicionales de selección de características basados en filtros (por ejemplo, Umbral de Varianza, Información Mutua, Fisher Score) dependen de estadísticas globales computadas simétricamente a través de todas las clases. Los autores argumentan que esta simetría está desalineada con la semántica operativa de los NIDS. Debido a que las estadísticas globales están dominadas por la mayoría benigna, las puntuaciones de relevancia simétricas tienden a suprimir las señales de las clases de ataque minoritarias, subestimando sistemáticamente el ranking de características críticas para detectar amenazas raras pero severas. Aunque trabajos recientes introdujeron la Desviación de la Media por Clase (CMD) para aprovechar las estadísticas de desplazamiento de la media, este aún depende de una media de referencia global, la cual permanece sesgada hacia la clase benigna bajo un fuerte desbalance.

Metodología: Desviación de la Media por Clase Anclada en el Tráfico Benigno (nCMD)

El artículo propone nCMD, un método de filtrado ligero e interpretable que refina el enfoque CMD al anclar explícitamente la relevancia de las características a la distribución del tráfico benigno en lugar de a una media global.

Mecanismo Central:

1. Formulación del Problema: El conjunto de datos $D$ consiste en vectores de características $x_i$ y etiquetas $y_i$, donde $y=0$ representa el tráfico benigno y $y \in \{1, \dots, C\}$ representa distintas clases de ataque.
2. Preprocesamiento: Las características con varianza empírica cercana a cero se filtran para reducir el ruido. Los valores faltantes se imputan y las características se normalizan.
3. Función de Puntuación: En lugar de calcular desviaciones de una media global, nCMD calcula el vector de medias por clase $\mu_c$ para cada clase. La puntuación de relevancia $D_j^{(nCMD)}$ para una característica $j$ es la suma de las desviaciones absolutas de todas las medias de las clases de ataque respecto a la media de la clase benigna ($\mu_0$):
   $$D_j^{(nCMD)} = \sum_{c=1}^{C} |\mu_{c,j} - \mu_{0,j}|$$
4. Selección: Las características se clasifican en orden descendente de sus puntuaciones. Se seleccionan las $k$ mejores características para la clasificación posterior.

Propiedades Clave:

• Asimetría: El método se alinea con el objetivo operativo de los NIDS: identificar desviaciones del comportamiento normal.
  el método mantiene la complejidad de tiempo lineal $O(Nd)$ del CMD original, requiriendo solo estadísticas resumidas por clase.
• Interpretabilidad: Las puntuaciones representan la magnitud del desplazamiento de la media relativo al tráfico benigno, lo que las hace semánticamente significativas.
• Modularidad: Como filtro univariante, es agnóstico al modelo y puede integrarse en cualquier flujo de trabajo de NIDS sin entrenamiento iterativo.

Contribuciones Clave

1. Propuesta de nCMD: Un nuevo método de selección de características que reemplaza la media de referencia global con un ancla de la clase benigna, alineando la puntuación de características con la naturaleza asimétrica de la detección de intrusiones sin costo computacional adicional.
2. Evaluación Exhaustiva: El método fue evaluado en cuatro conjuntos de datos de referencia (CICIDS2017, CICDDoS2019, NSL-KDD, UNSW-NB15), múltiples presupuestos de características (que van desde un estricto $k=5$ hasta $k=40$) y tres clasificadores posteriores (Árbol de Decisión, MLP de 1 capa, MLP de 3 capas).
3. Reproducibilidad: Los autores han liberado el código de implementación para facilitar la investigación futura.

Resultados Experimentales

La evaluación se centró en la F1-media (Macro-averaged F1-score), la cual es sensible al rendimiento de las clases minoritarias, junto con la Exactitud (Accuracy) y la F1-ponderada (Weighted-F1).

• Rendimiento bajo Presupuestos Estrictos ($k=5$): En el dataset altamente desbalanceado CICIDS2017, nCMD logró la F1-media más alta (0.4611), superando al mejor baseline clásico (Pearson Correlation con 0.3974) y al CMD original (0.4563). En CICDDoS2019, nCMD alcanzó la mejor puntuación en todas las métricas (F1-media: 0.7278), superando por poco a CMD y Fisher Score.
• Robustez a través de Presupuestos: En CICIDS2017, nCMD obtuvo la mejor F1-media en cuatro de los cinco presupuestos probados ($k=5, 10, 30, 40$). Los filtros clásicos mostraron una inestabilidad significativa a medida que el presupuesto de características disminuía, mientras que nCMD mantuvo un rendimiento estable.
• Generalización entre Datasets: Utilizando las 40 mejores características, nCMD alcanzó la mejor F1-media en tres de los cuatro datasets (CICIDS2017, NSL-KDD, UNSW-NB15). La mejora más significativa respecto a CMD se observó en el dataset legado NSL-KDD (+0.0305).
• Independencia del Clasificador: nCMD superó consistentemente a todos los baselines, incluyendo CMD, en los tres clasificadores posteriores. La ventaja fue más pronunciada para el modelo de menor capacidad (MLP de 1 capa), lo que sugiere que el ranking anclado en el tráfico benigno es particularmente valioso cuando el modelo posterior no puede compensar una mala selección de características.

Significación y Reivindicaciones

El artículo afirma que nCMD proporciona un componente de preprocesamiento escalable, interpretable y eficiente específicamente adecuado para NIDS con recursos limitados. Su principal significación radica en abordar la desalineación semántica de la selección de características simétrica tradicional en entornos desbalanceados.

• Relevancia Operativa: El método es más ventajoso en escenarios con un desbalance de clases severo y tipos de ataque diversos (por ejemplo, NSL-KDD, UNSW-NB15) y bajo presupuestos de características estrictos típicos del despliegue en el borde (edge).
• Relación Costo-Beneficio: Logra mejoras de rendimiento sin aumentar la complejidad computacional o la complejidad del modelo, lo que lo hace apto para el despliegue en tiempo real.
• Limitaciones: Los autores reconocen que nCMD es un método univariante basado en la media y puede omitir ataques definidos por estadísticas de orden superior (varianza, dependencias temporales). También asume una clase benigna bien definida, lo que limita su aplicación directa a escenarios no supervisados o de mundo abierto donde las etiquetas benignas no están disponibles.

En conclusión, el artículo postula que una modificación simple y semánticamente fundamentada al criterio de relevancia de características —anclándolo al tráfico benigno— puede mejorar significativamente el rendimiento de la detección de intrusiones bajo desbalance de clases, manteniendo la eficiencia requerida para un despliegue práctico a gran escala.