🤖 machine learning

Synthetic Network Packet Generation through Statistical Learning and Genetic Algorithms

Este artículo propone y evalúa dos métodos de imposición de restricciones —un enfoque de aprendizaje estadístico de alto rendimiento y un algoritmo genético de alta calidad— para generar paquetes de red de IoT sintéticos realistas y físicamente válidos para abordar la escasez de datos y el desequilibrio de clases en los sistemas de detección de intrusiones.

Autores originales: Mayank Raj, Nathaniel D. Bastian, Lance Fiondella, Gokhan Kul

Publicado 2026-06-23

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Mayank Raj, Nathaniel D. Bastian, Lance Fiondella, Gokhan Kul

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás tratando de enseñarle a un guardia de seguridad (un Sistema de Detección de Intrusos) a reconocer a un ladrón en un hogar inteligente lleno de dispositivos IoT. Para hacerlo bien, el guardia necesita practicar con una enorme biblioteca de "videos de entrenamiento" que muestran tanto actividad normal (como cuando se enciende una luz) como actividad maliciosa (como un hacker intentando entrar).

El problema es que los datos del mundo real son desordenados. A veces hay millones de videos de luces encendiéndose, pero solo cinco videos de un tipo específico de ataque hacker. Es como intentar aprender a reconocer un ave rara cuando solo has visto cinco fotos de ella. Además, los conjuntos de datos públicos existentes suelen ser "rígidos": tienen un número fijo de ejemplos que no cambia y están muy desequilibrados.

Este artículo propone una solución: Usemos computadoras para inventar (generar) nuevos videos de entrenamiento realistas. Pero hay un detalle: si la computadora simplemente inventa cosas al azar, podría crear escenarios imposibles (como un paquete con bytes negativos o una bandera que no existe en la realidad).

Los autores construyeron dos "fábricas" diferentes para crear estos paquetes de red falsos pero realistas, y se aseguraron de que ambas fábricas tuvieran estrictos inspectores de control de calidad.

Las Dos Fábricas

1. La Fábrica Estadística (El método "Rápido y Furioso")
Piensa en esto como una línea de ensamblaje de alta velocidad.

Cómo funciona: Observa los datos reales, aprende la "forma" del tráfico usando un mapa matemático (PCA) y luego dispara nuevos paquetes que encajen con esa forma.
La Red de Seguridad: Antes de que cualquier paquete salga de la fábrica, debe pasar por dos puertas de seguridad simultáneamente. Una puerta es una "SVM de una clase" (One-Class SVM) y la otra es un "Bosque de Aislamiento" (Isolation Forest). Si el paquete parece incluso ligeramente sospechoso para cualquiera de las dos puertas, es desechado inmediatamente y se fabrica uno nuevo.
El Resultado: Este método es increíblemente rápido. Puede escupir más de 1,000 paquetes por segundo. Es ideal para llenar rápidamente una biblioteca de entrenamiento cuando se necesita volumen y consistencia.

2. La Fábrica de Algoritmos Genéticos (El método "Evolutivo")
Piensa en esto como un programa de cría lento y cuidadoso.

Cómo funciona: Comienza con un pequeño grupo de paquetes "padre". Los mezcla (cruce), realiza pequeños cambios aleatorios (mutación) y conserva a los más "aptos", aquellos que se parecen más al tráfico real y son menos anómalos. Repite este proceso durante muchas "generaciones", evolucionando lentamente hacia mejores y mejores paquetes falsos.
La Red de Seguridad: Al igual que la primera fábrica, cada nuevo paquete debe pasar por las mismas dos puertas de seguridad antes de que se le permita quedarse.
El Resultado:** Este método es mucho más lento, tardando unos 35 minutos en hacer lo que la primera fábrica hace en 11 segundos. Sin embargo, debido a que "evoluciona" los datos, los paquetes finales tienen más variedad y diversidad natural. Es como tener a un artista más creativo que tarda más tiempo pero produce variaciones más únicas.

La Gran Prueba: El Desafío de los "Cinco Ejemplos"

Los investigadores probaron estas fábricas con un conjunto de datos llamado ACI IoT 2023, el cual tiene un desequilibrio masivo. Una categoría, "ARP Spoofing" (un tipo específico de ataque de red), tenía solo 5 ejemplos reales de entre más de 1.2 millones de paquetes.

El Objetivo: ¿Podrían estas fábricas tomar esos diminutos 5 ejemplos y convertirlos en 1,000 ejemplos falsos de alta calidad y realistas?
El Resultado: Sí. Ambas fábricas tuvieron éxito. Amplificaron los 5 ejemplos 200 veces.
- La Fábrica Estadística lo hizo con una consistencia casi perfecta (el 0% de los paquetes falsos fueron marcados como "extraños" por evaluadores independientes).
- La Fábrica Genética lo hizo con un poco más de variedad (algunos paquetes fueron marcados con más frecuencia, pero aún dentro de la zona "segura").

El Veredicto: ¿Cuál Deberías Usar?

