Detecting Cybersecurity Threats by Integrating Explainable AI with SHAP Interpretability and Strategic Data Sampling

Título: Detecção de Ameaças Cibernéticas Integrando IA Explicável com Interpretabilidade SHAP e Amostragem Estratégica de Dados

1. O Problema

A crescente sofisticação e volume de ataques cibernéticos transformaram a segurança de rede em um problema complexo de detecção baseada em dados. Embora os modelos de Machine Learning (ML) ofereçam alta precisão, sua implementação prática em Centros de Operações de Segurança (SOCs) enfrenta três barreiras críticas:

• Natureza de "Caixa Preta": Modelos complexos (como ensembles e deep learning) carecem de transparência, dificultando que analistas validem e confiem nas decisões durante a resposta a incidentes.
• Escalabilidade de Dados: Conjuntos de dados massivos (como o CIC-IDS2017 com mais de 2,8 milhões de registros) impõem custos computacionais proibitivos para o desenvolvimento iterativo de modelos.
• Integridade Experimental: A falta de rigor na prevenção de "vazamento de dados" (data leakage) e o uso inadequado de divisões temporais podem inflar artificialmente as métricas de desempenho, criando modelos que não funcionam em cenários reais de implantação.

2. Metodologia

Os autores propõem um framework integrado de IA Explicável (XAI) que aborda o pipeline completo de detecção de intrusões, focando em três pilares principais:

• Amostragem Estratégica (Strategic Sampling):

  • Em vez de usar o conjunto de dados completo ou técnicas de oversampling sintético (como SMOTE), o framework utiliza uma amostragem estratificada que preserva a distribuição original das classes (incluindo ataques raros).
  • Reduziu o conjunto CIC-IDS2017 de 2,83 milhões para 470.269 amostras (20%), mantendo a integridade estatística e permitindo iteração rápida.

• Prevenção Automatizada de Vazamento de Dados:

  • Implementou um processo rigoroso de validação temporal, dividindo os dados cronologicamente (4 dias para treino, 1 dia para teste) para simular cenários reais onde o modelo deve prever o futuro.
  • Identificou e removeu automaticamente 29 recursos "vazados" (37% do conjunto original) que apresentavam correlação quase perfeita com o alvo ou continham informações futuras, garantindo que o modelo não aprendesse "truques" estatísticos inválidos.

• Seleção de Recursos e Algoritmos:

  • Seleção de Recursos: Comparou os métodos MRMR (Maximum Relevance Minimum Redundancy) e Chi2. O MRMR com redução de 70% (mantendo 34 recursos) foi selecionado como o mais eficiente.
  • Algoritmos: Avaliou XGBoost, Random Forest e Regressão Logística sob três configurações de divisão de dados (40-10-50, 60-10-30, 80-10-10).
  • Integração XAI: Utilizou SHAP (SHapley Additive exPlanations) para fornecer interpretabilidade agnóstica ao modelo, gerando explicações globais e locais para cada previsão.

3. Principais Contribuições

1. Framework Unificado: Uma abordagem holística que combina amostragem estratégica, prevenção de vazamento e XAI integrada, preenchendo lacunas de pesquisas anteriores que otimizavam apenas um aspecto isolado.
2. Validação Multi-Configuração: Um método robusto de validação que testa a generalização do modelo sob diferentes volumes de dados de treinamento, identificando a configuração 60-10-30 como a ideal.
3. Otimização de Recursos: Demonstrou que a redução de dimensionalidade via MRMR não apenas acelera o treinamento, mas pode melhorar o desempenho do modelo (aumento de 0,05% no F1-Macro).
4. Transparência Operacional: O uso de SHAP permite que analistas de segurança entendam por que uma ameaça foi detectada, facilitando a resposta a incidentes e a criação de regras de segurança.

4. Resultados

O framework foi testado no dataset CIC-IDS2017 com os seguintes resultados notáveis:

• Desempenho de Precisão: O modelo XGBoost otimizado alcançou 99,92% de precisão e 99,77% de F1-Macro.
• Eficiência Computacional:
  • Redução de 30,6% nos recursos (de 78 para 34) resultou em um tempo de treinamento 36,7% mais rápido (de 33,90s para 21,47s).
  • Velocidade de inferência de 324.913 previsões por segundo, viabilizando aplicações em tempo real.
• Robustez: O modelo manteve alta performance em classes minoritárias (ataques raros como FTP-Patator e DoS GoldenEye), com ROC-AUC próximo de 1,0 para todas as classes.
• Validação Estatística: A análise de SHAP revelou que métricas de taxa de fluxo (Flow_Bytes/s, Flow_Packets/s) e estatísticas de tamanho de pacote são os indicadores mais robustos e agnósticos de modelos para detecção de anomalias.

5. Significância e Impacto

Este trabalho é significativo porque move a pesquisa em detecção de intrusão de meros exercícios de otimização de precisão para a viabilidade operacional.

• Confiabilidade: Ao eliminar o vazamento de dados e usar divisões temporais realistas, os resultados refletem o desempenho esperado em produção, não apenas em benchmarks artificiais.
• Adoção em SOC: A integração de explicações claras (XAI) resolve o problema da "caixa preta", permitindo que analistas humanos confiem e ajam sobre as alertas gerados pela IA.
• Escalabilidade: A metodologia de amostragem estratégica oferece um caminho para lidar com grandes volumes de dados de rede sem sacrificar a integridade estatística ou a capacidade de detecção.

Em suma, o artigo estabelece um novo padrão para o desenvolvimento de sistemas de detecção de intrusão (IDS) que são simultaneamente precisos, eficientes computacionalmente e transparentes, preparando o terreno para a implantação de IA confiável em ambientes de segurança cibernética corporativa.