XAI FL-IDS: A Federated Learning and SHAP-Based Explainable Framework for Distributed Intrusion Detection Systems

Resumo Técnico: XAI FL-IDS

Declaração do Problema
O artigo aborda duas limitações críticas nos Sistemas de Detecção de Intrusão (IDS) atuais para ambientes de Internet das Coisas (IoT) e Internet das Coisas Industrial (IIoT). Primeiro, as arquiteturas tradicionais de IDS dependem de detecção centralizada, exigindo que os nós de IoT transmitam dados brutos para um servidor central. Essa abordagem introduz sobrecarga significativa na rede e não garante a privacidade dos dados, pois informações locais sensíveis são expostas durante a transferência. Segundo, os modelos de IDS baseados em aprendizado de máquina convencionais operam como "caixas pretas", identificando tipos de ataque sem explicar o processo de tomada de decisão. Essa falta de interpretabilidade dificulta a capacidade dos administradores de entender por que uma detecção específica foi feita, limitando a utilidade e a confiabilidade do sistema.

Metodologia
Os autores propõem o XAI FL-IDS, um novo framework que integra Aprendizado Federado (FL) para preservação de privacidade e IA Explicável (XAI) utilizando Explicações Aditivas SHapley (SHAP) para interpretabilidade.

• Arquitetura de Aprendizado Federado: O sistema emprega um servidor central e 10 clientes. Em vez de compartilhar dados brutos, cada cliente treina um modelo local em seu conjunto de dados privado (derivado do conjunto de dados Edge-IIoTset) e transmite apenas parâmetros de atualização do modelo para o servidor.
• Estratégia de Seleção de Modelo: Uma modificação chave ao FL padrão é introduzida durante a fase de agregação. Em vez de calcular a média de todas as atualizações dos clientes (por exemplo, FedAvg), o servidor identifica o único modelo de melhor desempenho da rodada anterior com base em pontuação hierárquica e transmite esse modelo superior a todos os nós para a próxima iteração.
• Implementação Local: Cada cliente utiliza o algoritmo XGBoost. O processo de treinamento local inclui pré-processamento de dados (tratamento de valores ausentes, codificação categórica, normalização), balanceamento de classes por meio de pesos adaptativos (scale_pos_weight) e boosting contínuo.
• Explicabilidade (XAI): Os valores SHAP são calculados em dois níveis:
  1. Nível Local: Após a avaliação, cada cliente calcula os valores SHAP usando o Tree-Explainer para interpretar previsões locais.
  2. Nível Global: O servidor calcula os valores SHAP para o conjunto de teste global usando o melhor modelo selecionado.
     Essa arquitetura de dois níveis permite rastrear mudanças na importância das características tanto na heterogeneidade local quanto na estabilidade global.
• Ambiente de Execução: O framework é implementado usando Python, Jupyter Notebook e a biblioteca Ray para execução distribuída, rodando em um ambiente baseado em CPU sem aceleração por GPU.

Principais Contribuições

1. IDS com Preservação de Privacidade: O framework elimina a necessidade de transferir dados brutos de tráfego de rede, garantindo a confidencialidade das informações nos nós locais de IoT enquanto mantém alto desempenho de detecção.
2. Interpretabilidade Aprimorada: Ao integrar SHAP, o sistema fornece insights detalhados sobre como características individuais influenciam as decisões de detecção de intrusão, indo além do simples sinalização binária para resultados explicáveis.
3. Agregação Otimizada: A política proposta de "seleção do melhor modelo" substitui a média tradicional, visando melhorar a eficiência do treinamento e a qualidade do modelo ao propagar o modelo local mais eficaz para toda a rede.
4. Explicabilidade de Dois Níveis: O sistema captura exclusivamente a dinâmica da importância das características tanto no nível do cliente quanto no do servidor, oferecendo uma visão abrangente da lógica de decisão do modelo.

Resultados
O sistema foi avaliado usando o conjunto de dados Edge-IIoTset, que inclui 14 ataques em cinco categorias de ameaças. Os experimentos demonstraram:

• Alta Precisão: O método proposto alcançou uma precisão superior a 99%, atingindo 100% em certas instâncias, superando ou igualando baselines estabelecidas (por exemplo, uma baseline de 99,7%).
• Métricas Robustas: O sistema performou consistentemente bem em Precisão, Revocação, F1-score e métricas de Log-Loss. Valores menores de Log-Loss indicaram que o modelo atribuiu altas probabilidades a resultados corretos.
• Eficiência: A estratégia de seleção do melhor modelo reduziu significativamente o tempo médio de treinamento por cliente em comparação com métodos de média tradicionais, prevenindo o desperdício de recursos em rodadas de aprendizado subótimas.
• Evolução SHAP: A análise das saídas SHAP mostrou que os limites de decisão e a confiança do modelo melhoraram ao longo do tempo (por exemplo, limites de decisão deslocando-se de 0,5 na Rodada 1 para 0,85 na Rodada 9 para o Cliente 5), confirmando a capacidade de aprendizado do sistema.

Significado e Alegações
O artigo afirma que o XAI FL-IDS aborda efetivamente os desafios duplos de privacidade e interpretabilidade em frameworks modernos de IDS. Ao garantir que os dados permaneçam locais e fornecer processos de tomada de decisão transparentes, o framework avança o desenvolvimento de sistemas de detecção de intrusão seguros, confiáveis e descentralizados. Os autores posicionam o trabalho como um passo em direção a uma IA mais confiável em cibersegurança, observando que iterações futuras poderiam explorar modelos mais leves para melhor se adequar aos recursos limitados de dispositivos IoT e métodos diversificados de seleção de características para otimizar ainda mais o desempenho.