El artículo concluye que ningún método es estrictamente "mejor"; sirven propósitos diferentes, de la misma manera que elegir entre una fotocopiadora y un pintor.

Elige la Fábrica Estadística (La Fotocopiadora) si necesitas generar un enorme conjunto de datos rápidamente para entrenar un sistema durante la noche. Es rápida (190 veces más rápida que el otro método) y consistente.
Elige la Fábrica Genética (El Pintor) si eres un "Red Team" (hackers éticos) que intenta probar qué tan robusto es un sistema de seguridad. Debido a que este método crea tráfico falso más diverso y variado, es mejor para realizar pruebas de estrés contra ataques complicados e impredecibles.

Lo Que No Hicieron (Limitaciones Importantes)

Los autores son cuidadosos al señalar lo que sus "fábricas" aún no hacen:

Generan paquetes individuales, no "películas" completas de una conversación. El tráfico de red real tiene una secuencia (un saludo, luego datos, luego un cierre), y estos métodos actualmente no modelan ese flujo basado en el tiempo.
Aseguran que los números estén dentro de rangos realistas (por ejemplo, no obtendrás un conteo de paquetes negativo), pero no garantizan que los paquetes sigan perfectamente la "gramática" específica de protocolos complejos como MQTT o Zigbee.

En resumen, este artículo demuestra que se pueden usar reglas matemáticas estrictas y algoritmos evolutivos para crear datos falsos seguros y realistas para ayudar a entrenar sistemas de seguridad, incluso cuando se parte de casi ningún ejemplo real de un ataque específico.

Resumen Técnico: Generación de Paquetes de Red Sintéticos mediante Aprendizaje Estadístico y Algoritmos Genéticos

Planteamiento del Problema

El desarrollo de Sistemas de Detección de Intrusiones (IDS) robustos para entornos de Internet de las Cosas (IoT) requiere conjuntos de datos etiquetados de gran tamaño que capturen distribuciones de tráfico realistas tanto para actividades benignas como maliciosas. Sin embargo, los conjuntos de datos públicos existentes sufren de distribuciones de actividad fijas y un desequilibrio extremo de clases (por ejemplo, el conjunto de datos ACI IoT 2023 contiene un desequilibrio de 175.805:1 entre el tráfico benigno y los ataques de ARP Spoofing). Además, los modelos generativos profundos como las GAN y las VAE suelen experimentar colapso de modo (mode collapse) y carecen de mecanismos para asegurar que los paquetes sintéticos permanezcan dentro de rangos de características físicamente válidos. Las técnicas de perturbación adversarial de manera similar fallan al no respetar las restricciones estructurales del tráfico de red legítimo. El desafío central es crear procesos de generación que incorporen restricciones de validez estrictas —imposición explícita de límites y compuertas de modelos de anomalías— directamente en el proceso de síntesis, en lugar de depender únicamente del aprendizaje de la distribución implícita.

Metodología

El artículo propone y compara dos enfoques de imposición de restricciones para generar paquetes de red IoT sintéticos, ambos operando sobre el conjunto de datos ACI IoT 2023 (1.231.411 paquetes, 75 características, 12 categorías de ataque). Ambos métodos comparten una característica arquitectónica crítica: una compuerta de detección de anomalías dual que requiere la aceptación concurrente por parte de modelos de SVM de una clase (OCSVM) e Isolation Forest (IF) entrenados de forma independiente antes de que un paquete sea admitido.

1. Método de Aprendizaje Estadístico

Este enfoque trata la generación como un problema de muestreo dentro de un espacio latente:

Muestreo Híbrido: Los paquetes sintéticos se generan mediante un muestreo de dos fuentes: (i) muestreo del espacio latente basado en PCA para preservar las correlaciones entre características, y (ii) muestreo Gaussiano directo alrededor de los centroides de clase para introducir variabilidad.
Regularización Adaptativa: El parámetro de regularización ( $\nu$ ) de OCSVM y la contaminación de IF se ajustan dinámicamente según el tamaño de la clase ( $n$ ) utilizando $\nu_c = \min(0.1, 1/(n+1))$ para evitar el sobreajuste en clases dispersas.
Imposición de Restricciones: Los candidatos generados se someten a un recorte elemento a elemento hacia los límites de las características observadas ( $[l_c, u_c]$ ) y están sujetos a una compuerta binaria de aceptación/rechazo. Un paquete se acepta solo si tanto el OCSVM como el IF lo clasifican como normal. Los paquetes rechazados se descartan y se regeneran.

