💻 computer science

ADAPT-IDS: An Unsupervised Multi-Metric Framework forReliable Concept Drift Detection and Adaptive Intrusion Detectionin Evolving Network Streams

Este artículo presenta ADAPT-IDS, un marco de métricas múltiples no supervisado que detecta de manera confiable el concepto de deriva (concept drift) en flujos de red evolutivos mediante un mecanismo de fusión de evidencia ponderada y confirmación basada en persistencia, activando posteriormente el reentrenamiento adaptativo del modelo con una anotación manual mínima para mantener un alto rendimiento en la detección de intrusiones.

Autores originales: ROHIT THAKUR, Raj Kumari

Publicado 2026-09-29

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: ROHIT THAKUR, Raj Kumari

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

El mundo digital es un ecosistema vivo y palpitante que nunca deja de moverse. Cada vez que se lanza una nueva aplicación, se actualiza un servicio en la nube o se conecta un dispositivo, el flujo de datos a través de las redes cambia. Esta evolución constante crea un problema para los centinelas digitales diseñados para proteger estas redes: los sistemas de detección de intrusiones. Estos sistemas actúan como guardias de seguridad, entrenados para detectar actividad maliciosa mediante el reconocimiento de patrones específicos de comportamiento. Sin embargo, a menudo son entrenados con una instantánea del pasado. A medida que la red cambia, los patrones de tráfico normal se desplazan y los patrones de ataque evolucionan. Un sistema que funcionaba perfectamente ayer podría pasar por alto una nueva amenaza hoy, simplemente porque el entorno que vigila ha cambiado. Este fenómeno, conocido como deriva de concepto (concept drift), es el enemigo silencioso de los modelos de seguridad estáticos. Si un sistema de seguridad no puede adaptarse a estos cambios, comienza a emitir falsas alarmas o, lo que es peor, deja de ver ataques reales por completo. El desafío para los investigadores es construir un sistema que pueda aprender de estos cambios sin necesidad de que un experto humano etiquete constantemente cada una de las piezas de datos, una tarea que a menudo es demasiado lenta y costosa para ser práctica.

En un estudio reciente, los investigadores Rohit Thakur y Raj Kumari, de la Universidad de Panjab, propusyoron una solución llamada ADAPT-IDS, un marco diseñado para mantener la fiabilidad de los sistemas de detección de intrusiones incluso cuando el panorama de la red cambia bajo sus pies. Su enfoque aborda el problema en dos etapas distintas: primero, observa señales de que la red está cambiando y, segundo, solo actualiza su modelo de seguridad cuando se demuestra que esos cambios son duraderos. El sistema no depende de una única forma de medir el cambio. En su lugar, utiliza cuatro señales diferentes para obtener una imagen completa de lo que está sucediendo. Una señal mide cuánto ha cambiado la forma general de los datos, otra observa cuánto se han desplazado los valores promedio, una tercera comprueba si las diferencias son estadísticamente significativas y una cuarta mide cuántos puntos de datos se comportan de manera distinta al tráfico normal y seguro que el sistema ha aprendido a reconocer. Al combinar estas cuatro perspectivas, el sistema construye un caso sólido sobre si un cambio es real o solo un fallo temporal.

Los investigadores tuvieron cuidado de evitar la trampa común de reaccionar ante cada pequeña fluctuación. El tráfico de red fluye y refluye naturalmente; un aumento repentino en la actividad puede ser una oleada inofensiva de usuarios en lugar de un nuevo ataque. Para evitar que el sistema se reinicie constantemente basándose en estos baches temporales, ADAPT-IDS requiere pruebas de persistencia. El sistema no activa una actualización en el momento en que ve un cambio. En su lugar, espera para ver si las señales de cambio aparecen repetidamente durante un corto período. Solo cuando la evidencia confirma que la red se ha asentado en un nuevo estado diferente, el sistema decide adaptarse. Esta paciencia asegura que el modelo de seguridad no sea desestabilizado por el ruido, sino solo por cambios genuinos y sostenidos en el entorno.

