Optimizing IoT Intrusion Detection with Tabular Foundation Models for Smart City Forensics

1. Problema e Contexto

O crescimento exponencial de dispositivos de Internet das Coisas (IoT) em cidades inteligentes criou superfícies de ataque massivas e complexas. Analistas de segurança enfrentam um dilema operacional crítico: a necessidade de equilibrar alta precisão na detecção com tempo de resposta em tempo real.

• Limitação Atual: Métodos de ensemble tradicionais (como Random Forest e Gradient Boosting) oferecem alta precisão (acima de 99%), mas impõem uma sobrecarga computacional significativa. O tempo de inferência (centenas de milissegundos) cria gargalos em sistemas de gerenciamento de eventos e informações de segurança (SIEM), que processam milhares de eventos por segundo, atrasando a triagem forense.
• Lacuna na Pesquisa: A aplicação de Modelos de Fundação (Foundation Models) pré-treinados em dados tabulares de cibersegurança é pouco explorada. Não há estudos sistemáticos sobre como esses modelos podem mitigar o trade-off entre velocidade e precisão em cenários de IoT heterogêneos.

2. Metodologia

Os autores propõem e avaliam um pipeline de investigação forense híbrido utilizando o conjunto de dados TON IoT (3,6 milhões de registros de telemetria de 7 categorias de dispositivos).

• Pipeline Híbrido Proposto:

  1. Triagem Rápida (Pré-processamento): Extração de características temporais, codificação e normalização.
  2. Fase de Triagem (TabPFNv2.5): O modelo TabPFNv2.5 (uma rede baseada em transformadores com pesos congelados) classifica o tráfego inicial. Ele atua como um filtro de alta velocidade, enviando registros normais para logs de auditoria e sinalizando tráfego suspeito para análise profunda.
  3. Análise Profunda (Ensemble): O tráfego suspeito é processado por classificadores ensemble tradicionais (Random Forest e Gradient Boosting) para atribuição detalhada do tipo de ataque, utilizando votação por consenso.

• Configuração Experimental:

  • Comparação entre TabPFNv2.5 (inferência em milissegundos, sem treinamento específico para a tarefa) e Random Forest/Gradient Boosting (requerem treinamento específico).
  • Avaliação em duas tarefas: classificação binária (Normal vs. Ataque) e multiclasse (tipos específicos de ataque).
  • Análise de generalização cruzada entre diferentes dispositivos (ex: treinar em "Geladeira Inteligente" e testar em "Termostato").

3. Principais Contribuições

O artigo apresenta cinco contribuições fundamentais:

1. Avaliação Sistemática: A primeira comparação abrangente do TabPFNv2.5 contra métodos ensemble para detecção de intrusão em IoT.
2. Quantificação do Trade-off: Demonstração de que o TabPFNv2.5 oferece uma inferência 40 vezes mais rápida que o Random Forest, com uma redução mínima na precisão binária (apenas 2,3%).
3. Arquitetura Híbrida: Proposta de um pipeline que integra a velocidade dos modelos de fundação com a precisão dos ensembles, alinhado a fluxos de trabalho de SIEM.
4. Análise de Generalização: Revelação de que a transferibilidade entre dispositivos depende criticamente da similaridade das características (features), indicando que modelos heterogêneos não devem ser assumidos como universalmente aplicáveis sem adaptação.
5. Identificação de Casos Difíceis: Detecção de que ataques de varredura (scanning) são os mais difíceis de identificar (F1: 69,8%) devido à sua similaridade comportamental com atividades de reconhecimento benignas.

4. Resultados Chave

• Desempenho de Precisão:
  • Random Forest: Alcançou a maior precisão, com média de 99,48% (binária) e 99,44% (multiclasse).
  • TabPFNv2.5: Alcançou 97,2% (binária) e 96,8% (multiclasse), mantendo-se competitivo para uma camada de triagem.
• Eficiência Computacional:
  • Tempo de Inferência: O TabPFNv2.5 processou 10.000 amostras em 0,02 segundos, enquanto o Random Forest levou 0,82 segundos (uma melhoria de 40x).
  • Treinamento: O TabPFNv2.5 não exigiu tempo de treinamento para a tarefa específica (0,00s), pois utiliza pesos pré-treinados, ao contrário dos ensembles que exigem horas de treinamento.
• Desempenho por Tipo de Ataque:
  • Ataques comuns como DDoS e Injeção tiveram F1-scores acima de 95%.
  • Ataques de Varredura (Scanning) apresentaram o pior desempenho (F1: 69,80%), sendo o principal ponto de falha para todos os modelos.
• Generalização Cruzada: Modelos treinados em dispositivos semelhantes (ex: Geladeira -> Termostato) mantiveram alta precisão (>97%), mas modelos treinados em dispositivos com espaços de características muito diferentes (ex: Porta de Garagem -> Geladeira) sofreram queda drástica de desempenho (precisão caiu para 91,2% e recall para 54,5%).

5. Significado e Implicações

Este estudo estabelece os Modelos de Fundação Tabulares como componentes viáveis e essenciais para operações de segurança IoT sensíveis ao tempo.

• Para Operações de SOC (Centro de Operações de Segurança): A arquitetura híbrida permite que analistas triagem milhares de eventos em milissegundos, priorizando apenas os suspeitos para análise detalhada, otimizando recursos humanos e computacionais.
• Avanço Acadêmico: Valida o uso de transformadores pré-treinados em dados tabulares de segurança, sugerindo que, se treinados diretamente em telemetria de cibersegurança (em vez de tarefas sintéticas), a lacuna de precisão pode ser fechada sem sacrificar a latência.
• Recomendações Práticas:
  • Utilizar TabPFNv2.5 para triagem frontal em tempo real.
  • Manter ensembles (Random Forest) para atribuição final de ataques.
  • Tratar atividades de varredura com cautela, validando com sinais contextuais adicionais.
  • Não assumir generalização automática entre dispositivos IoT heterogêneos sem normalização cuidadosa de características.

Em suma, o trabalho demonstra que é possível superar a barreira da latência em forense de IoT sem comprometer significativamente a precisão, através da integração inteligente de modelos de fundação modernos com técnicas de ensemble consolidadas.