2. Método de Algoritmo Genético (GA)

Este enfoque trata la generación de paquetes como un problema de optimización multiobjetivo:

Función de Aptitud (Fitness): La aptitud de un paquete candidato equilibra la aceptación del modelo de anomalía (80% de peso) con la fidelidad de la distribución (20% de peso, medida por la distancia al centroide de la clase).
Inicialización de la Población: La población inicial se construye a partir de tres fuentes para equilibrar la explotación y la exploración: muestras de entrenamiento reales (perturbadas), muestras Gaussianas y muestras uniformes a través de los límites de las características.
Proceso Evolutivo: El algoritmo emplea selección por torneo, múltiples operadores de cruce (uniforme, de punto único, de mezcla) y estrategias de mutación. Incluye un mecanismo de reinicio por estancamiento para escapar de los óptimos locales.
Imposición de Restricciones: Al igual que el método estadístico, todos los descendientes se recortan a los límites de las características, y la función de aptitud penaliza fuertemente a los paquetes que fallan los criterios de aceptación dual de OCSVM/IF.

3. Marco de Validación Independiente

Para asegurar una evaluación de calidad objetiva, los autores emplean una separación estricta entre la generación y la validación. Los modelos de validación (OCSVM e IF) se entrenan exclusivamente con los datos originales de ACI IoT 2023, sin parámetros compartidos con los modelos de generación. Un conjunto sintético alcanza el estado de "APROBADO" (PASS) si la tasa de anomalía ( $A_f$ ) a través de estos validadores independientes es inferior a un umbral de $\tau = 0.30$ .

Contribuciones Clave

Comparación Sistemática: Una comparación directa del aprendizaje estadístico y los algoritmos genéticos para la generación de paquetes IoT sintéticos con imposición de restricciones, evaluada contra cuatro criterios de aceptación explícitos.
Arquitectura de Compuerta Dual: La introducción de un mecanismo de compuerta de detección de anomalías dual (OCSVM + IF) embebido directamente en el flujo de síntesis, asegurando que se cumplan las restricciones de validez estrictas antes de la salida.
Manejo de Desequilibrio Extremo: Evidencia empírica que demuestra que ambos métodos pueden amplificar con éxito categorías de ataque extremadamente escasas (hasta $n=5$ muestras, específicamente ARP Spoofing) a 200× o 1.000 paquetes validados sin degradarse por debajo del umbral de anomalía.
Análisis de Compromiso Computacional: Un análisis cuantitativo que revela una relación de rendimiento (throughput) de aproximadamente 190:1 entre los dos métodos, proporcionando criterios de selección basados en evidencia para diferentes contextos de despliegue.

Resultados Experimentales

Evaluados en el conjunto de datos completo ACI IoT 2023, ambos métodos lograron el estado de APROBADO (PASS) en las 12 categorías de ataque bajo el marco de validación independiente ( $\tau = 0.30$ ).

Desempeño del Aprendizaje Estadístico:
- Tasa de Anomalía: Logró una tasa de anomalía promedio del 1.20% a través de cuatro niveles de validación (0.00% en niveles específicos de clase, 13.20% en el IF global para la clase Benign debido a la alta varianza intra-clase).
- Rendimiento (Throughput): ~1.091 paquetes/segundo.
- Características: Tasas de anomalía casi uniformes con baja varianza por clase, lo que indica alta consistencia pero limitada variabilidad intra-clase.
Desempeño del Algoritmo Genético:
- Tasa de Anomalía: Logró una tasa de anomalía promedio del 0.62% a través de dos niveles específicos de clase.
- Rendimiento (Throughput): ~5.7 paquetes/segundo.
- Características: Varianza orgánica por clase (0.00%–2.50%), lo que indica una exploración más amplia del espacio de características válido.
Caso de Desequilibrio Extremo (ARP Spoofing, $n=5$ ):
- Ambos métodos generaron con éxito 1.000 paquetes validados.
- Método estadístico: 0.00% de tasa de anomalía.
- Método GA: 2.50% de tasa de anomalía (OCSVM), 0.00% (IF).
- Se observa que el sobremuestreo estándar (SMOTE) falla en este régimen debido a estructuras de vecindad degeneradas en espacios de alta dimensión.

Significado y Reivindicaciones

El artículo afirma que la inserción de restricciones de validez estrictas directamente en el flujo de generación produce con éxito paquetes IoT sintéticos que son consistentemente aceptados como "normales para la clase" por validadores independientes, abordando las limitaciones de los modelos generativos profundos existentes.

Los autores postulan que la elección entre métodos depende del contexto de despliegue:

El Aprendizaje Estadístico es adecuado para la ampliación rápida de conjuntos de datos donde la eficiencia y la consistencia son prioridades (por ejemplo, expandir conjuntos de entrenamiento para el entrenamiento nocturno de IDS).
Los Algoritmos Genéticos son adecuados para escenarios donde la diversidad es la prioridad, como pruebas de robustez adversarial, generación de tráfico para equipos rojos (red team) o pruebas de estrés de IDS con representaciones de tráfico variadas dentro de los límites válidos.

El trabajo destaca que, si bien ambos métodos superan la "brecha de generación" para clases escasas, difieren fundamentalmente en su costo computacional y en la naturaleza de la diversidad sintética que producen. El artículo concluye señalando limitaciones, específicamente la falta de modelado de flujo secuencial y de validación semántica específica de protocolos, sugiriendo estas como áreas para la investigación futura.