Una vez que el sistema confirma que ha ocurrido un cambio real, se enfrenta a la difícil tarea de actualizarse sin un conjunto completo de nuevas etiquetas. En un mundo perfecto, un experto humano verificaría cada nueva pieza de tráfico para decirle al sistema si es seguro o peligroso. En la realidad, esto es imposible para el enorme volumen de datos que fluyen a través de las redes modernas. ADAPT-IDS resuelve esto mediante una estrategia de etiquetado selectivo. Cuando se necesita una actualización, el sistema solicita etiquetas humanas para solo una pequeña y cuidadosamente seleccionada muestra del nuevo tráfico. Para completar el resto de los datos de entrenamiento, utiliza un truco ingenioso: identifica el tráfico que parece tener una alta confianza de ser seguro basándose en su propia comprensión interna del comportamiento normal. Luego, mezcla estos ejemplos seguros de alta confianza con el pequeño lote de muestras verificadas por humanos para crear un conjunto de entrenamiento equilibrado. Esto permite que el sistema aprenda del nuevo entorno mientras recuerda lo que aprendió antes, asegurando que no olvide cómo detectar amenazas antiguas mientras aprende las nuevas.

Los investigadores probaron este marco en un conjunto de datos masivo y del mundo real que contenía casi dos millones de registros de tráfico de red, dispuestos exactamente en el orden en que ocurrieron a lo largo del tiempo. Dividieron los datos de modo que los primeros 200,000 registros se utilizaran para construir el modelo de seguridad inicial, y los 1.8 millones de registros restantes se procesaran como un flujo continuo. Mientras el sistema observaba este flujo, identificó 327 momentos donde el tráfico parecía lo suficientemente diferente como para ser un cambio potencial. Sin embargo, gracias a su regla de persistencia, solo confirmó 73 de estos como cambios reales y duraderos que requerían una actualización. Esto significó que el sistema solo tuvo que reentrenarse 73 veces, en lugar de reaccionar a cada pequeño bache. Durante estas actualizaciones, solicitó etiquetas humanas para solo alrededor del 7.7% del tráfico, dejando la gran mayoría de los datos para ser procesados automáticamente.

Los resultados de este enfoque fueron sorprendentes. Al adaptarse solo cuando es necesario y utilizar una mezcla de aprendizaje humano y automatizado, el sistema mantuvo un alto nivel de precisión. Identificó correctamente el tráfico malicioso con una precisión de casi el 99.94%, lo que significa que casi nunca dio una falsa alarma. También detectó con éxito aproximadamente el 85.88% de los ataques reales, un rendimiento sólido dada la naturaleza evolutiva de los datos. El sistema alcanzó una precisión general del 97.46% y una precisión equilibrada del 92.93%, demostrando que podía manejar el paisaje cambiante sin perder el equilibrio. Los investigadores también probaron el sistema en un conjunto de datos diferente para asegurar que estos resultados no fueran una casualidad, y funcionó de manera similar, confirmando que el método funciona en diferentes tipos de tráfico de red.

Este trabajo resalta un cambio crucial en cómo entendemos la seguridad digital. En lugar de construir una fortaleza estática que eventualmente se vuelve obsoleta, los investigadores han demostrado que se puede diseñar un sistema que evolucione junto con las amenazas que enfrenta. La clave de la comprensión es que la adaptación no requiere una intervención humana constante ni una revisión completa del sistema cada vez que la red cambia. Al utilizar múltiples señales para detectar el cambio, esperar a que ese cambio se demuestre y luego aprender eficientemente de una pequeña cantidad de información nueva, el sistema permanece agudo y fiable. El estudio sugiere que el futuro de la detección de intrusiones reside en este tipo de adaptación inteligente y medida, donde el sistema sabe cuándo escuchar el ruido y cuándo aprender de la señal. Aunque los investigadores señalan que se necesitan más pruebas para comparar este enfoque directamente con otros métodos y ver cómo se sostiene en tiempo real, los hallazgos ofrecen un camino prometedor para asegurar las redes que están en constante cambio.

Resumen Técnico: ADAPT-IDS

Declaración del Problema

Los Sistemas de Detección de Intrusiones (IDS, por sus siglas en inglés) que operan en entornos de red en evolución enfrentan un desafío crítico: el concept drift (deriva de conceptos). A medida que los patrones de tráfico de red, los comportajes de las aplicaciones y las técnicas de ataque cambian con el tiempo, la distribución estadística de los datos entrantes diverge de los datos utilizados durante el entrenamiento inicial del modelo. Este fenómeno conduce a una degradación gradual en el rendimiento de la detección, manifestándose como un aumento de las falsas alarmas y de los ataques omitidos.

