Resumo Técnico: Aplicação de Arquiteturas de Transformadores Tabulares para Fingerprinting de Sistemas Operacionais

Definição do Problema

O fingerprinting de Sistemas Operacionais (SO) é crítico para o gerenciamento de redes, inventário e cibersegurança, mas as ferramentas tradicionais baseadas em regras (ex: Nmap, p0f) enfrentam dificuldades em ambientes modernos e dinâmicos. Atualizações frequentes de SO, técnicas de ofuscação e a heterogeneidade dos dispositivos conectados degradam a precisão das assinaturas estáticas baseadas em regras. Embora o Aprendizado de Máquina (ML) tenha sido aplicado a este domínio, as pesquisas existentes dependem amplamente de algoritmos clássicos (ex: Árvores de Decisão, Florestas Aleatórias, k-Vizinhos Mais Próximos). Abordagens de Aprendizado Profundo (DL), particularmente arquiteturas de Transformadores, permanecem amplamente subexploradas para o fingerprinting de SO, apesar de seu sucesso comprovado em Processamento de Linguagem Natural (NLP) e Visão Computacional. O desafio central abordado é melhorar a precisção e a robustez da identificação de SO em condições de rede complexas e em evolução, aproveitando arquiteturas avançadas de DL projetadas para dados tabulares estruturados.

Metodologia

O estudo investiga a aplicação de arquiteturas de Transformadores Tabulares ao fingerprinting de SO, tratando os dados de fluxo de rede como entradas tabulares estruturadas.

Datasets

Três datasets publicamente disponíveis foram utilizados para garantir diversidade nos tipos de dados, distribuições de características e granularidade de classificação:

1. DAT1 (lastovicka_2019): Registros de fluxo IPFIX de um backbone universitário (2019), focando na classificação de família de SO (5 classes) usando recursos de TLS e de fluxo.
2. DAT2 (lastovicka_2023): Dados de tráfego web IPFIX (2023) suportando classificação nos níveis de família (12 classes), major (50 classes) e minor (88 classes).
3. DAT3 (nmap-7.94_2023): Assinaturas ativas coletadas via sondas Nmap, contendo 263 características para classificação de família (7 classes) e minor (91 classes).

Preparação de Dados

• Pré-processamento: Tratamento de valores ausentes (NaN/Null), remoção de características irrelevantes (ex: timestamps) e deduplicação.
• Engenharia de Características: As características categóricas (ex: tipos de protocolo) e numéricas (ex: TTL, tamanho da janela) foram padronizadas. Strings hexadecimais foram divididas em bytes.
• Desbalanceamento de Classes: Abordado via subamostragem aleatória para classes majoritárias e Técnica de Sobreamostragem de Minoria Sintética (SMOTE) para classes minoritárias.
• Codificação: One-Hot Encoding aplicado aos alvos categóricos; pesos de classe computados como o inverso das frequências normalizadas.

Modelos

O estudo comparou duas arquiteturas específicas de Transformadores Tabulares contra três baselines de ML clássico:

• Baselines: k-Nearest Neighbors (kNN), Random Forest (RF) e Multi-Layer Perceptron (MLP).
• TabTransformer (TabT): Substitui os embeddings categóricos tradicionais por representações conscientes de contexto usando camadas de Transformador, aplicando auto-atenção primariamente às características categóricas.
• FT-Transformer (FT-T): Generaliza o mecanismo de auto-atenção tanto para características categóricas quanto numéricas, tratando-as uniformemente para capturar interações entre dados heterogêneos.

Configuração Experimental

• Otimização de Hiperparâmetros: Realizada usando Optuna com amostrador NSGA-II e Validação Cruzada de 10 Dobras Estratificada.
• Treinamento: Os modelos foram treinados no supercomputador FinisTerrae III (CESGA) usando GPUs habilitadas para CUDA. Early stopping e otimização AdamW foram empregados.
• Avaliação: As métricas incluíram Acurácia, Acurácia Balanceada, Precisão, Recall e F1-score (média ponderada para lidar com o desbalanceamento de classes). Matrizes de confusão foram geradas para análise detalhada de erros.

