Predicting Tail-Risk Escalation in IDS Alert Time Series

Resumo Técnico: Predição de Escalada de Risco de Cauda em Séries Temporais de Alertas de IDS

Definição do Problema
Defensores de redes enfrentam um fluxo contínuo de alertas de Sistemas de Detecção de Intrusão (IDS), o que frequentemente leva à "fadiga de alertas", onde o volume e a variabilidade dos alertas excedem a capacidade de triagem humana. Enquanto a pesquisa tradicional foca em classificar alertas individuais ou correlacioná-los para reduzir o ruído, as falhas operacionais no monitoramento de segurança são frequentemente impulsionadas não por taxas típicas de fundo, mas por surtos episódicos que sobrecarregam analistas e pipelines automatizados. A questão central de pesquisa é se a microestrutura temporal de curto prazo das chegadas de alertas de IDS contém informações preditivas sobre transições iminentes para regimes de alta intensidade extrema (eventos de risco de cauda) que impulsionam o risco operacional.

Metodologia
Os autores abordam este problema reformulando o fluxo de alertas de IDS como uma tarefa de previsão de séries temporais, aplicando especificamente métodos de previsão de regime extremo emprestados da modelagem financeira.

1. Conjunto de Dados e Estratificação:

   • O estudo utiliza 251 milhões de alertas de IDS Suricata coletados ao longo de três meses de uma grande rede universitária pública dos EUA.
   • Para gerenciar a heterogeneidade, os alertas são estratificados por severidade (Crítica, Alta, Média, Baixa, Desconhecida), que foi selecionada como o eixo ideal devido à alta completude de campos e comportamento temporal estável em comparação com mapeamentos de protocolo ou MITRE ATT&CK.
   • Os alertas brutos são agregados em séries de contagem por minuto, $N(t)$.

2. Engenharia de Atributos (Feature Engineering):
   Os autores derivam três atributos temporais interpretáveis da intensidade suavizada dos alertas $\lambda(t)$ (calculada via uma média móvel exponencial):

   • Intensidade ($\lambda_t$): A taxa suavizada de chegada de alertas.
   • Momento de Curto Prazo ($m_t$): A primeira diferença padronizada da intensidade, capturando mudanças direcionais (aceleração ou desaceleração) no volume de alertas.
   • Volatilidade Móvel ($v_t$): O desvio padrão do momento sobre uma janela móvel, medindo a incerteza local ou instabilidade no processo de chegada.
   • Nota: Tentativas iniciais de modelar os dados usando processos estocásticos paramétricos (ex: processos de Hawkes) mostraram que, embora a autoexcitação exista em escalas de tempo muito finas (1–2 minutos), ela diminui em resoluções operacionais de nível de minuto. Isso motivou uma mudança para atributos engenheirados para previsão supervisionada.

3. Estrutura de Predição:

   • Definição do Alvo: O problema é formulado como uma tarefa de classificação binária: prever se a intensidade de alertas nos próximos 30 minutos excederá o percentil 95 ($P_{95}$) da distribuição de intensidade. Isso serve como um análogo de Valor em Risco (VaR) para o risco operacional.
   • Modelo: Um classificador XGBoost (Gradient-Boosted Decision Trees) é treinado no vetor de atributos $(\lambda_t, m_t, v_t)$.
   • Validação: Uma divisão cronológica estrita (70% treinamento, 30% teste) é utilizada para evitar vazamento temporal de dados. Uma etapa de "purga" remove pontos de dados dentro de 30 minutos da fronteira entre treino e teste para garantir que nenhuma informação futura contamine o conjunto de treinamento.

Principais Resultados
O modelo demonstra um forte desempenho preditivo em todos os estratos de severidade, alcançando aproximadamente 91% de acurácia, 89% de recall e 98% de precisão na tarefa agregada.

• Importância dos Atributos (Estudo de Ablação):

  • Intensidade ($\lambda_t$) é o sinal preditivo dominante. Removerlo causa o colapso do desempenho (ex: os escores F1 caem para próximo de zero para vários estratos).
  • Volatilidade e Momento fornecem valor complementar, não essencial, mas significativo. Sua inclusão gera as melhorias mais substanciais para os estratos de alta severidade (ex: um aumento de 97% no F1 para o estrato "Crítico" ao adicionar atributos temporais apenas à intensidade).
  • A combinação de todos os três atributos permite que o modelo distinga entre atividade de fundo estável, fases de "acumulação" (momento positivo com volatilidade moderada) e eventos de "surto" (alta volatilidade e alto momento).

• Visualização:
  Os autores desenvolveram uma visualização de prova de conceito que sobrepõe probabilidades de risco de cauda à intensidade de alertas ao vivo. Esta ferramenta permite que operadores visualizem pontuações de risco através de diferentes estratos de severidade simultaneamente, identificando quais tipos específicos de ataques estão escalando antes que ocorra um surto completo.

Significância e Contribuições
O artigo afirma fornecer a primeira aplicação de expectativa condicional de cauda preditiva a dados de detecção de intrusão. Suas principais contribuições são:

1. Medição de Risco Temporal: Estabelece um framework para quantificar o risco de chegada de ameaças analisando a microestrutura temporal dos fluxos de alertas, indo além da classificação estática de alertas.
2. Alerta Precoce Operacional: Demonstra que existem "sinais de acumulação" mensuráveis (combinações de intensidade, volatilidade e momento) que precedem surtos de alertas, permitindo o planejamento proativo de recursos (ex: pré-alocação de atenção de analistas) em vez de uma triagem reativa.
3. Interpretabilidade: Ao utilizar atributos engenheirados e XGBoost, o modelo oferece uma fronteira de decisão interpretável no plano volatilidade-momento, permitindo que defensores entendam por que um aviso é disparado.

Modéstia e Limitações
Os autores enquadram explicitamente estes resultados como uma prova de conceito, e não como um sistema de alerta precoce universal definitivo. Eles reconhecem várias limitações:

• O estudo depende de uma única família de modelos (XGBoost) e um único limiar de evento extremo (percentil 95).
• A análise foca exclusivamente no risco volumétrico (contagens de alertas) e não integra atualmente o comportamento do adversário, transições de técnicas ou dependências entre estratos.
• Tentativas iniciais de usar Modelos Ocultos de Markov (HMMs) e Modelos de Mistura Gaussiana falharam em generalizar, sugerindo que fluxos de IDS podem exigir um agrupamento temporal mais flexível do que os modelos paramétricos padrão fornecem.
• O estudo não afirma identificar "precursores universais", mas sim mostra que atributos simples e interpretáveis podem distinguir padrões de ataque acelerados com alta precisão.

O trabalho conclui que, embora não resolva todo o problema da fadiga de alertas, ele valida que a telemetria de IDS contém informações temporais de curto horizonte estatisticamente mensuráveis, suficientes para prever transições para regimes de volume extremo.