From Detection to Response: A Deep Learning and Retrieval-Augmented Generation Framework for Network Intrusion Mitigation

Resumo Técnico: Da Detecção à Resposta

Declaração do Problema
Embora os Sistemas de Detecção de Intrusão (IDS) baseados em aprendizado de máquina tenham alcançado alta precisão na classificação de ataques de rede, eles frequentemente falham em atender à necessidade operacional crítica dos analistas de segurança: determinar a resposta adequada. Os modelos atuais de aprendizado profundo frequentemente funcionam como "caixas pretas", fornecendo rótulos de previsão sem explicar a lógica de decisão. Além disso, as técnicas existentes de IA Explicável (XAI), como SHAP e LIME, identificam características influentes, mas não oferecem orientações acionáveis de mitigação. Adicionalmente, fontes autorizadas de conhecimento em cibersegurança (por exemplo, diretrizes do NIST, MITRE ATT&CK) são extensas demais para consulta manual durante incidentes em tempo real. Este artigo aborda a lacuna entre a detecção de ameaças de alta precisão e a geração de estratégias de resposta estruturadas, baseadas em evidências e acionáveis.

Metodologia
Os autores propõem um framework unificado, ponta a ponta, que integra detecção de intrusão baseada em aprendizado profundo com um pipeline de Geração Aumentada por Recuperação (RAG). O sistema opera por meio de cinco etapas modulares:

1. Aquisição e Pré-processamento de Dados: O framework utiliza dois conjuntos de dados de referência, CICIDS2018 e UNSW-NB15. Para permitir a avaliação entre conjuntos de dados, um espaço de características unificado de 66 dimensões é construído. Características categóricas são codificadas one-hot, e preenchimento com zeros é aplicado para preencher lacunas dimensionais. Um dicionário de interpretação de características mapeia nomes técnicos de características para descrições legíveis por humanos e implicações de segurança.
2. Classificação DNN Calibrada por Confiança: Em vez de um único modelo multiclasse, o sistema emprega um ensemble de três Redes Neurais Profundas (DNN) binárias treinadas independentemente usando uma estratégia um-contra-o-resto (Benigno-vs-Resto, DoS-vs-Resto, DDoS-vs-Resto).
   • Arquitetura: Os modelos utilizam camadas totalmente conectadas com ativação ReLU. O modelo CICIDS2018 usa três camadas ocultas, enquanto o modelo UNSW-NB15 usa quatro, incorporando normalização em lote e regularização por dropout.
   • Tratamento de Desequilíbrio de Classes: Para abordar o desequilíbrio severo de classes (por exemplo, tráfego DoS compreendendo apenas 0,64% do UNSW-NB15), o sistema emprega perda de entropia cruzada binária ponderada por classe, sobreamostragem aleatória, subamostragem controlada e seleção de modelo baseada em pontuação F1.
   • Saída: O ensemble produz uma classe prevista e uma pontuação escalar de confiança, que é mapeada para um "Nível de Triagem do SOC" discreto (Muito Alto, Alto, Médio, Baixo) para orientar a priorização pelo analista.
3. Construção de Prompt Consciente de Explicação: Após a classificação, o sistema extrai as 5 características mais influentes usando atribuição baseada em gradiente. Essas características são mapeadas para descrições em linguagem natural via dicionário de interpretação. Um prompt estruturado é então montado contendo:
   • Contexto de detecção (classe de ataque, confiança, nível).
   • Metadados de fluxo de rede (IPs, portas, carimbos de data e hora).
   • Indicadores anômalos (top-5 características e suas interpretações).
   • Uma instrução de papel de sistema definindo o LLM como um analista sênior de cibersegurança com requisitos explícitos de citação.
4. Recuperação Híbrida RAG: O prompt é aumentado recuperando orientações relevantes de uma base de conhecimento construída a partir de 14 documentos autoritativos (incluindo Publicações Especiais do NIST e MITRE ATT&CK). O pipeline de recuperação usa uma abordagem híbrida:
   • Busca Lexical: Classificação BM25.
   • Busca Semântica: Recuperação de vetores densos usando FAISS e transformadores de sentença.
   • Expansão de Consulta: Um dicionário de sinônimos específico de cibersegurança expande termos (por exemplo, "DoS" para "esgotamento de recursos").
   • Ranqueamento: Um cross-encoder ranqueia novamente os principais candidatos para selecionar os 5 blocos finais para o prompt.
5. Geração de Relatório Baseada em LLM: Um modelo LLaMA 3:8B implantado localmente (via Ollama) gera um relatório estruturado de resposta a incidentes. O relatório inclui seções sobre Fundamentação, Indicadores Chave, Avaliação de Confiança, Avaliação de Ameaça e Recomendações, todos fundamentados nas citações recuperadas.

Principais Contribuições

1. Estratégia de Prompt Estruturado: Um método inovador que vincula o raciocínio do LLM a evidências concretas de detecção (classe prevista, confiança e top-5 características anômalas) em vez de consultas genéricas.
2. Pipeline de Recuperação Híbrido: Um sistema de recuperação combinando busca por palavras-chave BM25, busca por vetores densos baseada em FAISS e ranqueamento por cross-encoder para extrair estratégias de mitigação relevantes de fontes autoritativas.
3. Framework de Mitigação Ponta a Ponta: Um sistema que não apenas detecta ataques, mas gera relatórios de mitigação estruturados e fundamentados em citações, preenchendo a lacuna entre detecção e resposta.
4. Avaliação Rigorosa: Um framework de avaliação comparando saídas aprimoradas por RAG contra verdades fundamentais escritas por especialistas e baselines de LLMs puros usando métricas BERTScore, ROUGE e BLEU.

Resultados

• Desempenho de Detecção: O ensemble DNN alcançou 99,84% de precisão no conjunto de dados CICIDS2018 e 95,30% no conjunto de dados UNSW-NB15. Notavelmente, o recall de DoS no conjunto de dados altamente desequilibrado UNSW-NB15 melhorou de 0,30% (baseline) para 97,6% após a aplicação de intervenções de balanceamento.
• Desempenho de Recuperação: O pipeline de recuperação híbrido alcançou uma taxa de sucesso de 97% com um Recíproco Médio de Rank (MRR) de 0,87 e uma latência média de 1,8 segundos.
• Qualidade do Relatório: Relatórios aprimorados por RAG superaram significativamente as saídas de LLMs puros em todas as métricas. Comparado à baseline, o sistema RAG mostrou uma melhoria de 4,4% no BERTScore F1, um aumento de 32,5% no ROUGE-1, um aumento de 126,4% no ROUGE-2 e um aumento de 244,1% no BLEU. Os relatórios gerados incluíram consistentemente citações às fontes NIST e MITRE (taxas de citação de 93,3% e 86,7%, respectivamente).

Significado
O artigo afirma que seu framework aborda com sucesso a limitação persistente na pesquisa de IDS onde a detecção é desacoplada da resposta acionável. Ao integrar a detecção por aprendizado profundo com um pipeline RAG fundamentado em conhecimento de cibersegurança confiável, o sistema produz relatórios de mitigação que são não apenas precisos, mas também explicáveis, conscientes do contexto e operacionalmente úteis para analistas do Centro de Operações de Segurança (SOC). Os autores enfatizam que essa abordagem reduz o tempo entre a detecção de ataques e a resposta eficaz, mitigando assim o risco de interrupção prolongada do sistema. O uso de um LLM implantado localmente também aborda preocupações de privacidade e regulatórias associadas ao roteamento de dados sensíveis de tráfego de rede para APIs externas.