AMDS: Attack-Aware Multi-Stage Defense System for Network Intrusion Detection with Two-Stage Adaptive Weight Learning

1. Problema e Motivação

Os Sistemas de Detecção de Intrusão Baseados em Rede (NIDS) que utilizam aprendizado de máquina (ML) são vulneráveis a ataques adversariais. Esses ataques envolvem perturbações cuidadosamente construídas no tráfego de rede que são imperceptíveis para analistas humanos, mas degradam significativamente o desempenho da classificação.

O artigo identifica quatro limitações principais nas defesas existentes:

1. Tratamento do desacordo como ruído: Métodos de ensemble tratam a divergência entre modelos como ruído a ser eliminado, em vez de um sinal informativo de manipulação adversarial.
2. Estratégias uniformes: As defesas atuais aplicam a mesma estratégia de detecção para todos os tipos de ataques, ignorando a heterogeneidade entre ataques baseados em gradiente (ex: FGSM, PGD) e ataques de deslocamento de distribuição (ex: injeção de características, morfologia).
3. Dependência de conhecimento prévio: Defesas específicas para ataque geralmente assumem que o tipo de ataque é conhecido previamente.
4. Função única: Sistemas existentes geralmente fornecem apenas detecção (binária) ou classificação, mas não ambos simultaneamente.

2. Metodologia: O Sistema AMDS

O AMDS (Attack-Aware Multi-Stage Defense System) é uma arquitetura unificada que integra quatro componentes principais para criar uma defesa adaptativa em duas etapas:

A. Ensemble Consciente de Adversários

O sistema utiliza um ensemble de seis classificadores heterogêneos (árvores de decisão, Random Forest, XGBoost, LightGBM, Regressão Logística e MLP).

• Sinal de Desacordo: Calcula a variância das previsões de probabilidade entre os modelos. A premissa é que perturbações adversariais afetam modelos diversos de forma desigual, gerando um desacordo elevado.

B. Roteador em Cascata (Cascade Router)

Para eficiência computacional, o sistema tria as amostras em três estágios:

1. Filtragem Rápida: Amostras com alta confiança e baixo desacordo são classificadas imediatamente.
2. Cálculo de Pontuação de Suspeita (ADS): Amostras suspeitas passam por um cálculo de pontuação combinando três sinais.
3. Verificação Profunda: Amostras altamente suspeitas passam por detecção adaptativa e ponderação de modelos.

C. Pontuação de Suspeita Orientada por Ataque (ADS) e Detecção em Duas Etapas

O ADS combina três sinais normalizados através de pesos aprendidos:

• Entropia ($H$): Incerteza da previsão do ensemble.
• Desacordo ($D$): Variância entre os modelos.
• Anomalia ($A$): Distância de Mahalanobis em relação à distribuição de tráfego benigno.

Mecanismo de Duas Etapas:

1. Etapa 1 (Inferência Genérica e Categorização): Calcula uma pontuação genérica e infere a categoria do ataque (Baseado em Gradiente vs. Deslocamento de Distribuição) com base no escore de anomalia.
2. Etapa 2 (Refinamento Específico): Recalcula a pontuação de suspeita utilizando pesos otimizados especificamente para a categoria inferida. Isso permite compensar fraquezas em pesos individuais de ataques específicos.

D. Ponderação de Modelo Adaptativa ao Ataque

O sistema ajusta dinamicamente os pesos dos modelos do ensemble com base na categoria de ataque inferida. Modelos que performam melhor contra uma categoria específica recebem maior peso. Para evitar dependência excessiva em inferências de baixa confiança, os pesos adaptativos são mesclados com pesos uniformes.

E. Arquitetura de Dupla Saída

O sistema produz simultaneamente:

1. Detecção Adversarial: Binária (Limpo vs. Adversarial).
2. Classificação de Ataque: Multiclasse (identificação do tipo de tráfego/ataque).

3. Principais Contribuições

1. Integração Multi-Sinal: Demonstrou que nenhum sinal único (desacordo, entropia ou anomalia) é suficiente (AUCs individuais de 0,138–0,549), mas a combinação ponderada aprendida atinge 97,1% de AUC.
2. Padrões de Detecção Específicos: Identificou que ataques baseados em gradiente são melhor detectados por desacordo (peso médio $\beta \approx 0,45$), enquanto ataques de deslocamento de distribuição são heterogêneos (Injeção depende de entropia; Morfologia depende de anomalia).
3. Mecanismo de Duas Etapas: A abordagem de refinamento por categoria superou métodos puramente genéricos (+36,3 pontos de AUC) e puramente específicos (+17,2 pontos de AUC), atingindo 94,2% de AUC geral.
4. Inteligência de Ameaças Dupla: Oferece detecção e classificação simultâneas, com 100% de precisão na categorização das 7 categorias de ataques avaliadas.
5. Superioridade sobre Treinamento Adversarial: Mostrou que o treinamento adversarial padrão (PGD) oferece benefício mínimo sobre ensembles padrão, enquanto o AMDS supera significativamente ambas as abordagens.

4. Resultados Experimentais

Os testes foram realizados no dataset CSE-CIC-IDS2018 (7 classes, 77 características) e validados no UNSW-NB15.

• Desempenho Geral: O AMDS alcançou 84,8% de precisão e 71,7% de F1-score.
• Comparação com Baselines:
  • Superou o Ensemble Padrão em +3,9 pontos de precisão.
  • Superou o Ensemble com Treinamento Adversarial (AT) em +4,5 pontos de precisão e +9,0 pontos de F1-score.
  • O Treinamento Adversarial por si só mostrou desempenho inferior ao Ensemble Padrão (-0,6 pontos de precisão).
• Resistência a Ataques de Deslocamento de Distribuição: O AMDS obteve ganhos massivos em ataques de injeção (+30,4 pontos de precisão vs. AT) e morfologia, onde o treinamento adversarial falhou.
• Ataques Adaptativos (White-Box): Sob ataques adaptativos com conhecimento total da arquitetura, o AMDS manteve 94,4% de precisão com uma taxa de sucesso do ataque de apenas 4,2%.
• Eficiência: O roteador em cascata reduziu o custo computacional de operações caras (distância de Mahalanobis) em 76,5%, mantendo a mesma precisão.
• Generalização: Em datasets de alta dimensionalidade (UNSW-NB15), a eficácia diminuiu quando a força do ataque (escala com $\sqrt{d}$) superou a capacidade do modelo base, indicando que a competência do modelo base é um pré-requisito para a defesa.

5. Significado e Conclusão

O trabalho demonstra que a otimização específica para o tipo de ataque, combinada com a integração de múltiplos sinais e defesa em duas etapas, é uma abordagem mais prática e eficaz para robustez adversarial em NIDS do que o treinamento adversarial tradicional.

O AMDS fornece não apenas uma defesa robusta, mas também inteligência acionável sobre a natureza do ataque. No entanto, o artigo destaca limitações importantes: a necessidade de exemplos adversariais para o aprendizado de pesos, a suposição de uma taxonomia binária de ataque (gradiente vs. distribuição) e a dependência da competência do modelo base em espaços de características de alta dimensão. O estudo sugere que futuras pesquisas devem focar em adaptação online de pesos e integração com técnicas de robustez certificada.