Resumen Técnico: Redes Híbridas de Análisis de Datos Topológicos y LSTM para la Mejora de la Detección de Intrusiones en Redes

1. Planteamiento del Problema

Los Sistemas de Detección de Intrusiones en Red (NIDS) enfrentan desafíos significativos en los entornos de ciberseguridad modernos, incluyendo espacios de características de alta dimensionalidad, dependencias temporales en el tráfico de red, desequilibrio de clases entre operaciones normales y maliciosas, y la necesidad de procesamiento en tiempo real. Los sistemas tradicionales basados en firmas tienen dificultades con los exploits de día cero (zero-day) y los paisajes de amenazas dinámicos. Si bien el aprendizaje profundo, particularmente las redes de Memoria a Largo Corto Plazo (LSTM), ha mostrado potencial en el modelado de datos secuenciales, los clasificadores estáticos a menudo fallan al capturar las estructuras geométricas subyacentes del tráfico de red. Además, los adversarios emplean frecuentemente estrategias de ofuscación y evasión que pueden eludir los enfoques estadísticos estándar. Esta investigación aborda la necesidad de un sistema que pueda capturar simultáneamente tanto las características estructurales (topológicas) como las temporales del tráfico de red para mejorar la detección de anomalías.

2. Metodología

El artículo propone una novedosa arquitectura híbrida que integra el Análisis de Datos Topológicos (TDA) con redes LSTM mediante una red de fusión de Perceptrón Multicapa (MLP). La metodología se estructura de la siguiente manera:

A. Preprocesamiento de Datos

El estudio utiliza el conjunto de datos CIC-IDS2017, que contiene más de 2.8 millones de flujos bidireccionales etiquetados con 77 características (después del preprocesamiento) y 14 categorías de ataque (incluyendo DDoS, Fuerza Bruta, Ataques Web, Infiltración y Botnets). El pipeline de preprocesamiento incluye:

• Limpieza de datos (eliminación de duplicados, valores infinitos y NaN).
• Normalización Min-Max de las características numéricas.
• Submuestreo estratificado para mantener las proporciones de clase mientras se gestionan los costos computacionales para el TDA.
• Construcción de ventanas temporales superpuestas (tamaño de ventana $w=50$, paso $s=25$) para capturar secuencias temporales.

B. Componente de Análisis de Datos Topológicos (TDA)

El módulo TDA extrae características estructurales de las ventanas temporales de los datos de red:

1. Construcción de la Nube de Puntos: Cada ventana temporal es tratada como una nube de puntos en un espacio de alta dimensión.
2. Homología Persistente: Se construye una filtración de Vietoris-Rips utilizando la distancia euclidiana. Esto captura características topológicas (componentes conectados y bucles) que persisten a través de múltiples escalas.
3. Curvas de Betti: Los diagramas de persistencia se convierten en representaciones funcionales conocidas como curvas de Betti ($\beta_0$ y $\beta_1$), que describen patrones de conectividad y de bucles. Estas curvas se discretizan en vectores de características de longitud fija (200 puntos).
4. Extracción de Características: Los vectores resultantes ($z_{TDA}$) representan invariantes topológicos que son robustos al ruido y a la deformación continua.

C. Componente LSTM

El módulo LSTM procesa los datos secuenciales de red para capturar dependencias temporales:

• Arquitectura: Dos capas LSTM apiladas (64 y 32 unidades ocultas) con dropout (0.2) y normalización por lotes (batch normalization).
• Función: El mecanismo de compuerta de las LSTM captura dependencias temporales de largo alcance, resolviendo el problema del desvanecimiento del gradiente común en las RNN estándar.
• Salida: El módulo produce una representación de característica temporal ($z_{LSTM}$).

D. Fusión Híbrida

La innovación central reside en la etapa de Fusión de Características:

• Las características topológicas ($z_{TDA}$) y las características temporales ($z_{LSTM}$) se concatenan.
• Una red de fusión MLP aprendida procesa esta representación combinada.
• La capa de salida final utiliza una activación Softmax para la clasificación binaria (Normal vs. Ataque).

