Unknown Attack Detection in IoT Networks using Large Language Models: A Robust, Data-efficient Approach

Título: Detecção de Ataques Desconhecidos em Redes IoT usando Grandes Modelos de Linguagem: Uma Abordagem Robusta e Eficiente em Dados

1. O Problema

A rápida evolução de ciberataques, especialmente ameaças de dia zero (zero-day), representa um desafio crítico para os Sistemas de Detecção de Intrusão (IDS) em redes de Internet das Coisas (IoT). As soluções atuais baseadas em Aprendizado de Máquina (ML) e Aprendizado Profundo (DL) enfrentam limitações severas em cenários reais:

• Dependência de Grandes Conjuntos de Dados: A maioria dos modelos exige milhares de amostras rotuladas por classe para aprender limites de decisão confiáveis, o que é irrealista para ataques emergentes ou raros.
• Incompatibilidade com Tráfego Criptografado: Muitas abordagens dependem da inspeção de payloads (conteúdo dos pacotes), tornando-se ineficazes quando o tráfego está criptografado, uma prática comum na IoT moderna.
• Falha em Cenários de Distribuição Aberta: Modelos otimizados para conjuntos de dados fechados (closed-set) falham ao generalizar para comportamentos não vistos ou ao lidar com deslocamentos de distribuição (distribution shifts) entre diferentes implantações de IoT.
• Escassez de Dados Rotulados: A detecção de ataques desconhecidos em ambientes IoT é exacerbada pela heterogeneidade de dispositivos e pela falta de dados rotulados suficientes para treinamento.

2. Metodologia: SiamXBERT

Os autores propõem o SiamXBERT, uma estrutura de aprendizado meta (meta-learning) baseada em redes Siamesas, impulsionada por um modelo de linguagem transformer especializado em segurança cibernética.

• Arquitetura Híbrida e Extração de Recursos:

  • O modelo não depende de payloads. Em vez disso, utiliza uma representação de dual-modality (dupla modalidade) que integra características de nível de fluxo (flow-level) e nível de pacote (packet-level).
  • Nível de Fluxo: Extraído usando a ferramenta Zeek (21 características), capturando estatísticas temporais e de conexão.
  • Nível de Pacote: Extraído usando a biblioteca DPKT (45 características), focando em cabeçalhos e padrões estruturais.
  • Recursos Derivados: São adicionadas quatro características derivadas para capturar assimetrias de direção e taxas de transferência (ex: razão de bytes, taxa de pacotes originais), essenciais para identificar comportamentos anômalos.
  • Total: 60 características não redundantes após pré-processamento (remoção de IPs/Portas específicas, codificação one-hot e normalização).

• Integração com LLM (SecBERT):

  • As características estruturadas são serializadas em texto (prompts) e processadas pelo SecBERT, um modelo BERT pré-treinado em grandes corpora de segurança cibernética. Isso permite a extração de embeddings semânticos ricos e transferíveis.

• Aprendizado Meta e Rede Siamesa:

  • Em vez de aprender limites de decisão fechados, o modelo aprende uma função de similaridade entre comportamentos benignos e de ataque.
  • Utiliza uma arquitetura Siamesa com perda de triplet (triplet loss), onde o modelo é treinado para aproximar embeddings de amostras da mesma classe (âncora e positivo) e afastar embeddings de classes diferentes (âncora e negativo).
  • O treinamento é dividido em tarefas binárias meta (meta-tasks), onde cada tipo de ataque conhecido é comparado contra tráfego benigno.

• Inferência de Conjunto Aberto (Open-Set):

  • O sistema utiliza um limiar de decisão ($\tau^*$) calibrado via simulação de cenários desconhecidos.
  • Durante a inferência, a similaridade média entre uma consulta (query) e o conjunto de suporte (support set) é calculada. Se a similaridade estiver abaixo do limiar, a amostra é classificada como Ataque Desconhecido; caso contrário, é atribuída à classe conhecida mais provável (via votação majoritária).

3. Principais Contribuições

1. Avaliação Sistemática: Realizaram uma comparação abrangente entre abordagens baseadas em ML, DL e LLM para detecção de ataques conhecidos, fornecendo insights sobre eficiência de dados e escalabilidade.
2. SiamXBERT: Propuseram uma nova arquitetura que combina redes Siamesas com SecBERT para detecção de ataques desconhecidos, alcançando alta precisão mesmo em regimes de poucos dados (few-shot, 100 amostras por classe).
3. Eficiência de Dados e Robustez: Demonstraram que o modelo supera os baselines (estados da arte) em cenários de within-dataset e cross-dataset, exigindo significativamente menos dados de treinamento e sendo compatível com tráfego criptografado.
4. Reprodutibilidade: Liberaram o código-fonte, os modelos e os conjuntos de dados como um pacote de replicação de código aberto.

4. Resultados Experimentais

Os experimentos foram conduzidos nos conjuntos de dados CICIoT2023 e IoT-23, comparando o SiamXBERT com quatro baselines de ponta (ACGAN, SAFE-NID, IDS-Agent, RFG-HELAD).

• Desempenho em Ataques Conhecidos (RQ1):

  • Em cenários de grande escala, modelos baseados em LLM (como SecBERT e BERT) superaram consistentemente modelos tradicionais de ML e DL.
  • Em cenários de pequena escala (poucos dados), modelos de ML baseados em árvores (Random Forest) ainda foram competitivos, mas os LLMs mostraram maior robustez geral.

• Desempenho em Ataques Desconhecidos (RQ2-RQ4):

  • Eficiência de Dados: O SiamXBERT foi treinado com apenas 100 amostras por classe, enquanto os baselines usaram 10% do conjunto de dados (milhares de amostras).
  • Melhoria no F1-Score Desconhecido: O SiamXBERT superou o melhor baseline (IDS-Agent) em 78,8% no CICIoT2023 e em 415,4% no IoT-23 em termos de F1-score para ataques desconhecidos.
  • Generalização Cruzada (Cross-Dataset): O modelo demonstrou forte capacidade de generalização. Quando treinado no IoT-23 e testado no CICIoT2023, alcançou um F1-score de 0,816 para ataques desconhecidos, superando significativamente os baselines.
  • Robustez: O modelo manteve um equilíbrio superior entre precisão e recall, evitando o "erro de confiança excessiva" (overconfidence trap) comum em outros modelos, que frequentemente classificam tráfego desconhecido como benigno com alta confiança.

5. Significância e Conclusão

O trabalho destaca que a detecção de ataques desconhecidos em IoT não precisa depender de grandes volumes de dados rotulados ou da inspeção de conteúdo criptografado.

• Viabilidade Prática: O SiamXBERT oferece uma solução viável para ambientes IoT reais, onde a criptografia é ubíqua e os dados rotulados são escassos.
• Mudança de Paradigma: A abordagem valida que o uso de representações semânticas aprendidas por LLMs, combinadas com aprendizado de métricas (similaridade), é superior à classificação fechada tradicional para cenários de segurança aberta.
• Futuro: Os autores planejam expandir a avaliação para mais conjuntos de dados do mundo real e incorporar dinâmicas temporais e contexto de nível de dispositivo para aprimorar ainda mais a detecção.

Em resumo, o SiamXBERT estabelece um novo estado da arte para a detecção robusta e eficiente de ameaças desconhecidas em redes IoT, superando as limitações de dados e criptografia que afetam as soluções atuais.