Las soluciones existentes suelen depender de la detección de deriva basada en errores, lo que requiere etiquetas de verdad de terreno (ground-truth) oportunas, una restricción que resulta impráctica en flujos de red de alto volumen donde la verificación experta es costosa o tardía. Además, muchos enfoques adaptativos activan actualizaciones inmediatas del modelo tras detectar desviaciones estadísticas. Esto puede provocar inestabilidad, ya que las fluctuaciones transitorias del tráfico (por ejemplo, ráfagas temporales o variaciones rutinarias) pueden confundirse con cambios ambientales persistentes, resultando en un reentrenamiento innecesario y una potencial inestabilidad del modelo. Existe la necesidad de un marco capaz de detectar la deriva sin etiquetado continuo, distinguir cambios persistentes del ruido y adaptar el IDS de manera eficiente utilizando una supervisión limitada.

Metodología

El artículo propone ADAPT-IDS, un marco multifactorial no supervisado diseñado para una detección de deriva de conceptos fiable y una detección de intrusiones adaptativa. La arquitectura desacopla el monitoreo de la deriva de la adaptación del modelo, operando mediante un protocolo de evaluación prequencial cronológico.

1. Monitoreo de Deriva Multifactorial No Supervisado

El núcleo del marco es una capa de monitoreo independiente de etiquetas que evalúa lotes de tráfico entrante contra una ventana de referencia utilizando cuatro indicadores estadísticos complementarios:

Divergencia de Jensen–Shannon (JS): Mide la similitud de la distribución global entre la referencia y el tráfico actual.
Diferencia Distribucional Estandarizada (ED): Captura cambios en la ubicación a nivel de características en relación con la variabilidad de la referencia.
Significancia de la Deriva Estadística (DS): Utiliza la prueba de Kolmogorov–Smirnov (KS) para evaluar cambios distribucionales a nivel de características, aplicando correcciones de múltiples pruebas.
Tasa de Excedencia de Residuos (RS): Mide la proporción de observaciones que se desvían de un perfil de tráfico benigno aprendido mediante un modelo de reconstrucción.

Estas cuatro señales se combinan mediante un mecanismo de fusión de evidencia ponderada para producir una puntuación de deriva única ( $D_t$ ). El marco impone restricciones de efecto mínimo (por ejemplo, $JS \ge 0.01$ , $ED \ge 0.05$ ) para asegurar que cambios estadísticamente significativos pero prácticamente insignificantes no activen la adaptación.

2. Confirmación Basada en Persistencia

Para evitar la sobre-reacción ante fluctuaciones transitorias, ADAPT-IDS introduce un criterio de persistencia. Se genera un evento de deriva candidato cuando la puntuación fusionada supera un umbral calibrado. Sin embargo, la adaptación del modelo solo se activa si una secuencia de eventos candidatos satisface una regla de persistencia temporal: al menos $K$ alarmas candidatas deben ocurrir dentro de una ventana de $W$ lotes consecutivos. En la configuración experimental, $W=5$ y $K=3$ . Esto asegura que solo los cambios distribucionales sostenidos inicien el proceso de adaptación.

3. Etiquetado Selectivo y Reentrenamiento Adaptativo

Una vez confirmada la deriva persistente, el marco activa un procedimiento de adaptación de etiquetado selectivo:

Etiquetado de Oráculo: Un subconjunto limitado de muestras (hasta 2,000 por evento) se envía para el etiquetado experto (oráculo).
Selección de Benignos de Alta Confianza: Se selecciona automáticamente un conjunto adicional de muestras (hasta 500) basado en un bajo error de reconstrucción, asumiendo que pertenecen a la clase benigna.
Buffer de Replay Balanceado: Estas muestras etiquetadas y de alta confianza benigna se combinan con datos históricos retenidos en un buffer de replay equilibrado por clases (con un tope de 10,000 muestras benignas y 10,000 de ataque).
Actualización del Modelo: El IDS supervisado (implementado como un clasificador HistGradientBoosting) se reentrena utilizando este buffer balanceado.
Rebasificación de la Referencia: La distribución de referencia se actualiza utilizando lotes de tráfico recientes para reflejar el nuevo régimen operativo, evitando la acumulación de bases obsoletas.