3. Contribuciones Clave

El artículo describe cuatro contribuciones principales:

1. Arquitectura Novedosa: Un marco híbrido TDA+LSTM que integra la extracción de características topológicas con el modelado temporal profundo para la detección de intrusiones en red.
2. Formulación Matemática: Una definición riguroosa de la extracción de curvas de Betti y su fusión con modelos de aprendizaje profundo, utilizando específicamente la homología persistente para generar características resilientes al ruido.
3. Evaluación Exhaustiva: Una evaluación experimental completa en el benchmark CIC-IDS2017, incluyendo estudios de ablación, validación cruzada de 5 pliegues y pruebas de significancia estadística.
4. Análisis de Características: Un examen profundo de cómo las características topológicas (específicamente las curvas de Betti) complementan las representaciones temporales a través de diversas categorías de ataque.

4. Resultados Experimentales

El modelo propuesto fue evaluado frente a líneas base que incluyen Isolation Forest, TDA+Random Forest, SVM tradicional y LSTM independiente.

• Métricas de Desempeño: El modelo híbrido TDA+LSTM logró un AUC de 1.000 y un F1-Score de 1.000 en el conjunto de datos CIC-IDS2017.
• Validación Cruzada: La validación cruzada de 5 pliegues arrojó un AUC medio de $1.000 \pm 0.000$ y un F1-score medio de $0.999 \pm 0.001$.
• Análisis Comparativo:
  • Híbrido TDA+LSTM: F1 = 1.000
  • TDA + Random Forest: F1 = 0.994
  • Isolation Forest: F1 = 0.835
  • LSTM Independiente: F1 = 1.000 (Nota: El artículo señala que el modelo híbrido logra un desempeño competitivo con la LSTM independiente, pero enfatiza el valor añadido de la interpretabilidad topológica).
• Estudio de Ablación:
  • Solo TDA (MLP): F1 = 0.990
  • Solo LSTM: F1 = 1.000
  • Híbrido: F1 = 1.000
  • El estudio demuestra que, si bien la LSTM por sí sola funciona excepcionalmente bien, las características topológicas aportan información complementaria, particularmente en el manejo de desequilibrios de clase y en la provisión de perspectivas geométricas.
• Costo Computacional: El modelo híbrido requiere más tiempo de entrenamiento (1.4 minutos) y memoria (469 MB) en comparación con el SVM tradicional (<0.1 min, 89 MB) o TDA+RF (0.3 min, 145 MB), lo que indica un compromiso entre la sobrecarga computacional y la riqueza de las características.

5. Significación y Reivindicaciones

El artículo afirma que el enfoque híbrido ofrece un nuevo paradigma para la detección de intrusiones en red al combinar el poder de aprendizaje de las redes neuronales profundas con el rigor matemático del análisis de datos topológicos.

• Efectos Sinérgicos: La combinación de TDA y LSTM proporciona un rendimiento robusto, donde las características topológicas ofrecen estabilidad contra el ruido y las perturbaciones que a menudo dificultan los métodos estadísticos.
• Interpretabilidad: A diferencia de los modelos de aprendizaje profundo de "caja negra", el componente TDA proporciona perspectivas geométricas de los patrones de ataque (por ejemplo, conectividad densa en ataques DoS frente a exploración dispersa en PortScans).
• Robustez: El modelo demuestra efectividad a través de diversas categorías de ataque, incluyendo Fuerza Bruta, Botnets y Ataques Web, con una clasificación perfecta en las ventanas probadas.
• Limitaciones: Los autores reconocen modestamente las limitaciones, incluyendo la mayor sobrecarga computacional para instalaciones a gran escala, la sensibilidad a la configuración de parámetros (tamaño de ventana, radio de filtración) y la necesidad de una validación adicional en otros conjuntos de datos modernos (por ejemplo, CICIoT2023, UNSW-NB15) antes de generalizar las afirmaciones.

En conclusión, la investigación valida que la integración de invariantes topológicos con el modelado de secuencias temporales mejora la detección de intrusiones de red complejas, ofreciendo un método que es altamente preciso y estructuralmente interpretable.