Resumen Técnico: ST-HAE para la Detección de Anomalías Espacio-Temporales en Redes IoT Heterogéneas

1. Planteamiento del Problema

La investigación actual en sistemas de detección de intrusiones (IDS) se lleva a cabo predominantemente en conjuntos de datos artificialmente equilibrados, donde el tráfico de ataque y el tráfico benigno se dividen en una proporción de 50:50. Esta metodología oscurece la severa pérdida de precisión que ocurre en entornos de producción, donde las proporciones de paquetes benignos frente a ataques suelen exceder de 100:1. Además, los clasificadores supervisados no logran generalizar a ataques de día cero o nuevas familias de malware, y presentan dificultades ante la heterogeneidad de las redes IoT modernas que abarcan múltiples arquitecturas de CPU (ARM, MIPS, MIPSEL, x86). Los métodos no supervisados existentes a menudo carecen de una validación estadística rigurosa bajo un desequilibrio de clases realista y no logran capturar la naturaleza secuencial, espacio-temporal, del tráfico de red.

2. Metodología: ST-HAE

Los autores proponen ST-HAE (Autoencoder Híbrido Espacio-Temporal), un sistema de detección de intrusiones no supervisado y sin etiquetas, diseñado para operar bajo un desequilibrio de clases extremo.

2.1 Arquitectura Central

ST-HAE es un modelo de codificador-decodificador ligero entrenado exclusivamente en tráfico benigno. No requiere etiquetas de ataque durante el entrenamiento, lo que permite la detección de anomalías de día cero. La arquitectura consta de:

• Codificador Espacial (1D-CNN): Una capa convolucional con 32 filtros (tamaño de núcleo 3) y MaxPooling para capturar las correlaciones entre características dentro de los registros de flujo de red.
• Codificador Temporal (BiLSTM): Una capa BiLSTM con 64 unidades por dirección que procesa la salida de la CNN. Esto captura la simetría de solicitud-respuesta y las dependencias secuenciales inherentes al tráfico legítimo.
• Cuello de Botella de Compresión: La salida se comprime en un código latente de 16 dimensiones mediante dos capas totalmente conectadas, forzando una representación compacta del manifold de tráfico benigno.
• Decodificador Asimétrico: Un decodificador de tres capas totalmente conectadas reconstruye el vector de entrada original. El decdecodificador es intencionadamente más superficial que el codificador para minimizar los parámetros (un total de 60,151 parámetros entrenables), lo que lo hace adecuado para el despliegue en puertas de enlace (gateways) de borde (edge).

2.2 Lógica de Entrenamiento y Detección

• Objetivo: El modelo minimiza el Error Cuadrático Medio (MSE) de la pérdida de reconstrucción sobre la partición de entrenamiento benigna.
• Puntuación de Anomalía: Las anomalías se detectan basándose en el error de reconstrucción ($RE$). Una muestra se marca como anómala si $RE(x) > \tau$.
• Calibración del Umbral: El umbral $\tau$ se deriva estadísticamente del conjunto de validación benigno: $\tau = \mu_{RE}^{(b)} + k \cdot \sigma_{RE}^{(b)}$. El multiplicador $k$ se determina mediante la teoría de la decisión para equilibrar los costos asimétricos de los falsos negativos (intrusiones omitidas) frente a los falsos positivos (fatiga por alertas).
• Gaussianidad: El método asume que los errores de reconstrucción benignos siguen una distribución Gaussiana, verificada mediante pruebas de Anderson-Darling.

2.3 Protocolo de Evaluación

El estudio introduce un protocolo de evaluación desequilibrado riguroso:

• Sin Submuestreo: Todo el conjunto de ataques se reserva para las pruebas sin realizar submuestreo.
• Proporciones Realistas: Las pruebas se realizan en conjuntos de datos con proporciones de desequilibrio de 278.5:1 (CIC-IoT 2023) y 9.6:1 (IoTMal-2026).
• Validación Estadística: Todos los resultados se reportan como media ± desviación estándar a través de cinco semillas aleatorias independientes para asegurar la estabilidad y la reproducibilidad.

