A-THENA: Early Intrusion Detection for IoT with Time-Aware Hybrid Encoding and Network-Specific Augmentation

1. Problema e Contexto

A proliferação de dispositivos da Internet das Coisas (IoT) expandiu significativamente a superfície de ataque, tornando os ecossistemas de IoT vulneráveis a ameaças cibernéticas sofisticadas. Os desafios principais incluem:

• Restrições de Recursos: Dispositivos IoT possuem capacidade de processamento, memória e energia limitadas, exigindo arquiteturas de hardware compactas e software leve.
• Detecção Tardia: Sistemas de Detecção de Intrusão (IDS) tradicionais baseados em regras ou em extração de características (features) muitas vezes exigem a observação de sessões completas de tráfego para calcular estatísticas significativas. Isso introduz latência, impedindo a resposta rápida necessária para mitigar ataques em tempo real.
• Ignorância Temporal: Muitos modelos de Deep Learning (DL) tratam o tráfego de rede como sequências uniformemente espaçadas (usando índices discretos), descartando informações cruciais sobre os tempos de chegada dos pacotes (inter-arrival times), que são frequentemente distintivos entre tráfego benigno e malicioso.
• Desequilíbrio de Dados: Conjuntos de dados de segurança cibernética frequentemente apresentam desequilíbrio de classes e falta de diversidade, dificultando a generalização dos modelos.

2. Metodologia: O Sistema A-THENA

O A-THENA é um sistema leve de Detecção Precoce de Intrusão (EIDS) baseado em Transformers, projetado para operar na borda da rede. Sua arquitetura integra quatro pilares fundamentais:

A. Processamento de Dados Brutos (Feature-Free)

Diferente de abordagens tradicionais que extraem características estatísticas (como contagem de pacotes, tamanhos médios, etc.), o A-THENA processa diretamente os bytes brutos dos pacotes. Isso elimina a sobrecarga de pré-processamento e permite a classificação desde os primeiros pacotes de um fluxo, sem esperar pela coleta de estatísticas de sessão.

B. Codificação Híbrida Consciente do Tempo (Time-Aware Hybrid Encoding - THE)

O núcleo da inovação do A-THENA é a substituição dos índices posicionais discretos (0, 1, 2...) por carimbos de tempo contínuos (timestamps) reais dos pacotes. O sistema emprega três variantes de codificação temporal e seleciona dinamicamente a melhor para cada cenário:

1. TA Sinusoidal: Adaptação da codificação senoidal original para timestamps contínuos.
2. TA Fourier: Extensão baseada em Fourier para capturar frequências temporais irregulares.
3. TA RoPE (Rotary Positional Encoding): Aplicação de rotações determinísticas nos vetores de consulta e chave dentro do mecanismo de atenção, baseadas no tempo decorrido.
   O sistema utiliza um mecanismo de seleção (THE) que avalia a perda de validação de cada variante e escolhe a codificação ótima para o conjunto de dados específico.

C. Aumento de Dados Específico da Rede (Network-Specific Augmentation - NA)

Para lidar com desequilíbrio de classes e melhorar a robustez, o sistema utiliza uma pipeline de aumento de dados em duas etapas:

• Offline: Geração dinâmica de subfluxos (início dos fluxos originais) e oversampling híbrido para equilibrar as classes, garantindo que o modelo aprenda padrões de detecção precoce.
• Online (durante o treinamento): Perturbações estocásticas aplicadas aos pacotes e timestamps, incluindo:
  • Jitter Injection: Variação aleatória nos tempos de chegada.
  • Traffic Scaling: Simulação de diferentes velocidades de rede.
  • Packet Drop/Insertion: Remoção ou adição de pacotes.
  • Noise Injection: Adição de ruído aos bytes dos pacotes.

D. Função de Perda de Detecção Precoce (Early Detection Loss - EDL)

Uma função de perda personalizada que aplica uma penalidade exponencialmente decrescente baseada no comprimento do fluxo. Isso força o modelo a priorizar a precisão em fluxos curtos (poucos pacotes), incentivando decisões corretas o mais cedo possível, em vez de apenas minimizar o erro geral no final da sessão.

3. Contribuições Principais

1. Sistema A-THENA Completo: Uma solução EIDS leve e de ponta a ponta que opera diretamente em dados brutos, eliminando a extração de características manual.
2. Codificação Híbrida Consciente do Tempo: Um mecanismo adaptativo que substitui índices discretos por timestamps contínuos, capturando dinâmicas temporais essenciais para distinguir ataques (ex.: varreduras rápidas vs. tráfego normal espaçado).
3. Avaliação Abrangente: Testes em três conjuntos de dados de referência (CICIoT23-WEB, MQTT-IoT-IDS2020, IoTID20), superando avaliações anteriores que usavam apenas um dataset.
4. Viabilidade na Borda: Implementação e validação em um dispositivo com recursos extremamente limitados (Raspberry Pi Zero 2 W), demonstrando latência quase nula e uso mínimo de memória.

4. Resultados Experimentais

O A-THENA foi comparado com codificações posicionais tradicionais, algoritmos de aprendizado de máquina clássicos (SVM, Random Forest, etc.), codificações temporais de trabalhos relacionados e outras arquiteturas de detecção precoce.

• Desempenho de Precisão:
  • Em média, o A-THENA superou a melhor codificação posicional tradicional em 6,88 pontos percentuais de precisão.
  • Superou os melhores modelos baseados em características em 3,69 pontos.
  • Superou alternativas conscientes do tempo de ponta em 6,17 pontos.
  • Nos datasets CICIoT23-WEB e MQTT-IoT-IDS2020, alcançou 100% de precisão com taxa de falsos positivos (FAR) e falsos negativos (FNR) de 0%.
• Detecção Precoce (Earliness):
  • O sistema consegue classificar com confiança a partir de apenas 1 pacote em dois dos datasets, enquanto métodos tradicionais exigem fluxos completos (30 pacotes) para extrair características estatísticas.
• Eficiência Computacional (Raspberry Pi Zero 2 W):
  • Latência de Inferência: ~1,42 ms para fluxos de 30 pacotes.
  • Uso de Memória: ~3,25 MB.
  • Tamanho do Modelo: ~40 KB.
  • O sistema é aproximadamente 480 vezes mais rápido em tempo de ponta a ponta (incluindo pré-processamento) do que pipelines tradicionais baseados em extração de características.

5. Significado e Impacto

O A-THENA estabelece um novo padrão para segurança em IoT ao demonstrar que é possível combinar alta precisão, detecção extremamente precoce e eficiência de recursos em um único framework.

• Mudança de Paradigma: Ao abandonar a extração de características em favor do processamento de bytes brutos enriquecido por codificação temporal, o sistema remove o gargalo de latência inerente aos métodos tradicionais.
• Viabilidade Prática: A capacidade de rodar em hardware de baixo custo (como o Raspberry Pi Zero 2 W) torna a proteção de rede em tempo real acessível para dispositivos IoT reais, que anteriormente dependiam de gateways mais potentes ou soluções na nuvem.
• Robustez: A combinação de aumento de dados específico de rede e perda de detecção precoce garante que o sistema seja robusto contra variações de tráfego e capaz de identificar ameaças antes que elas causem danos significativos.

Em resumo, o A-THENA oferece uma solução prática, ágil e altamente eficaz para proteger redes IoT contra ameaças cibernéticas modernas, preenchendo a lacuna entre a teoria de modelos de Deep Learning avançados e as restrições rigorosas do mundo real da borda da rede.