Cognitive Threat Intelligence and Explainable Federated Security Analytics for distributed Infrastructure Systems

Resumo Técnico: Inteligência de Ameaças Cognitiva e Análise de Segurança Federada Explicável para Sistemas de Infraestrutura Distribuída

Declaração do Problema
A rápida expansão dos sistemas de infraestrutura distribuída, computação em nuvem, Internet das Coisas (IoT) e arquiteturas de borda (edge) aumentou significativamente a superfície de ataque cibernética. Os sistemas tradicionais de detecção de intrusão (IDS) centralizados enfrentam limitações críticas neste ambiente, incluindo problemas de escalabilidade, alta sobrecarga de comunicação, resposta tardia a ameaças e riscos significativos de privacidade associados à transmissão de tráfego de rede bruto sensível para servidores centrais. Além disso, muitas soluções de cibersegurança baseadas em IA operam como sistemas de "caixa-preta", carecendo da transparência necessária para que os analistas compreendam o raciocínio por trás das previsões de anomalias e classificações de ameaças. Essa opacidade prejudica a confiança, a investigação de incidentes e a conformidade regulatória. Há uma necessidade premente de um framework que alcance simultaneamente a preservação da privacidade, inteligência de ameaças colaborativa, escalabilidade e tomada de decisão explicável sem comprometer a precisão da detecção.

Metodologia
Este estudo propõe e avalia um framework de Inteligência de Ameaças Cognitiva e Análise de Segurança Federada Explicável. A metodologia emprega um design de pesquisa empírica e experimental utilizando conjuntos de dados de referência de cibersegurança: NSL-KDD e CIC-IDS2017.

1. Arquitetura de Aprendizado Federado (FL): Em vez de centralizar os dados brutos, o framework distribui o processo de treinamento. Modelos de segurança locais são treinados de forma independente em nós de rede distribuídos. Apenas parâmetros de modelos criptografados e atualizações são compartilhados com um agregador central via um mecanismo de Média Federada (Federated Averaging). Isso garante que o tráfego de rede bruto sensível permaneça local, preservando a privacidade dos dados e reduzindo o risco de pontos únicos de falha.
2. Implementação Algorítmica: O estudo implementa e compara diversos algoritmos de aprendizado de máquina e aprendizado profundo para detecção de anomalias e classificação de ataques dentro do ambiente federado. Estes incluem:
   • Aprendizado de Máquina: Random Forest, XGBoost.
   • Aprendizado Profundo: Autoencoder, redes de Memória de Longo Prazo (LSTM).
3. Integração de IA Explicável (XAI): Para abordar a limitação de "caixa-preta", o framework integra SHAP (Shapley Additive Explanations) e LIME (Local Interpretable Model-Agnostic Explanations). Estas técnicas geram insights compreensíveis por humanos sobre as previsões do modelo, explicando quais características de rede (por exemplo, bytes de origem, bytes de destino) mais contribuíram para detecções de anomalias específicas.
4. Pré-processamento de Dados: Os conjuntos de dados passaram por limpeza, normalização, seleção de atributos e tratamento de desequilíbrios de classe (particularmente para tipos de ataques raros como R2L e U2R) para garantir a robustez do modelo.
5. Métricas de Avaliação: O desempenho foi avaliado utilizando métricas padrão de cibersegurança: Acurácia, Precisão, Recall, F1-Score, ROC-AUC, latência de detecção e sobrecarga de comunicação.

Principais Contribuições

• Detecção Descentralizada com Preservação de Privacidade: O estudo demonstra uma arquitetura viável para detecção de ameaças colaborativa onde os dados brutos nunca são compartilhados, mitigando preocupações de privacidade inerentes a um IDS centralizado.
• Integração de XAI com Aprendizado Federado: Ele une a lacuna entre modelos federados de alto desempenho e a necessidade de interpretabilidade, fornecendo um mecanismo para que analistas de segurança validem decisões impulsionadas por IA.
• Benchmarking Algorítmico: A pesquisa fornece uma análise comparativa de Random Forest, XGBoost, Autoencoder e LSTM dentro de um ambiente federado, identificando suas forças relativas em ambientes distribuídos.
• Análise de Importância de Atributos: Ao aplicar XAI, o estudo identifica atributos específicos do tráfego de rede (notadamente src_bytes e dst_bytes) que são mais críticos para detectar atividades maliciosas, aumentando a transparência do processo de detecção.

Resultados
Os resultados experimentais nos conjuntos de dados NSL-KDD e CIC-IDS2017 produziram as seguintes descobertas:

• Desempenho do Modelo: Todos os modelos avaliados demonstraram alta eficácia, com métricas de desempenho médio (Acurácia, Precisão, Recall) consistentemente acima de 90%.
• Melhor Desempenho: O XGBoost alcançou a maior acurácia e o melhor escore ROC-AUC (0,98), seguido de perto pelo LSTM (0,97) e Random Forest (~0,95). O modelo Autoencoder mostrou desempenho inferior, atribuído aos desafios da detecção de anomalias não supervisionada.
• Taxas de Detecção de Ataques: O framework alcançou uma taxa de detecção de aproximadamente 98% para ataques de Negação de Serviço (DoS) e 95% para ataques de Probe. As taxas de detecção foram menores para ataques Remote-to-Local (R2L) e User-to-Root (U2R), refletindo a complexidade e escassez desses tipos de ataques nos conjuntos de dados.
• Explicabilidade: SHAP e LIME identificaram com sucesso a importância dos atributos, confirmando que métricas de volume de dados (src_bytes, dst_bytes) eram indicadores primários de anomalias.
• Sobrecarga de Comunicação: O estudo observou custos de comunicação variáveis entre os nós clientes, com alguns nós (por exemplo, Cliente 4) incorrendo em maior sobrecarga devido a atualizações de modelos maiores ou treinamento local complexo, destacando a eficiência de comunicação como um desafio de otimização remanescente.
• Matriz de Confusão: O modelo demonstrou alta confiabilidade, com 987 Verdadeiros Positivos e 950 Verdadeiros Negativos, e relativamente baixos Falsos Positivos (35) e Falsos Negativos (28).

Significância do Estudo
O artigo afirma que esta pesquisa contribui para o desenvolvimento de arquiteturas de cibersegurança inteligentes, explicáveis e resilientes adaptadas para a infraestrutura distribuída moderna. Ao integrar o Aprendizado Federado com a IA Explicável, o framework proposto aborda os desafios duplos da privacidade de dados e da transparência na tomada de decisão. O estudo sugere que tais frameworks podem reduzir a dependência de infraestruturas de segurança centralizadas, minimizar a exposição de dados sensíveis e fomentar a confiança em sistemas de segurança automatizados. Em última análise, o trabalho visa apoiar organizações na implantação de soluções escaláveis, transparentes e conscientes da privacidade para proteger sistemas digitais críticos contra ameaças cibernéticas em evolução.

Direções Futuras
Os autores observam que trabalhos futuros devem focar na otimização da eficiência de comunicação para aumentar a escalabilidade e o desempenho em tempo real. Eles também sugerem explorar modelos de IA híbridos, federated security baseada em blockchain e sistemas de inteligência de ameaças adaptativos para ambientes de computação de borda (edge) e IoT.