INTACT: Intent-Aware Representation Learning for Cryptographic Traffic Violation Detection

Resumo Técnico: INTACT

1. O Problema

O monitoramento de segurança em redes criptografadas (SSL/TLS, VPN) enfrenta um desafio fundamental: a maioria dos sistemas atuais trata a detecção de anomalias como um problema de detecção estatística de raridade. Esses modelos aprendem a distinguir comportamentos "normais" de "anormais" baseando-se em desvios de distribuições de dados observadas.

No entanto, em ambientes de segurança reais, as violações não são definidas pela sua raridade estatística, mas sim por restrições de políticas explícitas. Exemplos incluem:

• Proibição de reutilização de chaves criptográficas.
• Prevenção de downgrade de algoritmos (negociação de cifras fracas).
• Limites de tempo de vida (lifetime) de chaves.

Existe uma incompatibilidade conceitual: um fluxo de dados pode ser estatisticamente comum, mas violar uma política específica (ex: uma chave usada por muito tempo em um contexto onde o limite é curto). Os métodos convencionais falham em incorporar essas semânticas de política diretamente no processo de aprendizado, resultando em baixa interpretabilidade e dificuldade de adaptação a novas regras sem retreinamento completo.

2. Metodologia: O Framework INTACT

O artigo propõe o INTACT (INTent-Aware Cryptographic Traffic), um framework que reformula a detecção de violações como um problema de aprendizado de restrições condicionais.

• Formulação Matemática:
  Em vez de estimar uma probabilidade estática $P(y=1|x)$ (onde $x$ são os recursos do tráfego), o INTACT modela a probabilidade de violação condicionada tanto ao comportamento observado quanto à intenção declarada:
  $$f(x, z) \approx P(y = 1 | x, z)$$
  Onde:

  • $x$: Representação comportamental do tráfego (ex: duração, tamanho de pacotes, contagem de operações).
  • $z$: Codificação estruturada da intenção de segurança (ex: limite de tempo de vida, proibição de reuso, restrição de downgrade).

• Arquitetura Neural Dual-Branch:
  O modelo utiliza uma arquitetura de rede neural que fatoriza o aprendizado de representações em dois codificadores distintos:

  1. Codificador Comportamental (Behavioral Encoder): Processa os recursos brutos do tráfego (fluxos de rede ou traços criptográficos) para gerar um embedding comportamental ($h_b$).
  2. Codificador de Intenção (Intent Encoder): Processa os parâmetros da política de segurança (ex: thresholds numéricos ou categorias de violação) para gerar um embedding semântico ($h_z$).
  3. Camada de Fusão: Os vetores $h_b$ e $h_z$ são concatenados e passados por camadas densas para produzir uma pontuação de violação (probabilidade).

• Diferenciação Chave:
  Ao contrário de classificadores supervisionados estáticos que aprendem um limite de decisão fixo, o INTACT aprende uma família de limites de decisão parametrizados pela política. Isso permite que o mesmo modelo se adapte a diferentes configurações de segurança apenas alterando a entrada $z$, sem necessidade de retreinamento.

3. Dados e Protocolo Experimental

A avaliação foi realizada em dois conjuntos de dados complementares para cobrir validade ecológica e controle rigoroso:

1. Conjunto de Dados Real (Fluxos de Rede):

   • Fonte: Tráfego corporativo real (2,8 milhões de registros).
   • Foco: Detecção de violação de tempo de vida (lifetime) baseada em um limiar estatístico (95º percentil de duração de fluxos benignos).
   • Desafio: Deslocamento de distribuição (covariate shift) simulado pela escalonamento da duração dos fluxos.

2. Conjunto de Dados Sintético (Traços Criptográficos):

   • Fonte: 210.000 traços gerados proceduralmente com 4,2 milhões de operações.
   • Controle: Permite a injeção precisa de três tipos de violações independentes ou compostas:
     • Reutilização de Chave (Key Reuse).
     • Downgrade de Algoritmo.
     • Excesso de Tempo de Vida (Lifetime).
   • Vantagem: Fornece ground truth completo e permite testar a separabilidade de violações relacionais complexas.

4. Resultados Principais

O INTACT foi comparado com baselines não supervisionados (Autoencoders, Deep SVDD, Isolation Forest) e supervisionados (Redes Neurais Feedforward).

• Desempenho no Dataset Real:

  • O INTACT alcançou uma discriminação quase perfeita (AUROC = 1.0000) na detecção de violações de tempo de vida, igualando ou superando os baselines supervisionados.
  • Sob deslocamento de distribuição (escalas de duração), o modelo manteve alta robustez (AUROC > 0.96), embora métricas dependentes de limiar (F1) tenham sofrido ligeira degradação devido à calibração, um fenômeno comum em todos os modelos testados.

• Desempenho no Dataset Sintético (Multi-Intenção):

  • Reutilização de Chave: Métodos não supervisionados falharam (AUROC ~0.50-0.60) pois não conseguem capturar dependências relacionais entre traços. O INTACT, condicionando a intenção, alcançou AUROC = 0.7820, superando significativamente os métodos baseados apenas em magnitude.
  • Downgrade e Lifetime: O modelo atingiu desempenho perfeito (AUROC = 1.0000), igualando os baselines supervisionados.
  • Conclusão: A condicionamento explícito de intenção melhora a detecção de violações relacionais e compostas, onde métodos estatísticos puros falham.

5. Contribuições e Significância

• Mudança de Paradigma Conceitual: O trabalho desloca a detecção de anomalias de uma estimativa de densidade estatística ($P(x)$) para uma inferência de restrição condicional ($P(y|x, z)$). A política de segurança torna-se uma variável de entrada de primeira classe.
• Interpretabilidade e Adaptabilidade: Ao separar o comportamento da intenção, o modelo oferece uma semântica clara sobre por que uma violação ocorreu (baseada na política $z$) e permite a adaptação a novas políticas operacionais sem retreinamento do modelo base.
• Robustez Relacional: Demonstra que a incorporação de semânticas de política é crucial para detectar violações que não são outliers estatísticos, mas sim violações de regras relacionais (como reuso de chaves).
• Validação Empírica: A combinação de dados reais e sintéticos controlados valida que o INTACT não apenas funciona em cenários teóricos, mas também em tráfego de rede real, oferecendo uma base escalável para monitoramento criptográfico em ambientes de rede orientados a políticas (Intent-Based Networking).

Em suma, o INTACT estabelece que a detecção de violações em tráfego criptografado deve ser tratada como a aprendizagem de um operador de restrição diferenciável, alinhando a inteligência artificial diretamente com as regras de segurança definidas pelos administradores de rede.