Enhancing Adversarial Robustness of IoT Intrusion Detection via SHAP-Based Attribution Fingerprinting

1. Problema e Contexto

A proliferação de dispositivos da Internet das Coisas (IoT) expandiu significativamente a superfície de ataque, tornando as redes vulneráveis a ameaças cibernéticas sofisticadas. Embora os Sistemas de Detecção de Intrusão (IDS) baseados em Aprendizado de Máquina (ML) e Aprendizado Profundo (DL) sejam eficazes na detecção de padrões complexos, eles apresentam duas falhas críticas:

• Falta de Interpretabilidade: Funcionam como "caixas pretas", dificultando a confiança e a auditoria.
• Vulnerabilidade a Ataques Adversariais: Ataques projetados para manipular os dados de entrada (perturbações imperceptíveis) podem enganar o modelo, causando falsos negativos (evasão) ou falsos positivos.

As defesas existentes (como treinamento adversarial) frequentemente envolvem compromissos, como aumento de custo computacional, redução de precisão em dados limpos e falta de transparência. Além disso, há uma lacuna na aplicação de métodos explicáveis especificamente para ambientes de IoT com recursos limitados.

2. Metodologia Proposta

Os autores propõem um modelo de detecção de intrusão não supervisionado que utiliza Impressões Digitais de Atribuição Baseadas em SHAP (SHAP-based Attribution Fingerprinting) para distinguir entre tráfego de rede limpo e tráfego adversarial.

O fluxo de trabalho é dividido em duas etapas principais:

A. Geração de Impressões Digitais de Atribuição (Attribution Fingerprinting)

• Utiliza o método DeepExplainer do framework SHAP (Shapley Additive exPlanations) para calcular os valores de Shapley de cada recurso (feature) de entrada para um modelo de rede neural feedforward (FFNN).
• Em vez de usar os dados brutos, o sistema extrai vetores de atribuição (SHAP values) que representam a contribuição de cada recurso para a decisão do modelo.
• A premissa central é que, embora os ataques adversariais pareçam semelhantes aos dados limpos no espaço de entrada, eles distorcem sutilmente o raciocínio interno do modelo, resultando em padrões de atribuição anômalos (mudanças na importância e classificação dos recursos).

B. Modelo de Detecção de Intrusão Adversarial

• Um Autoencoder Profundo é treinado exclusivamente com vetores de atribuição SHAP derivados de dados limpos (benignos).
• O autoencoder aprende a reconstruir a distribuição normal dos padrões de atribuição.
• Inferência: Durante a operação, os vetores SHAP de novos dados de entrada são passados pelo autoencoder.
  • Se o erro de reconstrução for baixo (dentro de um limiar $\tau$), o dado é classificado como limpo.
  • Se o erro de reconstrução for alto (indicando que o padrão de atribuição se desvia do aprendido), o dado é classificado como adversarial.
• O método não requer dados de ataque rotulados para o treinamento do detector, tornando-o adaptável e eficiente.

3. Principais Contribuições

1. Modelo Não Supervisionado Inovador: Um modelo de rede neural que utiliza impressões digitais SHAP para detectar ataques sem necessidade de dados de ataque rotulados durante o treinamento.
2. Pipeline de Geração de Impressões Digitais: Um fluxo completo que processa tráfego IoT, gera amostras adversariais e computa fingerprints SHAP para análise de impacto e treinamento.
3. Análise de Deslocamento de Rank (Rank Shift): Investigação detalhada de como diferentes ataques (FGSM, PGD, DeepFool) alteram a importância relativa dos recursos, revelando padrões comportamentais específicos de cada ataque.
4. Melhoria na Transparência e Confiabilidade: Ao integrar IA Explicável (XAI), o sistema oferece insights sobre as decisões do modelo, aumentando a confiança do usuário e a accountability do IDS.

4. Resultados Experimentais

O modelo foi avaliado no conjunto de dados de referência CIC-IoT2023, comparado contra um modelo de linha de base treinado adversarialmente (Adversarially Trained Model). Foram testados três tipos de ataques: FGSM, PGD e DeepFool.

• Desempenho de Detecção: O modelo baseado em SHAP superou significativamente o baseline em todas as métricas.
  • FGSM: Precisão de 0.9955 vs. 0.9713 (baseline).
  • PGD: Recall de 1.0000 (nenhum falso negativo) vs. 0.9210 (baseline).
  • DeepFool: Falso Negativo (FNR) de apenas 0.0096 (96 amostras) vs. 0.3351 (3.351 amostras) no baseline.
• Robustez: O modelo manteve alta precisão em dados limpos (Clean Accuracy $\approx$ 0.9955) e baixas taxas de sucesso de ataque (ASR $\le$ 0.0096), enquanto o baseline sofreu degradação severa sob ataques complexos como DeepFool.
• Análise de Distribuição de Erro: A distribuição do erro de reconstrução mostrou uma separação clara entre dados limpos (concentrados abaixo do limiar) e dados adversariais (com erros significativamente maiores), validando a eficácia do detector.
• Análise de Recursos: O recurso "Number" (índice 37) mostrou-se robusto a perturbações, enquanto recursos como "IAT" e "Total Size" apresentaram grandes deslocamentos de rank, indicando vulnerabilidade.

5. Significado e Conclusão

Este trabalho representa um avanço significativo na segurança de IoT ao demonstrar que a interpretabilidade pode ser usada como uma ferramenta de defesa. Ao focar nas "impressões digitais" de como o modelo toma decisões (atribuição de recursos) em vez de apenas nos dados brutos, o sistema consegue detectar manipulações sutis que escapariam a defesas tradicionais.

Impactos Chave:

• Eficiência em IoT: Não requer retreinamento complexo do modelo principal, sendo viável para ambientes com recursos limitados.
• Confiança: A integração de XAI torna o processo de detecção transparente, essencial para aplicações críticas.
• Resiliência: Oferece uma defesa superior contra uma variedade de ataques adversariais, mantendo a integridade dos dados legítimos.

O artigo conclui sugerindo trabalhos futuros para expandir o modelo para detecção multiclasse, incorporar aprendizado contínuo para ameaças zero-day e otimizar a arquitetura para implantação em tempo real na borda (edge).