An Optimized Decision Tree-Based Framework for Explainable IoT Anomaly Detection

Resumo Técnico: Uma Estrutura Baseada em Árvore de Decisão Otimizada para Detecção de Anomalias em IoT Explicável

Declaração do Problema
A rápida proliferação de dispositivos de Internet das Coisas (IoT) expandiu significativamente a superfície de ataque cibernético, necessitando de Sistemas de Detecção de Intrusão (IDS) robustos. No entanto, as soluções atuais de IDS para IoT enfrentam uma tríade crítica de desafios: frequentemente lutam com dados de alta dimensão e desbalanceados, incorrem em custos computacionais muito altos para dispositivos de borda com recursos limitados e carecem de interpretabilidade. A natureza de "caixa preta" de muitos modelos de alto desempenho (como os ensembles de aprendizado profundo) mina a confiança e dificulta a conformidade com as regulamentações emergentes de transparência de IA. Consequentemente, há uma necessidade urgente de uma estrutura leve, precisa e transparente, capaz de implantação em tempo real em dispositivos de borda.

Metodologia
Os autores propõem uma estrutura centrada em um classificador de Árvore de Decisão (DT) otimizado, integrado com técnicas de IA Explicável (XAI) para garantir a transparência. A metodologia segue um pipeline estruturado:

1. Coleta e Pré-processamento de Dados: O estudo utiliza o conjunto de dados WUSTL-EHMS-2020, composto por 16.318 amostras normais, 1.124 amostras de spoofing e 922 amostras de alteração de dados. O pré-processamento envolve a remoção de duplicatas, codificação de rótulos para variáveis categóricas e o tratamento de outliers via técnica de Intervalo Interquartil (IQR) (substituindo outliers pela média). As características são normalizadas usando a normalização z-score para garantir a estabilidade do treinamento.
2. Seleção de Características: Para reduzir a dimensionalidade e aumentar a generalização, os autores empregam um processo de seleção de duas etapas:
   • Teste Qui-Quadrado: Características com p-valores > 0,05 são descartadas para remover variáveis irrelevantes.
   • Eliminação Recursiva de Características (RFE) com Validação Cruzada: Isso identifica o subconjunto de características mais preditivas. A análise de correlação de Pearson refina ainda mais a seleção, retendo características com p-valores ajustados < 0,05.
3. Balanceamento de Dados: Para abordar o desbalanceamento de classes no conjunto de treinamento, as classes minoritárias (Spoofing e Alteração de Dados) são sobreamostradas via sobreamostragem aleatória para igualar a classe majoritária (Normal), resultando em um conjunto de treinamento balanceado de 34.272 amostras.
4. Treinamento do Modelo e Comparação com Baselines: Uma injeção de ruído Gaussiano (15% do desvio padrão original) é aplicada para simular a variabilidade do mundo real. A DT otimizada proposta é treinada e comparada com classificadores de base: Random Forest, K-Nearest Neighbors (KNN), Multi-Layer Perceptron (MLP) e CatBoost.
5. Integração de Explicabilidade: A estrutura incorpora dois métodos de XAI:
   • SHAP (SHapley Additive exPlanations): Fornece atribuição de características local e global.
   • Análise de Sensibilidade de Morris: Identifica a importância global das características medindo o efeito geral das perturbações de entrada, incluindo efeitos não lineares e interações.

Principais Contribuições

• Estrutura de Árvore de Decisão Otimizada: Desenvolvimento de um classificador DT leve especificamente ajustado para ambientes IoT, equilibrando alta precisão com baixo custo computacional.
• Pipeline de Pré-processamento Abrangente: Implementação de um pipeline robusto incluindo redução de ruído, normalização e tratamento de desbalanceamento de classes adaptado para o tráfego de IoT.
• Explicabilidade de Modo Duplo: Integração de SHAP e análise de sensibilidade de Morris para fornecer transparência tanto local (nível de instância) quanto global (nível de modelo), abordando a limitação da "caixa preta" de modelos complexos.
• Validação Pronta para a Borda (Edge-Ready): Demonstração de que o modelo proposto alcança desempenho de estado da arte enquanto mantém velocidades de inferência adequadas para dispositivos de borda com recursos limitados, ao contrário de alternativas de ensemble ou aprendizado profundo mais pesadas.

Resultados
A estrutura proposta foi avaliada em um conjunto de teste e via validação cruzada de 5 dobras, produzindo as seguintes métricas de desempenho:

• Acurácia: 99,91% no conjunto de teste; 98,93% de acurácia média na validação cruzada.
• F1-Score: 99,51%.
• Coeficiente Kappa de Cohen: 0,9960.
• Estabilidade: O modelo demonstrou estabilidade excepcional com um desvio padrão de validação cruzada de apenas 0,0003, superando Random Forest, KNN, MLP e CatBoost em consistência.
• Eficiência: A DT otimizada exibiu tempos mínimos de treinamento e inferência em comparação com modelos de ensemble, tornando-a superior para aplicações em tempo real.

Insights de Importância de Características
Tanto o SHAP quanto a análise de sensibilidade de Morris identificaram o SrcMac (Endereço MAC de Origem) como o preditor mais significativo em todas as classes. Outras características altamente influentes incluíram SIntPkt (Tempo entre pacotes de origem) e DIntPção (Tempo entre pacotes de destino). Por outro lado, características como DstLoad, Rate, Load e jitter foram encontradas com impacto negligenciável nas previsões.

Significância e Alegações
O artigo afirma que esta estrutura resolve com sucesso o compromisso entre qualidade de detecção, interpretabilidade do modelo e eficiência computacional. Ao alcançar uma precisão quase perfeita (99,91%) mantendo-se computacionalmente leve, a solução posiciona-se como uma alternativa viável aos métodos baseados em aprendizado profundo e blockchain, que frequentemente sofrem com alto overhead e baixa escalabilidade. A integração de XAI garante que o processo de decisão seja transparente, promovendo a confiança e permitindo a adesão às regulamentações de transparência de IA. Os autores concluem que esta combinação de alta precisão, explicabilidade e baixo consumo de recursos torna a estrutura uma ferramenta confiável para detecção de anomalias em tempo real em ambientes IoT com recursos limitados. Sugere-se que trabalhos futuros incluam processos de aprendizado adaptativo e validação em conjuntos de dados mais amplos do mundo real.