Resumen Técnico: Sistema de Detección de Intrusiones Híbrido para Entornos IoT y la Nube

Planteamiento del Problema

La rápida integración de dispositivos del Internet de las Cosas (IoT) con infraestructuras de computación en la nube ha creado entornos de red heterogéneos que son cada vez más complejos y vulnerables a los ciberataques. Los Sistemas de Detección de Intrusiones (IDS) tradicionales enfrentan limitaciones significativas en estos entornos:

• Los sistemas basados en firmas son efectivos contra ataques conocidos pero fallan al detectar amenazas de día cero o emergentes debido a su dependencia de firmas predefinidas.
• Los sistemas basados en anomalías pueden detectar amenazas desconocidas identificando desviaciones del comportamiento normal, pero a menudo sufren altas tasas de falsos positivos, bajo recall (exhaustividad) y sensibilidad a la configuración de umbrales.
• El Aprendizaje Automático (ML) Supervisado (por ejemplo, Random Forest, XGBoost) logra una alta precisión en datos etiquetados, pero tiene dificultades para generalizarse a patrones de ataque no vistos o distribuciones de tráfico heterogéneas.
• Heterogeneidad de los Conjuntos de Datos: La mayor parte de la investigación existente evalúa modelos en conjuntos de datos de dominio único (ya sea empresarial o IoT), lo que limita la generalizabilidad de los modelos resultantes a entornos de múltiples dominios del mundo real donde las características del tráfico difieren significativamente.

El problema central abordado es la falta de un marco de IDS ligero y robusto capaz de detectar simultáneamente ataques conocidos y desconocidos a través de diversos entornos de nube e IoT, equilibrando la sensibilidad de detección (recall) con el control de falsas alarmas (precisión).

Metodología

Los autores proponen un Marco de Detección de Intrusiones Híbrido que integra la clasificación supervisada con el modelado de secuencias consciente de anomalías. La metodología consta de cuatro etapas primarias:

1. Integración de Conjuntos de Datos y Alineación de Características

Para abordar la heterogeneidad de los conjuntos de datos, el estudio fusiona el conjunto de datos CICIDS2017 (que representa el tráfico empresarial/nube) y el conjunto de datos TON IoT (que representa el tráfico de IoT/IIoT).

• Alineación de Características: Se empleó una estrategia de selección manual de características para construir un espacio de características unificado y compacto. Se seleccionaron seis atributos comunes relacionados con el tráfico: puerto de destino, duración del flujo, paquetes de origen, paquetes de destino, bytes de origen y bytes de destino.
• Indicador de Dominio: Se añadió una característica binaria para indicar el origen del conjunto de datos (0 para CICIDS2017, 1 para TON IoT) para permitir que el modelo aprenda de ambos dominios sin perder el contexto de la fuente.
• Preprocesamiento: El pipeline incluyó el manejo de valores faltantes (reemplazando valores indefinidos/infinitos por cero), la eliminación de registros duplicados, la transformación de etiquetas a binario (0 para normal, 1 para ataque) y la aplicación de una transformación logarítmica (log1p) seguida de una normalización Min-Max para manejar la asimetría y las diferencias de escala.

2. Arquitectura del Modelo

El marco emplea una arquitectura paralela con un mecanismo de fusión basado en la lógica OR:

• Componente Supervisado: Dos clasificadores de aprendizaje de conjunto, Random Forest y XGBoost, se entrenan en el conjunto de datos binario etiquetado para detectar patrones de ataque conocidos. XGBoost se configuró con 100 estimadores, una profundidad máxima de 6 y una tasa de aprendizaje de 0.1.
• Componente de Detección de Anomalías: Un Autoencoder LSTM se entrena exclusivamente en secuencias de tráfico normal (longitud de secuencia de 10). La arquitectura consta de un codificador (64 y 32 unidades ocultas) y un decodificador (32 y 64 unidades ocultas) con una capa de salida Dense TimeDistributed. Aprende a reconstruir el tráfico normal; los errores de reconstrucción altos indican anomalías.
• Fusión Híbrida: La decisión final se toma mediante una regla lógica OR: una secuencia de tráfico se clasifica como un ataque si el modelo supervisado la predice como maliciosa o si el error de reconstrucción del LSTM Autoencoder supera un umbral ajustado (0.001014).

