Forensic-Oriented Intrusion Detection Using Synthetic Network Traffic Data and Explainable Artificial Intelligence

Resumen Técnico: Detección de Intrusiones Orientada a la Forense mediante Datos de Tráfico de Red Sintéticos e Inteligencia Artificial Explicable

Planteamiento del Problema
Las investigaciones forenses digitales de intrusiones en la red enfrentan dos barreras estructurales que impiden la adopción generalizada de los flujos de trabajo de aprendizaje automático (ML): la disponibilidad de datos y la transparencia. Primero, las capturas de red reales suelen contener información sensible e identificable del usuario que no puede utilizarse para el entrenamiento bajo regulaciones de protección de datos (por ejemplo, GDPR) o requisitos de cadena de custodia que prohíben el procesamiento de la evidencia original. Segundo, los modelos de alto rendimiento (por ejemplo, aprendizaje profundo, métodos de ensamble) suelen operar como "cajas negras", careciendo de justificaciones a nivel de instancia requeridas para informes defendibles ante un tribunal. La investigación existente aborda estos problemas de forma independiente, pero ningún marco previo integra la generación de datos sintéticos, la detección de intrusiones y la explicabilidad dentro de un único flujo de trabajo gobernado por estándares forenses establecidos (ISO/IEC 27037, 27041, 27042 y NIST SP 800-86).

Metodología
Los autores proponen un marco orientado a la forense que operacionaliza la separación estricta entre la evidencia digital original y los artefactos analíticos derivados. La metodología sigue un proceso de seis pasos:

1. Manejo de la Evidencia: Los conjuntos de datos originales (CICIDS2017, UNSW-NB15, Kitsune) se tratan como artefactos inmutables de solo lectura con hashes de integridad SHA-256. Todo el procesamiento ocurre en "copias limpias" o derivados sintéticos.
2. Generación de Datos Sintéticos: Un flujo de trabajo parametrizado utilizando el marco Synthetic Data Vault (SDV) con CTGAN (Redes Generativas Antagónicas Condicionales) genera tráfico de red sintético. Este enfoque aborda el desequilibrio de clases sin los artefactos del sobremuestreo post-hoc, permitiendo una experimentación reproducible sin exponer la evidencia original.
3. Clasificación: Se emplea un clasificador binario XGBoost para la detección de intrusiones. Se selecciona XGBoost por su alto rendimiento en datos tabulares y su compatibilidad con SHAP (SHapley Additive exPlanations) TreeExplainer, que proporciona atribuciones de características exactas a nivel de instancia en lugar de aproximaciones.
4. Explicabilidad: El marco integra SHAP para generar tanto resúmenes globales (clasificación de importancia de características) como gráficos de cascada locales (descomposición de predicciones individuales). Esto mapea las predicciones estadísticas con comportamientos observables de la red (por ejemplo, duración del flujo, tasas de paquetes) adecuados para informes forenses.
5. Protocolo de Evaluación: El estudio utiliza un protocolo de Entrenar-con-Sintéticos, Probar-con-Reales (TSTR) para simular escenarios legalmente restringidos donde la evidencia original no puede utilizarse para el entrenamiento. Se comparan tres escenarios: Real-a-Real (R→R), Sintético-a-Real (S→R) y Mixto-a-Real (M→R).
6. Validación: La fidelidad estadística se evalúa mediante la prueba de Kolmogorov–Smirnov (KS) para asegurar la preservación de la privacidad (distinguibilidad de los datos originales) manteniendo al mismo tiempo la utilidad operativa.

