A Tsetlin Machine-driven Intrusion Detection System for Next-Generation IoMT Security

1. Problema e Motivação

O Internet das Coisas Médicas (IoMT) está transformando a saúde ao conectar dispositivos, sistemas e serviços, permitindo monitoramento remoto e telemedicina. No entanto, essa conectividade introduz vulnerabilidades críticas de segurança cibernética e riscos à segurança dos pacientes. Ataques como negação de serviço (DoS), varredura de portas (Reconnaissance) e falsificação de identidade (Spoofing) podem comprometer a integridade dos dados e levar a decisões médicas fatais.

Os sistemas de detecção de intrusão (IDS) tradicionais baseados em regras ou assinaturas são limitados por sua incapacidade de detectar ameaças novas e evolutivas. Além disso, as abordagens de Aprendizado de Máquina (ML) e Deep Learning (DL) existentes, embora precisas, muitas vezes operam como "caixas pretas", carecendo de interpretabilidade. Em ambientes médicos, onde a confiança e a transparência são vitais, a falta de explicabilidade sobre como uma decisão de segurança foi tomada é um obstáculo significativo.

2. Metodologia

O artigo propõe um novo IDS baseado na Máquina de Tsetlin (TM), um modelo de aprendizado de máquina baseado em regras e altamente interpretável que utiliza lógica proposicional para modelar padrões de ataque.

• Arquitetura do Sistema: O sistema opera em três etapas:

  1. Preparação de Dados: Coleta de tráfego de rede, limpeza, tratamento de valores ausentes, balanceamento de classes (usando SMOTE para dados de treinamento) e conversão de recursos numéricos em binários (binarização).
  2. Treinamento do Modelo: A TM aprende cláusulas lógicas (positivas e negativas) para distinguir entre tráfego benigno e malicioso. O processo é regulado por parâmetros como limite de votação ($T$) e especificidade ($s$).
  3. Implantação: O tráfego de rede bruto é capturado, extraído em fluxos, binarizado e classificado pelo modelo pré-treinado como "Benigno" ou "Malicioso".

• Interpretabilidade: Diferente de redes neurais, a TM fornece regras lógicas humanas legíveis. O modelo expõe:

  • Pontuações de Voto por Classe: Indicam a força da evidência para cada classe.
  • Mapas de Calor de Ativação de Cláusulas: Mostram quais cláusulas lógicas foram ativadas para tomar uma decisão específica.

• Conjunto de Dados: O estudo utiliza o dataset CICIoMT-2024, que contém tráfego de 40 dispositivos IoMT (reais e simulados) usando protocolos Bluetooth, MQTT e Wi-Fi, cobrindo múltiplos tipos de ataques.

3. Contribuições Principais

• Projeto de um IDS Baseado em TM: Desenvolvimento de um sistema de detecção de intrusão orientado a dados para ambientes IoMT, focado em ser leve e interpretável.
• Avaliação Abrangente: Análise de desempenho em três cenários:
  1. Classificação binária (Bluetooth: Benigno vs. DoS).
  2. Classificação multiclasse (MQTT/Wi-Fi: Benigno vs. 5 tipos de ataques).
  3. Classificação multiclasse combinada (Todos os protocolos: 7 classes).
• Análise de Explicabilidade: Demonstração visual e quantitativa de como as cláusulas lógicas contribuem para as decisões, aumentando a confiança no modelo.
• Comparação com o Estado da Arte: Validação numérica mostrando que a TM supera ou iguala os melhores métodos de ML existentes (como DNN, LSTM, XGBoost) com maior transparência.

4. Resultados Experimentais

Os experimentos foram conduzidos em um ambiente com processador Apple M4, comparando a TM com 8 outros classificadores (Decision Tree, Random Forest, XGBoost, LightGBM, KNN, Naive Bayes, Logistic Regression e Neural Network).

• Cenário 1 (Binário - Bluetooth):

  • A TM alcançou 99,5% de precisão, superando ou empatando com os melhores modelos tradicionais.
  • Tempo de inferência: 0,743 µs (rápido, embora a Regressão Logística fosse mais rápida, com menor precisão).
  • Taxa de Falsos Positivos: 0,02%.

• Cenário 2 (Multiclasse - MQTT/Wi-Fi):

  • A TM alcançou 90,7% de precisão, superando significativamente todos os outros classificadores (o segundo melhor, XGBoost, atingiu 86,2%).
  • Demonstrou forte capacidade de distinguir entre ataques complexos como DoS e DDoS, embora houvesse alguma confusão entre eles devido a características de tráfego semelhantes.

• Cenário 3 (Multiclasse Combinada - 7 Classes):

  • A TM alcançou 88,4% de precisão, novamente superando os concorrentes (XGBoost: 85,1%).
  • Tempo de inferência: 5,413 µs.

• Comparação com Trabalhos Anteriores:

  • O modelo proposto superou abordagens recentes baseadas em DNN e LSTM (citadas em [11] e [12]), especialmente na tarefa de classificação multiclasse, onde os modelos anteriores tiveram desempenho inferior (ex: 73,5% vs 90,7% na tarefa de 6 classes).

5. Significado e Conclusão

O artigo demonstra que a Máquina de Tsetlin é uma solução viável e superior para a segurança de IoMT, oferecendo um equilíbrio único entre alta precisão, eficiência computacional e interpretabilidade.

• Segurança e Confiança: A capacidade de explicar por que um tráfego foi classificado como ataque (através de regras lógicas) é crucial para profissionais de saúde e administradores de rede, permitindo uma resposta mais informada a incidentes.
• Viabilidade em Dispositivos Constrained: A natureza leve e baseada em lógica da TM a torna adequada para dispositivos IoMT com recursos limitados, onde modelos pesados de Deep Learning não seriam práticos.
• Futuro: Os autores planejam validar o modelo em tráfego de rede real coletado em testes físicos e desenvolver conjuntos de dados mais diversificados para fortalecer ainda mais a robustez do IDS.

Em resumo, este trabalho propõe uma mudança de paradigma na segurança do IoMT, substituindo modelos de "caixa preta" por sistemas transparentes e baseados em lógica, sem sacrificar a precisão na detecção de ameaças.