3. Estrategia de Evaluación

Los modelos fueron evaluados utilizando una división de entrenamiento-prueba de 80:20 con muestreo estratificado. El rendimiento se midió utilizando Precisión, Recall, F1-score, Tasa de Falsos Positivos (FPR) y Tasa de Falsos Negativos (FNR). Además, se realizó un experimento de ataque no visto donde se excluyeron familias de ataques específicas (por ejemplo, variantes de DDoS, DoS) del entrenamiento para probar las capacidades de generalización.

Principales Contribuciones

1. Marco Híbrido: El desarrollo de un IDS unificado que combina la clasificación supervisada basada en XGBoost con la detección de anomalías basada en LSTM Autoencoder para aprovechar las fortalezas de ambos enfoques (alta precisión para ataques conocidos y sensibilidad para amenazas desconocidas).
2. Integración de Conjuntos de Datos Cross-Domain: La creación de un conjunto de datos alineado en características, que fusiona CICIDS2017 y TON IoT. Esto aborda la brecha de investigación de la evaluación de dominio único, permitiendo que el modelo aprenda de patrones de tráfico heterogéneos de empresa e IoT.
3. Evaluación Empírica Exhaustiva: Una comparación detallada de los modelos independientes (Random Forest, XGBoost, LSTM Autoencoder) frente al modelo de fusión híbrida, incluyendo una evaluación de ataques no vistos para evaluar la capacidad de generalización.
4. Análisis de Compromiso (Trade-off): Una investigación de los compromisos entre la mejora del recall y el control de falsos positivos, demostrando cómo la fusión híbrida mejora la sensibilidad a las amenazas novedosas a costa de un ligero aumento en las falsas alarmas.

Resultados Experimentales

El marco híbrido propuesto demostró un rendimiento superior en comparación con los modelos independientes bajo configuraciones de evaluación estándar:

• Rendimiento General: El modelo híbrido logró un 99.45% de precisión (accuracy), un 99.75% de precisión (precision), un 99.64% de recall y un 99.70% de F1-score.
• Rendimiento de los Componentes:
  • XGBoost: Logró una alta precisión (99.39%) y un recall (98.71%), confirmando su fuerza en la clasificación de ataques conocidos.
  • LSTM Autoencoder: Logró una precisión muy alta (99.30%) pero un recall extremadamente bajo (12.35%) como modelo independiente, lo que indica que es conservador y pierde muchos ataques cuando se usa solo.
  • Fusión Híbrida: Logró mejorar con éxito el recall del sistema al 99.64% al capturar los ataques perdidos del detector de anomalías, manteniendo una alta precisión.
• Evaluación de Ataques No Vistos: Cuando se probó en familias de ataques excluidas del entrenamiento, el modelo híbrido mantuvo un alto recall (97.41%) en comparación con XGBoost (96.37%), aunque la precisión cayó (27.16%) debido a la mayor sensibilidad del detector de anomalías. Esto confirma la capacidad del enfoque híbrido para detectar amenazas previamente no vistas.
• Detección por Ataque: El marco logró tasas de detección superiores al 98% para ataques de alto volumen (DDoS, DoS) y ataques de reconocimiento (PortScan), y más del 94% para ataques más sigilosos (Backdoor, Bot).

Significación y Reivindicaciones

El artículo afirma que el marco híbrido propuesto ofrece una solución robusta y escalable para la ciberseguridad moderna en entornos heterogéneos. Su importancia radica en:

• Mejora de la Generalización: Al integrar conjuntos de datos de múltiples dominios, el sistema está mejor equipado para manejar los diversos patrones de tráfico encontrados en los despliegues reales de la nube e IoT, yendo más allá de las limitaciones de las evaluaciones de dominio único.
• Detección Equilibrada: El marco aborda eficazmente el compromiso entre "recall y precisión". Utiliza el aprendizaje supervisado para la clasificación precisa de amenazas conocidas y la detección de anomalías para capturar ataques de día cero o emergentes, reduando significativamente el riesgo de intrusiones omitidas (falsos negativos).
• Aplicabilidad Práctica: Aunque reconoce el costo computacional del aprendizaje profundo, los autores argumentan que el diseño modular y el uso de métodos de conjunto eficientes (XGBoost) hacen que el sistema sea viable para el monitoreo de red dinámico. El estudio enfatiza que el ligero aumento en los falsos positivos es un compromiso aceptable para la mejora crítica en la detección de ataques desconocidos.

Los autores concluyen que combinar el aprendizaje supervisado con el modelado de secuencias consciente de anomalías es un paso necesario hacia la construcción de sistemas de detección de intrusiones que sean tanto precisos como adaptables al panorama evolutivo de las ciberamenazas.