Resultados Principais

Os experimentos demonstraram que modelos baseados em Transformadores geralmente superam os métodos de ML tradicionais, com o FT-Transformer emergindo como a arquitetura mais robusta no geral.

• DAT1 (Nível de Família): O FT-Transformer alcançou o maior F1-score (90,80%), superando o TabTransformer (89,46%), MLP (89,45%) e RF (87,93%).
• DAT2 (Família, Major, Minor):
  • Família: FT-Transformer (95,09%) superou ligeiramente o RF (95,33% de acurácia, mas menor F1) e superou significativamente outros baselines.
  • Major: FT-Transformer alcançou o melhor desempenho (F1: 79,32%), superando RF (75,64%) e TabTransformer (74,99%).
  • Minor: FT-Transformer (F1: 69,76%) e TabTransformer (F1: 68,28%) superaram os baselines clássicos, embora a tarefa tenha permanecido desafiadora.
• DAT3 (Família, Minor):
  • Família: FT-Transformer liderou com um F1-score de 92,23%.
  • Minor: TabTransformer obteve o melhor resultado (F1: 75,90%), superando ligeiramente o FT-Transformer (75,74%) e o baseline RF (75,66%).

Comparação com Trabalhos Anteriores

Os métodos propostos estabelecem novos marcos quando comparados a estudos anteriores sobre os mesmos datasets:

• No DAT1, o FT-Transformer melhorou o F1-score em aproximadamente 12% sobre o estado da arte anterior (Árvore de Decisão).
• No DAT2, o FT-Transformer alcançou um F1-score de 95,09% para classificação de família, superando substancialmente o melhor modelo anterior (Árvore de Decisão com 81,60%). Também forneceu os primeiros resultados reportados para o nível de classificação "major" neste dataset.
• No DAT3, o FT-Transformer superou o baseline MLP na classificação de família, enquanto o TabTransformer melhorou o baseline RF na classificação minor.

Significância e Alegações

O artigo reivindica três contribuições primárias:

1. Primeira Aplicação de Transformadores ao Fingerprinting de SO: Este estudo introduz modelos de Aprendizado Profundo baseados em atenção (especificamente Transformadores Tabulares) ao domínio da identificação de SO, marcando uma mudança dos sistemas de ML clássico e baseados em regras.
2. Avaliação Abrangente: A pesquisa fornece uma avaliação rigorosa através de três datasets diversos e múltiplas granularidades de classificação (família, major, minor), estabelecendo um baseline robusto para pesquisas futuras.
3. Reprodutibilidade: Os autores enfatizam a transparência ao liberar o código experimental completo, pipelines de pré-processamento e implementações de modelos sob uma licença GNU GPL v3.0.

Os autores concluem que o mecanismo de auto-atenção permite que esses modelos aprendam dependências intrincadas de características dentro de tráfegos de rede heterogêneos, levando a uma melhor adaptabilidade e precisão. Eles postulam que o FT-Transformer, em particular, oferece uma vantagem significativa na captura de interações complexas entre características numéricas e categóricas, estabelecendo um novo marco para o fingerprinting de SO baseado em DL.

Direções Futuras

O artigo delineia um trabalho futuro modesto, incluindo:

• Expandir a avaliação para datasets adicionais do mundo real para validar a generalização.
• Investigar abordagens híbridas, como combinar Transformadores com Redes Neurais de Grafos (GNNs) para capturar relações temporais-espaciais.
• Avaliar o desempenho de versões de SO recém-lançadas ou modificadas contra ferramentas tradicionais como o Nmap.
• Explorar o aprendizado por transferência (transfer learning) pré-treinando em datasets maiores e relacionados.
• Integrar os modelos desenvolvidos em ferramentas de cibersegurança práticas (ex: Nmap, Sistemas de Detecção de Intrusão) para aumentar a eficácia operacional.