X-WAF: A Hybrid Machine Learning Framework with SHAP-Driven Explainability and Automated Rule Synthesis for Real-Time Web Application Protection

Resumen Técnico de X-WAF: Un Marco de Aprendizaje Automático Híbrido con Explicabilidad Basada en SHAP y Síntesis Automatizada de Reglas

Planteamiento del Problema
Los Web Application Firewalls (WAF) convencionales, como aquellos que utilizan el OWASP Core Rule Set (CRS), dependen de la detección basada en firmas. Si bien son efectivos contra vectores de ataque conocidos, estos sistemas tienen dificultades para generalizar frente a exploits de día cero (zero-day), cargas útiles adversarias y amenazas evolutivas basadas en APIs. Los atacantes emplean frecuentemente codificación, fragmentación y polimorfismo para evadir las reglas estáticas. Además, la configuración y actualización manual de los conjuntos de reglas es reactiva, consume muchos recursos y a menudo resulta en un equilibrio subóptimo entre las tasas de detección y las falsas alarmas. Si bien el Aprendizaje Automático (ML) ofrece un camino para generalizar más allá de las firmas explícitas, su despliegue en la infraestructura de seguridad en tiempo real enfrenta dos obstáculos críticos: la naturaleza de "caja negra" de los modelos de ensamble, que erosiona la confianza del analista y dificulta el análisis forense, y la latencia computacional introducida al ejecutar la inferencia en cada solicitud.

Metodología
El artículo presenta X-WAF, un marco híbrido diseñado para cerrar la brecha entre la detección de anomalías estadística y la infraestructura de seguridad operativa. El sistema opera como un pipeline modular que consta de cuatro componentes primarios:

1. Preprocesamiento de Tráfico y Extracción de Características: X-WAF intercepta las solicitudes HTTP y extrae un vector de características de 78 dimensiones. Esto incluye metadatos de la solicitud (método, longitud de la ruta), estadísticas de encabezado (entropía, tamaño), características de la carga útil (frecuencias de n-gramas, presencia de palabras clave SQL o etiquetas de script), características estructurales (profundidad de anidamiento JSON) y características temporales (tasas de solicitud). Las características se normalizan utilizando escaladores robustos (robust scalers).
2. Modelo de Ensamble Híbrido: El motor de detección central utiliza un ensamble heterogéneo de cuatro clasificadores combinados mediante un esquema de votación ponderada. Los pesos se aprenden basándose en la precisión de cada modelo en un conjunto de validación.
   • Random Forest (200 árboles): Un clasificador supervisado para el emparejamiento de patrones discriminativos.
   • Support Vector Machine (SVM) con kernel RBF: Un segundo modelo supervisado para manejar relaciones no lineales de alta dimensión.
   • Isolation Forest: Un modelo no supervisado para aislar observaciones y detectar anomalías.
   • Local Outlier Factor (LOF): Un modelo no supervisado para capturar variaciones de densidad localizadas.
   • Una solicitud se clasifica como maliciosa si el puntaje ponderado supera un umbral de $\tau = 0.65$.
3. Módulo de Explicabilidad SHAP: Para abordar la opacidad del modelo, X-WAF integra SHAP (SHapley Additive exPlanations). Para cada solicitud marcada como maliciosa, el sistema calcula las atribuciones de características para determinar la contribución de cada característica a la decisión. Se reportan las 5 características principales con los valores absolutos de SHAP más grandes, proporcionando una visión granular (por ejemplo, alta entropía en la cadena de consulta o presencia de palabras clave SQL específicas) a los analistas de seguridad.
4. Síntesis Automatizada de Reglas: Una innovación clave es la traducción de los límites de decisión derivados de SHAP en reglas compatibles con ModSecurity. Este módulo opera de forma offline o periódica (por ejemplo, cada hora). Analiza las características que aparecen frecuentemente en las explicaciones SHAP principales, identifica los rangos de valores asociados con clasificaciones maliciosas y genera conjunciones lógicas en sintaxis de ModSecurity. Solo las reglas con un puntaje de confianza superior al 90% se despliegan. Esto permite que la inteligencia generada por ML persista dentro de las infraestructuras de reglas existentes sin requerir la inferencia del modelo por cada solicitud.

Contribuciones Clave
El artículo describe tres contribuciones primarias:

1. Arquitectura de Ensamble Heterogénea: Una combinación novedosa de modelos supervisados (Random Forest, SVM) y no supervisados (Isolation Forest, LOF) para capturar tanto patrones discriminativos como firmas de anomalías no supervisadas en el tráfico HTTP.
2. Integración de SHAP en Tiempo Real: La incorporación de SHAP directamente en el pipeline de decisión para proporcionar explicaciones por solicitud, comprensibles para humanos, sobre las decisiones de detección, mejorando la transparencia y la auditabilidad.
3. Motor de Síntesis de Reglas Automatizado: Un mecanismo para convertir los complejos límites de decisión de ML en reglas estándar de ModSecurity. Esto permite el despliegue de protecciones derivadas de ML en entornos de producción sin la sobrecarga de latencia de la inferencia continua del modelo.

Resultados Experimentales
X-WAF fue evaluado en diversos conjuntos de datos, incluyendo el Conjunto de Datos HTTP CSIC 2010, el Conjunto de Datos ECML/PKDD 2007 y logs de proxy del mundo real de una empresa de comercio electrónico de tamaño medio. El sistema se comparó con líneas base que incluyen ModSecurity con CRS 3.3, modelos individuales (Random Forest, Isolation Forest, SVM, LOF) y un ensamble sin SHAP.

• Desempeño de Detección: X-WAF logró una precisión de detección del 96.5% con una Tasa de Falsos Positivos (FPR) del 1.8%. Esto superó al mejor modelo supervisado individual (Random Forest con 93.1% de precisión, 2.1% de FPR) y a la línea base basada en firmas (ModSecurity CRS 3.3 con 82.3% de precisión, 5.2% de FPR).
• Métricas de Desempeño: El sistema mantuvo una latencia promedio de 8 ms por solicitud y un rendimiento superior a las 12,000 solicitudes por segundo (RPS), cumpliendo con las demandas de los entornos de producción.
• Eficacia de la Síntesis de Reglas: En un lote de 24 horas, el sistema generó 47 reglas de ModSecurity. Al ser desplegadas, estas reglas sintetizadas por sí solas bloquearon el 72% de las solicitudes maliciosas en la hora siguiente sin invocar el modelo de ML completo.
• Resiliencia Adversaria: Bajo condiciones adversarias utilizando cargas útiles de SQLi generadas mediante algoritmos genéticos, X-WAF mantuvo una tasa de detección del 89.2%, superando significativamente a ModSecurity CRS (54.3%) y a Random Forest por sí solo (78.5%).

Significancia y Reivindicaciones
El artículo postula que X-WAF aborda la brecha de seguridad crítica donde los WAF tradicionales fallan ante ataques novedosos, mientras supera las barreras operativas que han obstaculizado la adopción de ML. Al proporcionar transparencia a través de SHAP e integración fluida mediante la síntesis automatizada de reglas, el marco ofrece un camino práctico para el despliegue de aprendizaje automático en aplicaciones de seguridad crítica. Los autores afirman que X-WAF no solo mejora la cobertura de detección contra ataques de día cero, sino que también garantiza la auditabilidad y el bajo desempeño de latencia necesarios para el despliegue en el mundo real, permitiendo efectivamente a las organizaciones aprovechar la inteligencia de ML dentro de sus infraestructuras de WAF basadas en reglas existentes.