Enhancing Intrusion Detection System Resilience Against Adversarial Evasion Attacks Using Adversarial Training

Resumen Técnico: Mejora de la Resiliencia de los Sistemas de Detección de Intrusiones contra Ataques de Evasión Adversarios mediante Entrenamiento Adversario

Planteamiento del Problema
Los Sistemas de Detección de Intrusiones (IDS) son fundamentales para la infraestructura de ciberseguridad, sin embargo, enfrentan una vulnerabilidad crítica: los ataques de evasión adversarios. Los IDS basados en aprendizaje automático, aunque efectivos con datos limpios, pueden ser eludidos sistemáticamente por atacantes que introducen perturbaciones mínimas y cuidadosamente diseñadas en las características del tráfico de red. Estas perturbaciones causan una clasificación errónea mientras preservan la intención maliciosa del ataque. El Método de la Signo del Gradiente Rápido (FGSM) se identifica como una técnica altamente eficiente para generar tales ejemplos adversarios, exponiendo la fragilidad de los modelos de IDS tradicionales cuando se someten incluso a perturbaciones de baja intensidad.

Metodología
Los autores proponen una arquitectura de IDS híbrida y una estrategia de entrenamiento robusta para contrarrestar estas amenazas:

• Conjunto de Datos: El estudio utiliza el conjunto de datos UNSW-NB15, que comprende 175,341 muestras de entrenamiento y 82,332 muestras de prueba a través de 45 características de tráfico de red (reducidas a 43 tras el preprocesamiento). Los datos cubren nueve categorías de ataque y tráfico normal.
• Arquitectura Base: Un modelo de Perceptrón Multicapa (MLP), denominado "BetterIDS", sirve como la línea base principal. Presenta una arquitectura de tres capas ($R^{43} \to R^{128} \to R^{64} \to R^2$) con BatchNorm, activaciones ReLU y Dropout. También se entrena un modelo LightGBM para establecer un punto de referencia de rendimiento con datos limpios, aunque este no puede ser atacado directamente mediante FGSM debido a su naturaleza no diferenciable.
• Estrategia de Entrenamiento Adversario: La contribución central es el modelo "RobustIDS", un MLP más ancho ($R^{43} \to R^{256} \to R^{128} \to R^2$) entrenado utilizando entrenamiento adversario en línea (online).
  • Generación de FGSM: Los ejemplos adversarios se generan sobre la marcha durante el entrenamiento utilizando el algoritmo FGSM: $x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x L(\theta, x, y))$.
  • Perturbación Aleatoria: En lugar de entrenar con una fuerza de perturbación fija, el modelo muestrea $\epsilon$ de una distribución uniforme $U(0.05, 0.2)$ para cada mini-lote (mini-batch).
  • Función de Pérdida: El objetivo de entrenamiento combina la pérdida de las muestras limpias y las muestras adversarias con una relación de mezcla ($\alpha = 0.5$): $L_{robust} = \alpha L(f_\theta(x), y) + (1-\alpha)L(f_\theta(x_{adv}), y)$.
• Evaluación: El sistema se evalúa en datos limpios, bajo variaciones de la intensidad de ataque FGSM ($\epsilon \in \{0.0, 0.1, 0.3\}$) y en un entorno de simulación en tiempo real que involucra 100 paquetes (70 normales, 30 adversarios).

Resultados Clave
El estudio demuestra un compromiso significativo entre la precisión de los datos limpios y la robustez adversaria, con el modelo robusto mostrando una resiliencia superior:

• Rendimiento con Datos Limpios: El MLP base logra un 87.66% de precisión. El modelo robusto logra un 81.00% de precisión en datos limpios, lo que representa una reducción del 6.66% atribuida al costo teórico del entrenamiento adversario.
• Robustez Adversaria:
  • Línea Base: Bajo un ataque fuerte ($\epsilon = 0.3$), la precisión de la línea base colapsa al 41.20%, una degradación de 46.46 puntos porcentuales.
  • Modelo Robusto: El modelo robusto mantiene un 77.80% de precisión bajo la misma condición de $\epsilon = 0.3$, una degradación de solo 3.20 puntos porcentuales. Notablemente, esta robustez se generaliza a $\epsilon = 0.3$ a pesar de que el modelo fue entrenado con $\epsilon \in [0.05, 0.2]$.
• Simulación en Tiempo Real: En una prueba de estrés de 100 paquetes con $\epsilon = 0.3$ aplicado a los paquetes de ataque:
  • La línea base detectó solo el 4.5% de los paquetes adversarios.
  • El modelo robusto detectó el 90.9% de los paquetes adversarios.
  • Esta mejora vino acompañada de un aumento manejable en la Tasa de Falsas Alarmas (del 8.6% al 12.9%).
• Latencia y Eficiencia: El modelo robusto introduce una latencia insignificante de 0.07 ms (un aumento del 8.5%), manteniendo un rendimiento de ~1,124 predicciones por segundo en hardware de CPU, lo cual es suficiente para despliegues en redes empresariales.

Significancia y Reivindicaciones
El artículo afirma que el entrenamiento adversario FGSM en línea con $\epsilon$ aleatorio es una estrategia de defensa práctica y efectiva que mejora significativamente la resiliencia de los IDS. Los autores argumentan que la modesta reducción en la precisión de los datos limpios es un intercambio justificado por la mejora dramática en las tasas de detección contra ataques de evasión.

Las contribuciones clave destacadas por los autores incluyen:

1. El desarrollo de una arquitectura de IDS híbrida optimizada para el benchmark UNSW-NB15.
2. La implementación de un flujo de trabajo de entrenamiento adversario en línea que generaliza la robustez más allá de la distribución específica de las fuerzas de perturbación de entrenamiento.
3. La validación empírica mediante una simulación en tiempo real que muestra que el modelo robusto puede detectar la gran mayoría de los paquetes adversarios donde los modelos base fallan por completo.
4. Un análisis que confirma que la sobrecarga computacional de esta defensa es insignificante para entornos de producción.

Los autores reconocen las limitaciones, señalando que FGSM es un ataque de caja blanca (white-box) y que el conjunto de datos es de 2015. Sugieren que el trabajo futuro debería abordar ataques de caja negra (black-box), distribuciones de tráfico más nuevas (IoT, 5G) y restricciones de características del mundo real. Sin embargo, dentro del alcance de este estudio, el trabajo establece que el entrenamiento adversario cierra eficazmente la brecha de seguridad entre los modelos de IDS vulnerables y los endurecidos.