A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

Resumo Técnico: Um Novo Método de Codificação Byte-Level de Fluxo para Imagem para Sistemas de Detecção de Intrusão em Rede

Declaração do Problema
Os Sistemas de Detecção de Intrusão (IDS) baseados em rede são predominantemente treinados em registros de fluxo tabulares. Essas representações unidimensionais (1D) limitam a capacidade das arquiteturas convolucionais de explorar correlações espaciais entre características, pois os modelos padrão tratam as características de forma independente ou por meio de operações sequenciais. Embora os métodos existentes tenham tentado converter o tráfego de rede em representações de imagem bidimensionais (2D) para aproveitar as Redes Neurais Convolucionais (CNNs), eles frequentemente dependem de redução de dimensionalidade ou arranjos espaciais heurísticos. Essas abordagens descartam frequentemente informações numéricas de alta granularidade por meio de normalização ou posicionamento arbitrário de características, comprometendo potencialmente a confiabilidade da detecção de intrusão.

Metodologia
Os autores propõem um método de codificação determinístico e reversível de byte-level de fluxo para imagem que converte cada registro de fluxo de rede em uma imagem RGB fixa de 32×32 sem perda de precisão numérica. O processo de codificação envolve três etapas principais:

1. Partição e Preparação de Características: As características são divididas em tipos contínuos e categóricos. As características contínuas são padronizadas usando normalização z-score (média e desvio padrão derivados exclusivamente da divisão de treinamento). As características categóricas são mapeadas para índices inteiros em vez de codificação one-hot para evitar esparsidade de alta dimensionalidade.
2. Codificação de Bytes: As características contínuas são convertidas para float32 (formato de precisão simples IEEE-754) e serializadas em quatro bytes. As características categóricas são codificadas como valores de 1 byte (promovidos para 2 bytes se o vocabulário exceder 255).
3. Layout Espacial:
   • Características Contínuas: Os bytes serializados são empacotados sequencialmente em pixels ao longo de uma trajetória em forma de "L invertido", começando no canto inferior direito $(S-1, S-1)$, movendo-se para cima até $(0, S-1)$ e, em seguida, para a esquerda até $(0, 0)$. Crucialmente, como um pixel contém 3 bytes (RGB) e uma característica contém 4 bytes, os limites das características são intencionalmente desalinhados com os limites dos pixels. Isso força os filtros convolucionais a agregar informações através de ambas as dimensões de canal e espacial para capturar padrões de bytes intra-características e correlações inter-características.
   • Características Discretas: Os índices categóricos são colocados contiguamente no centro da linha do meio $(\lfloor S/2 \rfloor)$, fornecendo uma âncora espacial fixa que separa padrões discretos de padrões de bytes contínuos.
   • Preenchimento: Posições não utilizadas são preenchidas com zeros (fundo preto).

O estudo avalia essa codificação contra quatro modelos de IDS (CNN, CNN-LSTM, CNN-BiLSTM e ResNeXt-50) usando configurações de fluxo 1D e imagem 2D nos conjuntos de dados NSL-KDD e UNSW-NB15, utilizando suas divisões originais de treinamento e teste para garantir reprodutibilidade.

Principais Contribuições

• Esquema de Codificação Novel: Um método determinístico e reversível que converte registros de fluxo tabulares em imagens RGB 32×32, preservando os valores originais das características e a precisão numérica.
• Agnosticismo Arquitetural: O método não requer modificação em arquiteturas de modelo existentes, permitindo comparação direta entre modalidades 1D e 2D.
• Validação Empírica: Avaliação abrangente em dois conjuntos de dados de referência demonstra que a representação baseada em imagem melhora consistentemente a precisão de detecção em arquiteturas tanto rasas quanto profundas.

Resultados Experimentais
A representação baseada em imagem produziu ganhos consistentes de precisão em relação às bases de fluxo:

• UNSW-NB15: O método alcançou melhorias de precisão de até 15,6% para classificação binária e 12,8% para classificação multiclasse. Notavelmente, alivia significativamente a disparidade de desempenho entre classes normais e de ataque, elevando a precisão da classe de ataque de um mínimo de ~29% (em modelos 1D) para mais de 96% em modelos baseados em imagem.
• NSL-KDD: As melhorias foram mais modestas, mas consistentes, com ganhos de até 3,5% para classificação binária e 3,2% para classificação multiclasse. As melhorias mais significativas foram observadas na detecção de classes minoritárias (por exemplo, R2L e U2R), onde a precisão para classes específicas aumentou em mais de 30 pontos percentuais em algumas configurações.
• Estabilidade: Os modelos baseados em imagem exibiram desvios padrão menores em experimentos repetidos, sugerindo maior estabilidade de treinamento em comparação com contrapartes baseadas em fluxo.

Significado e Alegações
O artigo afirma que a codificação visual em nível de byte fortalece a detecção de intrusão impulsionada por IA em redes de computadores locais, permitindo que filtros convolucionais aprendam padrões locais consistentes e relações inter-características que são inacessíveis por meio de processamento sequencial 1D. Os autores enfatizam que essa abordagem é particularmente eficaz para detectar tipos raros de ataque, onde representações 1D carecem de informações discriminativas suficientes.

Os autores reconhecem limitações, observando que a eficácia do método depende parcialmente da composição das características (conjuntos de dados com mais características binárias/nominais resultam em mais regiões preenchidas com zeros) e que o layout fixo atual não leva explicitamente em conta correlações semânticas inter-características. Além disso, a avaliação está restrita a conjuntos de dados de referência offline, e o desempenho em tempo real em condições de tráfego em fluxo permanece a ser validado. Trabalho futuro é proposto para explorar layouts espaciais adaptativos baseados em correlação de características e investigar a implantação em ambientes com recursos limitados.