3. Contribuciones Clave

El artículo describe siete contribuciones primarias:

1. Protocolo de Evaluación Desequilibrado: Un marco de prueba transparente utilizando conjuntos completos de ataques y validación de cinco semillas para reflejar las condiciones de despliegue reales (proporciones de 278.5× y 9.6×).
2. Modelo ST-HAE: Un autoencoder 1D-CNN-BiLSTM entrenado solo con tráfico benigno, capaz de detección de día cero con una huella ligera adecuada para dispositivos de borde.
3. Umbralización Basada en la Teoría de la Decisión: Una derivación formal del multiplicador de sensibilidad de anomalía $k$ basado en una matriz de costos asimétrica.
4. Ablación de la Codificación Temporal: Comparación sistemática que muestra que la codificación bidireccional mejora significativamente la estabilidad y la precisión sobre la codificación unidireccional, particularmente en entornos heterogéneos.
5. Generalización de Arquitectura Cruzada: El modelo se generaliza a tráfico de ARM, MIPS, MIPSEL y x86 sin necesidad de ajuste fino específico de la arquitectura.
6. Rendimiento ante Desequilibrio Extremo: Logro de una precisión casi perfecta (0.9999) en el conjunto de datos CIC-IoT 2023 a pesar de un desequilibrio de 278.5:1.
7. Validación Estadística Rigurosa: Reporte exhaustivo de resultados con desviaciones estándar a través de cinco semillas, contrastando con los benchmarks de ejecución única comunes en la literatura previa.

4. Resultados Experimentales

El modelo fue evaluado en dos conjuntos de datos: CIC-IoT 2023 (IoT de Consumo) e IoTMal-2026 (Malware de Multi-Arquitectura).

4.1 Rendimiento en CIC-IoT 2023 (Desequilibrio de 278.5×)

• Precisión (Precision): 0.9999 ± 0.0000
• Exactitud (Accuracy): 97.88% ± 0.04%
• Sensibilidad (Recall): 97.89% ± 0.04%
• Tasa de Falsas Alarmas (FAR): 2.73% ± 0.56%
• Significancia: Menos de 1 en 10,000 paquetes benignos activaron una falsa alerta, abordando directamente el problema de la fatiga de alertas del operador.

4.2 Rendimiento en IoTMal-2026 (Desequilibrio de 9.6×)

• Exactitud (Accuracy): 95.77% ± 0.05%
• Precisión (Precision): 99.51% ± 0.04%
• AUC: 0.9790 ± 0.0008
• Generalización: Detectó con éxito malware a través de cuatro arquitecturas de CPU distintas (ARM, MIPS, MIPSEL, x86) sin reentrenamiento.

4.3 Comparación con Baselines

• Vs. Baselines No Supervisados: ST-HAE redujo la Tasa de Falsas Alarmas aproximadamente 2 veces en CIC-IoT 2023 y 4 veces en IoTMal-2026 en comparación con Isolation Forest y One-Class SVM.
• Vs. Baselines Supervisados: Aunque los modelos supervisados (ej. XGBoost) mostraron una exactitud ligeramente mayor en divisiones equilibradas, carecen de capacidades de detección de día cero. ST-HAE superó a los modelos supervisados en sensibilidad en entornos desequilibrados y mantuvo una alta precisión sin acceso a etiquetas de ataque.
• Estabilidad: El uso de LSTM Bidireccional redujo la varianza de exactitud de semilla a semilla en 16.8× en el conjunto de datos heterogéneo IoTMal-2026 en comparación con el LSTM unidireccional, indicando una estabilidad de despliegue superior.

4.4 Velocidad de Inferencia

En una GPU NVIDIA Tesla T4, la latencia de inferencia por muestra fue de 0.043 ms, lo que sugiere la viabilidad para el despliegue en puertas de enlace de borde (estimado en >5,000 muestras/s en hardware ARM Cortex-A).

5. Significancia y Reivindicaciones

El artículo argumenta que la evaluación es diseño. La principal significancia de ST-HAE no reside solo en su arquitectura, sino en la demostración de que es posible lograr una detección de anomalías de alta precisión bajo condiciones de desequilibrio de clases extremas y realistas donde las métricas tradicionales fallan.

• Línea Base Operacional: Los resultados establecen una nueva línea base operacional para la detección no supervisada, demostando que la precisión puede mantenerse cerca de 1.0 incluso cuando el tráfico de ataque constituye el 99.64% de los paquetes observados.
• Estabilidad sobre la Exactitud Media: Los autores enfatizan que la reducción de 16.8× en la variancia lograda por la codificación bidireccional es más crítica para el despliegue en el mundo real que las ganancias marginales en la exactitud media, ya que garantiza un rendimiento constante a través de diferentes inicializaciones aleatorias.
• Capacidad de Día Cero: Al depender del modelado de la normalidad en lugar de firmas de ataque, el sistema aborda intrínsecamente la brecha de detección de día cero que afecta a los enfoques supervisados.

Los autores concluyen que, si bien los modelos supervisados pueden lograr una exactitud bruta más alta en benchmarks equilibrados, estos son engañosos para los entornos de producción. ST-Hel ofrece una alternativa no supervisada robusta que prioriza las bajas tasas de falsas alarmas y la generalización a través de arquitecturas IoT heterogéneas.