Resumen Técnico: Un Marco de IA Explicable Dinámico para la Detección de Intrusiones en Tiempo Real y la Priorización Automatizada de Alertas

1. Declaración del Problema

Los Centros de Operaciones de Seguridad (SOC) enfrentan un cuello de botella operativo crítico: los analistas se ven abrumados por 50 a 100 alertas de seguridad por hora, un volumen que induce fatiga cognitiva y retrasa la respuesta ante incidentes. Los Sistemas de Detección de Intrusiones (IDS) actuales contribuyen a este problema mediante altas tasas de falsos positivos y arquitecturas de "caja negra" que carecen de interpretabilidad. En consecuencia, el tiempo medio global de detección (MTTD) de una brecha de datos permanece en 181 días, y las brechas no detectadas cuestan un promedio de 5.46 millones de USD.

Las soluciones existentes sufren de tres brechas principales:

1. Explicaciones Estáticas: La mayoría de las aplicaciones de IA Explicable (XAI) generan explicaciones fuera de línea (offline), fallando en el soporte para la inferencia en tiempo real.
2. Ausencia de Modelado Temporal: Muchos enfoques tratan los flujos de red de forma independiente, ignorando las dependencias temporales características de los ataques de múltiples etapas.
3. Ausencia de Priorización de Alertas: La literatura rara vez aborda la optimización conjunta de la explicabilidad y la reducción del volumen de alertas, dejando sin resolver la causa raíz de la carga de trabajo del SOC (la fatiga de alertas).

2. Metodología: El Marco Explicable Dinámico (DEF)

El artículo propone el Marco Explicable Dinámico (DEF), un pipeline de tres etapas diseñado para integrar detección, explicación y priorización en un sistema unificado.

2.1 Arquitectura del Marco

El DEF procesa el tráfico de red bruto a través de las siguientes etapas secuenciales:

1. Detección: Un modelo híbrido de aprendizaje profundo que combina análisis temporal y topológico.
2. Explicación: Módulos de XAI post-hoc (SHAP y LIME) que generan justificaciones en el momento de la inferencia.
3. Priorización de Alertas: Una capa de puntuación que filtra las alertas de baja confianza antes de que lleguen al analista.

2.2 Componentes Principales

• Módulo Transformer de Series Temporales: El tráfico de red se trata como un flujo secuencial. Un mecanismo de autoatención de múltiples cabezales captura dependencias temporales de largo alcance a través de una ventana de $T$ flujos consecutivos, permitiendo la detección de patrones de ataque de múltiples etapas que los clasificadores a nivel de flujo pasan por alto.
• Módulo de Redes Convolucionales de Grafos (GCN): La topología de la red se modela como un grafo donde los nodos representan hosts/servicios y las aristas representan flujos de comunicación. La GCN aprende incrustaciones (embeddings) de nodos para detectar patrones de propagación de ataques (por ejemplo, movimiento lateral) invisibles para los modelos por flujo.
• Fusión de Características y Clasificación: La incrustación temporal ($h_T$) del Transformer y la incrustación de grafo ($g$) de la GCN se concatenan y se pasan a través de una cabeza de clasificación para predecir la clase de ataque.
• Módulos de Explicación XAI:
  • SHAP (SHapley Additive exPlanations): Calcula valores de Shapley para proporcionar atribuciones de características globales y locales. El marco utiliza el algoritmo TreeExplainer para mayor eficiencia.
  • LIME (Local Interpretable Model-Agnostic Explanations): Genera aproximaciones lineales locales para instancias individuales para explicar decisiones de detección específicas.
• Capa de Priorización de Alertas: A cada alerta $a$ se le asigna una puntuación de prioridad compuesta $P(a)$:
  $$P(a) = \alpha \hat{p}_{attack}(a) + \beta S_{SHAP}(a) + \gamma C_{GCN}(a)$$
  Donde $\hat{p}_{attack}$ es la probabilidad predicha de un ataque, $S_{SHAP}$ es el valor absoluto medio de SHAP (confianza de la explicación) y $C_{GCN}$ es la centralidad de intermediación del nodo de origen. Las alertas por debajo de un umbral calibrado $\theta$ son suprimidas.