Contribuciones Clave

• Flujo de Trabajo de Separación de Evidencia Digital-Artefacto: La primera integración de datos sintéticos, detección basada en ML y explicabilidad dentro de un flujo de trabajo gobernado explícitamente por ISO/IEC 27037, 27041, 27042 y NIST SP 800-86. Esto operacionaliza el requisito de que la evidencia original permanezca inalterada mientras que los artefactos analíticos se derivan de datos sintéticos o copias controladas.
• Validación Empírica TSTR: Demuestra que los modelos entrenados enteramente con datos sintéticos pueden alcanzar un alto rendimiento de detección en tráfico real. En CICIDS2017, el escenario S→R alcanzó un F1-macro de 0.96, dentro de la varianza de validación cruzada de la línea base R→R (0.97).
• Capa de Interpretación Forense: El estudio mapea las atribuciones de SHAP a indicadores forenses específicos para ataques de Fuerza Bruta, Escaneo de Puertos y Denegación de Servicio (DoS). Confirma que el entrenamiento sintético preserva las "huellas de ataque" necesarias para el testimonio de un perito experto.
• Perspectiva Metodológica sobre la Mezcla de Datos: El documento identifica que mezclar datos reales y sintéticos sin un control estricto sobre la distribución de clases (M→R) conduce a una degradación del rendimiento (F1-macro 0.87) debido al sesgo de clase, reforzando la necesidad de un control parametrizado en el aumento de datos.
• Condiciones Límite Operativas: La validación cruzada de conjuntos de datos revela que la efectividad del entrenamiento únicamente con sintéticos depende fuertemente de la dimensionalidad del espacio de características. El enfoque es efectivo con datos de alta dimensionalidad (por ejemplo, CICIDS2017 con 78 características), pero se degrada significativamente con conjuntos de datos de baja dimensionalidad (por ejemplo, Kitsune con 7 características), estableciendo un límite práctico de aproximadamente 30 características numéricas a nivel de flujo para el entrenamiento puramente sintético.

Resultados

• Rendimiento: En CICIDS2017, el modelo S→R alcanzó un F1-macro de 0.96, comparado con 0.97 para R→R y 0.87 para M→R. XGBoost superó a Random Forest (0.95) y SVM (0.92) en el escenario R→R.
• Fidelidad Estadística: Las pruebas KS confirmaron que los datos sintéticos son estadísticamente distinguibles de los originales (media |KS| = 0.38 para CICIDS2017), satisfaciendo los requisitos de preservación de la privacidad mientras se retienen las características distribucionales necesarias para la clasificación binaria.
• Consistencia de la Explicabilidad: Las atribuciones de SHAP para ataques de Fuerza Bruta, Escaneo de Puertos y DoS fueron consistentes entre instancias reales y sintéticas, validando que los datos sintéticos preservan los patrones de comportamiento necesarios para el análisis forense.
• Impacto de la Dimensionalidad: En UNSW-NB15 (45 características), el rendimiento S→R cayó a un F1-macro de 0.52. En Kitsune (7 características), cayó a 0.24. Sin embargo, el escenario M→R recuperó el rendimiento a niveles cercanos a la línea base (0.98 y 0.96, respectivamente) en estos casos de menor dimensionalidad.

Significancia
El artículo sostiene que su principal significancia no radica meramente en la precisión de la detección, sino en la creación de un flujo de trabajo defendible, reproducible y auditable para la forense digital asistida por IA. Al separar estrictamente la evidencia original de los artefactos analíticos y utilizar modelos explicables, el marco aborda la "barrera de la transparencia" que históricamente ha obstaculizado la admisibilidad legal del aprendizaje automático en las investigaciones forenses. El trabajo demuestra que los datos sintéticos pueden servir como un sustituto funcional para el tráfico real en escenarios de entrenamiento donde las restricciones de privacidad o de cadena de custodia prohíben el uso de la evidencia original, siempre que el espacio de características sea suficientemente rico y el proceso de generación esté estrictamente parametrizado. Los autores enfatizan que el marco posiciona los resultados de ML como indicadores analíticos para apoyar el juicio experto en lugar de como evidencia independiente de intención maliciosa, alineándose con los límites epistemológicos de la atribución estadística.