Hybrid ResNet-1D-BiGRU with Multi-Head Attention for Cyberattack Detection in Industrial IoT Environments

Resumo Técnico: Detecção de Ciberataques em Ambientes IIoT com Modelo Híbrido ResNet-1D–BiGRU e Atenção Multi-Cabeça

1. Problema Abordado

O rápido avanço e a implantação massiva de dispositivos da Internet das Coisas (IoT) e, especificamente, da Internet Industrial das Coisas (IIoT), trouxeram desafios de segurança críticos. Os sistemas IIoT são alvos frequentes de intrusões cibernéticas sofisticadas, e as técnicas de hacking evoluem constantemente.
Os principais desafios identificados no estudo são:

• Vulnerabilidade de Sistemas Críticos: Setores como manufatura, saúde e energia dependem de IIoT, onde falhas de segurança podem ter consequências catastróficas.
• Taxas de Falsos Positivos e Negativos: Muitos Sistemas de Detecção de Intrusão (IDS) existentes geram excesso de alarmes falsos (sobrecarregando as equipes de segurança) ou falham em detectar ataques raros e sofisticados (falsos negativos).
• Desequilíbrio de Classes: Em conjuntos de dados reais de cibersegurança, as amostras de ataques são muito mais raras que o tráfego normal, dificultando o treinamento de modelos de aprendizado de máquina que tendem a ignorar a classe minoritária.
• Latência em Tempo Real: A necessidade de detecção imediata em ambientes industriais exige modelos com baixa latência de inferência.

2. Metodologia Proposta

Os autores propõem um modelo híbrido de aprendizado profundo que integra três componentes principais para extrair características espaciais e temporais e ponderar a importância dos recursos:

• Arquitetura Híbrida (ResNet-1D + BiGRU + MHA):

  • ResNet-1D (Redes Neurais Convolucionais Residuais 1D): Utilizado na camada inicial para extração de características espaciais. As conexões residuais ajudam a mitigar o problema do desaparecimento do gradiente, permitindo redes mais profundas e eficientes na captura de representações hierárquicas em dados sequenciais de rede.
  • BiGRU (Gated Recurrent Unit Bidirecional): Responsável pela modelagem de dependências temporais. Ao processar a sequência em ambas as direções (passado e futuro), o modelo captura padrões de ataque que dependem do contexto temporal completo, com menor complexidade computacional comparado a LSTMs tradicionais.
  • Atenção Multi-Cabeça (Multi-Head Attention - MHA): Integrada para atribuir dinamicamente diferentes níveis de importância a vários recursos nos dados de séries temporais, permitindo que o modelo foque nas partes mais relevantes do tráfego de rede para a detecção.

• Pré-processamento e Tratamento de Dados:

  • SMOTE (Synthetic Minority Over-sampling Technique): Aplicado para corrigir o desequilíbrio de classes no conjunto de dados Edge-IIoTset, criando instâncias sintéticas para a classe minoritária (ataques) via interpolação.
  • Normalização e Codificação: Conversão de dados categóricos para numéricos e transformação dos conjuntos de dados em formato bidimensional adequado à entrada do modelo.
  • Divisão dos Dados: Os dados foram divididos em 80% para treinamento e 20% para teste.

• Configuração do Modelo:

  • Entrada: Forma (60, 1) para o Edge-IIoTset.
  • Camadas: Bloco ResNet (2 camadas convolucionais + conexão residual), Camada BiGRU (64 unidades), Camada MHA (4 cabeças), Camadas Dense com ativação ReLU e Dropout (0.5) para evitar overfitting.
  • Saída: Camada final com 6 unidades (classes) e ativação softmax.

3. Contribuições Principais

1. Arquitetura Inovadora: A combinação sinérgica de ResNet-1D, BiGRU e MHA foi projetada especificamente para capturar tanto dependências espaciais quanto temporais em tráfego de rede IIoT, superando limitações de modelos unidimensionais ou puramente sequenciais.
2. Gestão de Desequilíbrio de Classes: A aplicação eficaz do SMOTE demonstrou ser crucial para melhorar a precisão na detecção de ataques raros, um problema comum em datasets de segurança.
3. Validação em Múltiplos Cenários: O modelo não foi testado apenas em um dataset, mas validado em dois benchmarks distintos e recentes: Edge-IIoTset (focado em IoT industrial) e CICIoV2024 (focado em Internet de Veículos), provando sua generalização.
4. Eficiência Computacional: O foco na baixa latência de inferência torna o modelo viável para implementação em tempo real em ambientes industriais críticos.

4. Resultados Experimentais

O modelo foi avaliado utilizando métricas padrão (Precisão, Revocação, F1-Score, Acurácia, FPR) e comparado com métodos existentes.

• Desempenho no Dataset Edge-IIoTset:

  • Acurácia: 98,71%.
  • Perda (Loss): 0,0417%.
  • FPR (Falso Positivo): Extremamente baixo (0,002% em detecção multiclasse).
  • Latência de Inferência: 0,0001 segundos por instância.
  • Relatório de Classificação: Alcançou 100% de precisão, revocação e F1-Score para tráfego benigno, coleta de informações, MITM e malware.

• Desempenho no Dataset CICIoV2024 (Generalização):

  • Acurácia e F1-Score: 99,99%.
  • Perda: 0,0028.
  • FPR: 0%.
  • Latência de Inferência: 0,00014 segundos por instância.
  • O modelo superou abordagens recentes como CNN-LSTM-ViT e XGB, especialmente em termos de velocidade de inferência.

• Estudo Ablativo:

  • A análise comparativa de configurações confirmou que a combinação completa (ResNet-1D + BiGRU + MHA + SMOTE) é superior. Modelos sem SMOTE ou sem a camada de atenção apresentaram desempenho degradado, validando a necessidade de cada componente.

5. Significância e Conclusão

Este trabalho demonstra que a integração de mecanismos de atenção profunda com arquiteturas híbridas de extração de características e modelagem temporal oferece uma solução robusta para a detecção de intrusões em IIoT.

• Impacto Prático: A capacidade de operar com latência de microssegundos (inferência) e alta precisão torna o sistema ideal para ambientes industriais onde o tempo de resposta é crítico.
• Robustez: O desempenho excepcional em dois datasets diferentes sugere que o modelo é generalizável e capaz de lidar com diferentes topologias de rede e tipos de tráfego.
• Futuro: Os autores sugerem que trabalhos futuros devem explorar Transfer Learning, Reinforcement Learning para ajuste de hiperparâmetros e Explainable AI (XAI) para aumentar a interpretabilidade das decisões do modelo.

Em suma, o modelo ResNet-1D–BiGRU–MHA proposto estabelece um novo estado da arte para detecção de intrusões em tempo real, equilibrando alta precisão, baixa taxa de falsos positivos e eficiência computacional.