3. Configuración Experimental

• Conjunto de Datos: Un benchmark estructurado derivado de CIC-IDS-2018, que comprende 60,000 muestras en ocho categorías (Benigno, Bot, Fuerza Bruta FTP/SSH, DDoS, DoS Hulk, DoS Slowloris, Ataque Web). El conjunto de datos refleja el desequilibrio de clases del mundo real con aproximadamente un 70% de tráfico benigno.
• Preprocesamiento: Incluye limpieza, normalización, sobremuestreo SMOTE para el conjunto de entrenamiento y una división estratificada de 70/15/15.
• Líneas Base (Baselines): Comparado contra Snort (basado en firmas), Random Forest, LSTM, XGBoost y XGBoost+SHAP.
• Métricas: Exactitud (Accuracy), Precisión, Recall, F1-score macro, AUC-ROC, Tasa de Falsos Positivos (FPR) y Tasa de Reducción de Alertas (ARR).

4. Resultados Clave

Evaluado en un conjunto de prueba de 9,000 muestras, el DEF demostró el siguiente desempeño:

4.1 Desempeño de Detección

• Exactitud (Accuracy): 94.58%
• F1-Score Macro: 90.11%
• AUC-ROC: 0.9855
• Tasa de Falsos Positivos (FPR): 1.16% (una mejora significativa respecto al ~12% de FPR de Snort).
• Comparación: El DEF superó a Random Forest (F1 87.97%) y LSTM (F1 90.11%) en el análisis comparativo, particularmente en la detección de ataques de tipo Bot y Fuerza Bruta.

4.2 Priorización de Alertas e Impacto en el SOC

• Reducción de Alertas: Con un umbral $\theta = 0.6$, el sistema redujo el número de alertas presentadas a los analistas en un 68.9% (de un rango base de 50–100 alertas/hora a aproximadamente 16–31 alertas/hora).
• Preservación del Recall: A pesar de la reducción, el sistema mantuvo un recall del 90.72%, asegurando que la gran mayoría de los ataques reales no se perdieran.
• Reducción de la Carga de Trabajo: La reducción se traduce en una disminución del tiempo de triaje del analista de ~1,000 minutos/hora a ~310 minutos/hora.

4.3 Eficiencia y Calidad de XAI

• Velocidad de SHAP: Generó explicaciones globales y locales en 8.7 ms por muestra, cumpliendo con los umbrales de tiempo casi real para tableros de control (dashboards) de SOC.
• Velocidad de LIME: Generó explicaciones locales en 234.8 ms por instancia.
• Interpretabilidad: El sistema proporciona justificaciones interpretables por humanos (por ejemplo, umbrales de características específicos que empujan una predicción hacia un "ataque") junto con cada alerta, ayudando en la toma de decisiones del analista sin requerir experiencia en ML.

5. Significancia y Reivindicaciones

El artículo afirma que el DEF aborda simultáneamente la tríada de exactitud, reducción de la carga de trabajo y transparencia, algo que la literatura existente suele tratar de forma aislada.

• Viabilidad Operativa: El marco demuestra que la alta exactitud de detección y la reducción significativa del volumen de alertas son simultáneamente alcanzables sin comprometer el recall de las amenazas reales.
• XAI en Tiempo Real: Al generar explicaciones en milisegundos (8.7 ms para SHAP), el marco cierra la brecha entre los modelos complejos de aprendizaje profundo y la necesidad de confianza y acción inmediata del analista.
• Enfoque Holístico: A diferencia de estudios previos que se centran únicamente en la detección o en la explicación fuera de línea, el DEF integra el modelado temporal (Transformer), el modelado topológico (GCN) y la priorización en tiempo real en un solo pipeline adecuado para entornos de producción de SOC.

Los autores señalan limitaciones, incluyendo el uso de un subconjunto estructurado de CIC-IDS-2018 en lugar del conjunto de datos bruto completo, el uso de XGBoost como un proxy para LSTM debido a restricciones del entorno, y el requisito de instantáneas (snapshots) de la topología de red en tiempo real para el módulo GCN. Se propone trabajo futuro para validar el pipeline completo de Transformer+GCN en el conjunto de datos completo y realizar estudios de usuario para medir la mejora real en el tiempo de respuesta del analista.