Todo el proceso sigue una secuencia de predicción-antes-de-la-adaptación, asegurando que las predicciones para un lote se generen antes de que ocurra cualquier adaptación activada por dicho lote, evitando así la fuga de datos (data leakage).

Contribuciones Clave

El artículo describe cinco contribuciones primarias:

Detección de Deriva de Conceptos Multifactorial No Supervisada: Un mecanismo independiente de etiquetas que fusiona la divergencia JS, la diferencia distribucional estandarizada, la significancia de la deriva estadística y la excedencia de residuos para caracterizar el tráfico evolutivo.
Confirmación de Deriva Consciente de la Persistencia: Un mecanismo temporal que separa eventos candidatos aislados de cambios persistentes, reduciendo los disparadores de adaptación falsos.
IDS Adaptativo de Etiquetado Selectivo: Una estrategia que restringe el etiquetado manual a eventos de adaptación confirmados, combinando etiquetas de oráculo con muestras benignas de alta confianza para mantener el equilibrio de clases.
Evaluación Prequencial Cronológica: Un protocolo de evaluación riguroso en grandes flujos temporales que evita que la información futura influya en las predicciones pasadas.
Análisis Empírico: Una evaluación exhaustiva del comportamiento de la detección de deriva, la frecuencia de adaptación, la eficiencia del etiquetado y la sensibilidad de las características bajo condiciones evolutivas.

Resultados Experimentales

El marco fue evaluado en subconjuntos cronológicamente ordenados de los conjuntos de datos CIC-IDS-2018 y CIC-IDS-2017.

Evaluación CIC-IDS-2018:

Conjunto de Datos: 1,897,150 instancias procesadas en 380 lotes.
Detección de Deriva: Identificó 327 eventos de deriva candidatos, de los cuales 73 cumplieron el criterio de persistencia y activaron la adaptación.
Rendimiento: Alcanzó un 97.46% de precisión (accuracy), 99.94% de precisión (precision), 85.88% de tasa de detección, 92.38% de F1-score y 0.912 de MCC. La tasa de falsas alarmas fue excepcionalmente baja, con un 0.0119%.
Eficiencia de Etiquetado: El etiquetado de oráculo fue requerido para solo el 7.70% de las instancias del flujo de evaluación.

Verificación CIC-IDS-2017:

Conjunto de Datos: 312,212 instancias procesadas en 63 lotes.
Rendimiento: Alcanzó un 94.46% de precisión (accuracy), 99.97% de precisión (precision) y 94.24% de F1-score.
Adaptación: Se confirmaron 13 eventos de deriva persistente, lo que activó 13 actualizaciones del modelo.
Eficiencia de Etiquetado: El etiquetado de oráculo representó el 8.33% del flujo.

Los estudios de ablación de características indicaron que eliminar la característica del puerto de destino mejoró ligeramente las tasas de detección pero aumentó las falsas alarmas, mientras que eliminar la característica del protocolo no tuvo un impacto mensurable bajo la configuración probada.

Significado y Reivindicaciones

Los autores posicionan a ADAPT-IDS como una solución práctica para las restricciones operativas de la seguridad de red, específicamente el alto costo del etiquetado continuo y la inestabilidad causada por la reacción al ruido transitorio del tráfico.

El artículo afirma que el marco aborda con éxito dos requisitos críticos para los IDS de flujo:

Detectar cambios sin depender de etiquetas disponibles continuamente mediante el uso de un monitoreo multifactorial no supervisado.
Limitar las actualizaciones del modelo a situaciones donde se ha observado evidencia persistente de cambio, evitando así el reentrenamiento innecesario.

Los autores declaran explícitamente que los resultados demuestran la viabilidad de este enfoque bajo los entornos evaluados. Mantienen una postura modesta, señalando que los hallazgos no deben interpretarse como una prueba de superioridad universal sobre otros marcos de IDS conscientes de la deriva de conceptos. Enfatizan que son necesarias comparaciones directas con métodos establecidos (como HOIDS, ADWIN o DDM) bajo protocolos cronológicos y condiciones de preprocesamiento idénticos para establecer ventajas relativas. El trabajo se presenta como una integración estructurada de componentes estadísticos y de aprendizaje existentes en un flujo de adaptación cohesivo y eficiente en el uso de etiquetas.