SE-Enhanced ViT and BiLSTM-Based Intrusion Detection for Secure IIoT and IoMT Environments

1. Problema e Contexto

O crescimento acelerado de dispositivos interconectados nas esferas da Internet das Coisas Industrial (IIoT) e da Internet das Coisas Médicas (IoMT) trouxe desafios críticos de segurança. A natureza heterogênea e altamente conectada dessas redes aumenta a vulnerabilidade a ameaças cibernéticas, como malware, acesso não autorizado e violações de dados.

• Desafio Principal: Os mecanismos de segurança tradicionais (baseados em assinaturas) muitas vezes falham em detectar ameaças avançadas ou em evolução.
• Necessidade: Sistemas de Detecção de Intrusão (IDS) inteligentes e robustos são essenciais para monitorar tráfego de rede, identificar padrões anômalos e responder a tempo real, garantindo a confidencialidade e integridade dos dados em ambientes críticos.

2. Metodologia Proposta

O estudo propõe uma arquitetura híbrida de Aprendizado Profundo (Deep Learning) chamada SE ViT-BiLSTM, projetada para capturar simultaneamente dependências espaciais e temporais no tráfego de rede.

• Arquitetura Híbrida:
  • ViT Otimizado com Squeeze-and-Excitation (SE): Substitui o mecanismo de atenção multi-cabeça tradicional do Vision Transformer (ViT) por um mecanismo de atenção Squeeze-and-Excitation. O bloco SE realiza pooling global médio para capturar informações agregadas de canais, passa por camadas densas para gerar pesos de importância e recalibra as características (features) reescalando-as. Isso melhora a extração de características espaciais.
  • BiLSTM (Long Short-Term Memory Bidirecional): Uma camada BiLSTM processa a sequência de entrada em ambas as direções (frente e trás) para capturar dependências temporais e dinâmicas ao longo do tempo.
  • Fusão de Recursos: As saídas das duas ramificações (ViT-SE e BiLSTM) são concatenadas e passadas por uma camada densa de saída com ativação softmax para classificação multiclasse.
• Pré-processamento de Dados:
  • Codificação de rótulos e características categóricas.
  • Seleção de características (remoção de colunas redundantes e do alvo da entrada).
  • Tratamento de Desequilíbrio de Classes: Aplicação de técnicas de oversampling para equilibrar os conjuntos de dados: SMOTE (Synthetic Minority Over-sampling Technique) para o dataset EdgeIIoT e RandomOverSampler para o subset do CICIoMT2024.
  • Divisão dos dados: 80% para treinamento e 20% para validação.

3. Principais Contribuições

1. Nova Arquitetura Híbrida: Integração inovadora de blocos SE com ViT e BiLSTM para melhorar a extração de características espaciais e a modelagem de dependências temporais.
2. Avaliação em Múltiplos Benchmarks: Teste rigoroso em dois conjuntos de dados reais e recentes: Edge-IIoTset (2022) e CIC-IoMT2024 (2024).
3. Análise de Balanceamento: Comparação detalhada do desempenho antes e depois do balanceamento de dados, demonstrando a eficácia das técnicas SMOTE e RandomOverSampler.
4. Classificação Multiclasse: O modelo visa detectar e classificar com precisão vários tipos de ataques cibernéticos (ex: DDoS, MITM, Injeção, Malware) em diferentes ambientes IoT.
5. Métricas Abrangentes: Avaliação que vai além da acurácia, incluindo FPR (Falso Positivo), latência, perda (loss) e curvas ROC.

4. Resultados Experimentais

Os experimentos foram realizados no Google Colab (GPU T4) por 50 épocas. Os resultados destacam a superioridade do modelo, especialmente após o balanceamento dos dados:

• Desempenho no EdgeIIoT:
  • Antes do balanceamento: Acurácia de 99,11%, FPR de 0,0013%, latência de 0,00032 s/instância.
  • Após o balanceamento: Acurácia aumentou para 99,33%, com FPR mantido baixo e latência de 0,00035 s/instância.
• Desempenho no CICIoMT2024:
  • Antes do balanceamento: Acurácia de 96,10%, com perda (loss) mais alta e FPR de 0,0223%.
  • Após o balanceamento: Acurácia saltou para 98,16%, com redução significativa na perda (0,0578) e FPR (0,0036%), além de latência ultrabaixa de 0,00014 s/instância.
• Análise Adicional:
  • As matrizes de confusão e curvas ROC mostraram que o balanceamento corrigiu erros de classificação em classes minoritárias (como ataques MQTT e Recon), alcançando AUC (Área Sob a Curva) de 1,00 para todas as classes no dataset balanceado.
  • Estudo de Ablação: A configuração paralela (Modelo #3) superou configurações sequenciais e variações com camadas BiLSTM maiores, confirmando que a fusão paralela de recursos é mais eficiente.

5. Significado e Conclusão

O estudo demonstra que a arquitetura SE ViT-BiLSTM é altamente eficaz para sistemas de detecção de intrusão em ambientes IIoT e IoMT.

• Eficiência Computacional: O modelo atinge alta precisão com latência extremamente baixa, tornando-o viável para aplicações em tempo real e em dispositivos de borda (edge computing).
• Robustez: A capacidade de lidar com desequilíbrio de classes e manter alta performance em datasets complexos e recentes (CICIoMT2024) valida a generalização do modelo.
• Futuro: Os autores planejam otimizar o modelo para implantação em dispositivos de borda através de compressão e expandir o trabalho para incluir Inteligibilidade Artificial Explicável (XAI), facilitando a tomada de decisão humana em operações de segurança.

Em suma, este trabalho oferece uma solução state-of-the-art que combina a modelagem global de características do ViT, a capacidade temporal do BiLSTM e a recalibração adaptativa do SE, superando abordagens tradicionais e outros métodos de aprendizado profundo existentes.