Hybrid CNN-LSTM Framework for Intelligent Cyber Attack Detection and Prevention in U.S. Critical Digital Infrastructure: A Comparative Machine Learning Evaluation on CSE-CIC-IDS2018

Resumo Técnico: Estrutura Híbrida CNN-LSTM para Detecção Inteligente de Ataques Cibernéticos

Definição do Problema
A acelerada digitalização da infraestrutura crítica dos Estados Unidos (saúde, finanças, energia, transporte e governo) criou uma superfície de ataque que os Sistemas de Detecção de Intrusão (IDS) tradicionais, baseados em assinaturas, estão mal equipados para defender. As abordagens legadas falham contra explorações de dia zero (zero-day), campanhas de negação de serviço distribuído (DDoS), botnets e ataques de infiltração furtivos porque dependem do reconhecimento de ameaças já vistas anteriormente. Além disso, as soluções de IA existentes frequentemente lutam contra altas taxas de falsos positivos, sobrecarga computacional em ambientes de tempo real e uma falta de adaptabilidade aos cenários de ameaças em evolução. O estudo aborda a necessidade de uma estrutura de defesa adaptativa e inteligente, capaz de detectar e classificar ameaças cibernéticas em tempo real com alta sensibilidade e baixas taxas de falso alarme.

Metodologia
O estudo emprega um design experimental quantitativo utilizando o conjunto de dados de referência CSE-CIC-IDS2018, um corpus de tráfego de rede multivetorial realista gerado pelo Canadian Institute for Cybersecurity. A metodologia prossegue através de oito estágios interconectados:

1. Pré-processamento de Dados: O conjunto de dados bruto, caracterizado por um desequilíbrio severo de classes (o tráfego benigno supera vastamente os ataques) e problemas de qualidade de dados (valores ausentes/infinitos), passou por uma limpeza sistemática. Isso incluiu a remoção de valores NaN/infinitos, a eliminação de registros duplicados e a aplicação de normalização Min-Max. Para lidar com o desequilíbrio de classes, foi aplicada uma combinação de sobreamostragem aleatória (random oversampling) para as classes de ataque minoritárias e subamostragem (undersampling) para a classe benigna dominante, aplicada exclusivamente ao conjunto de treinamento, enquanto o conjunto de teste reteve a distribuição original para refletir as condições do mundo real.
2. Engenharia de Atributos (Feature Engineering): Foi utilizada uma abordagem de três fases: análise de correlação de Pearson para remover atributos redundantes (correlação > 0,95), classificação de importância de atributos baseada em Random Forest para excluir atributos de baixo sinal, e um teste de Análise de Componentes Principais (PCA), que foi finalmente descartado por oferecer ganhos marginais ao custo da interpretabilidade. O conjunto final de atributos incluiu Duração do Fluxo, estatísticas de Comprimento de Pacote, contagens de Pacotes Diretos/Inversos, Porta de Destino, Tipo de Protocolo e tempos de intervalo entre chegadas.
3. Desenvolvimento do Modelo: Cinco arquiteturas foram sistematicamente comparadas:
   • Random Forest e XGBoost: Classificadores de conjunto (ensemble) clássicos que servem como bases padrão da indústria.
   • Support Vector Machine (SVM): Um classificador baseado em kernel (treinado em uma subamostra estratificada de 30% devido a restrições computacionais).
   • Rede Neural Convolucional (CNN): Projetada para extrair interações de atributos espaciais a partir de matrizes de tráfego 2D remodeladas.
   • Long Short-Term Memory (LSTM): Projetada para capturar sequências temporais de fluxos de rede.
   • Híbrido CNN-LSTM: Uma arquitetura de via dupla onde as camadas CNN realizam a extração de atributos espaciais, alimentando as camadas LSTM para modelagem de sequência temporal.
4. Arquitetura da Estrutura (Framework): Os modelos foram integrados em um pipeline de defesa cibernética de ponta a ponta compreendendo módulos para coleta de tráfego, pré-processamento, extração de atributos, detecção de ameaças baseada em IA, classificação de ataques e prevenção automatizada de ameaças.
5. Avaliação: Os modelos foram treinados em uma divisão estratificada de 80/20. O desempenho foi avaliado usando Acurácia, Precisão, Recall, F1-Score, ROC-AUC e Taxa de Falso Positivo (FPR).

Principais Resultados
Todos os modelos avaliados atingiram precisão de detecção acima de 96%, mas o modelo Híbrido CNN-LSTM demonstrou desempenho superior em todas as métricas:

• Acurácia: O modelo Híbrido alcançou 99,1%, superando o Random Forest (96,8%), XGBoost (97,5%), CNN (98,1%) e LSTM (98,4%).
• Precisão e Recall: O modelo Híbrido atingiu aproximadamente 99,0% de precisão e 98,8% de recall, indicando uma melhoria genuína na capacidade discriminativa em vez de um compromisso (trade-off) entre os dois.
• Taxa de Falso Positivo (FPR): O modelo Híbrido alcançou o menor FPR em ~2,0%, uma redução significativa em comparação ao Random Forest (5,5%) e XGBoost (4,8%). Essa redução é operacionalmente crítica para mitigar a fadiga de alertas dos analistas em ambientes de alto volume.
• Importância de Atributos: A análise revelou que a Duração do Fluxo (0,28 de importância), o Comprimento do Pacote (0,24) e a Porta de Destino (~0,18) foram os atributos mais preditivos, respondendo coletivamente por cerca de 70% do sinal de classificação.
• ROC-AUC: A estrutura alcançou um AUC de 1,00 no conjunto de teste, indicando uma separabilidade de classes quase perfeita sob as condições experimentais.

Significância e Alegações
O artigo alega que a estrutura Híbrida CNN-LSTM oferece uma melhoria significativa e implementável em relação às abordagens convencionais de IDS. A significância do trabalho reside na demonstração de que a integração da extração de atributos espaciais (CNN) com o aprendizado de sequência temporal (LSTM) permite a captura simultânea de assinaturas de atributos dentro do fluxo e sequências comportamentais entre fluxos, as quais modelos de arquitetura única não capturam.

Os autores enfatizam que a capacidade da estrutura de manter alta sensibilidade de detecção enquanto reduz drasticamente os falsos positivos aborda um gargalo operacional primário na cibersegurança: a fadiga de alertas. Ao alcançar ~99% de acurácia e ~2% de FPR, o estudo sugere que o aprendizado profundo híbrido pode fornecer uma defesa cibernética escalável e de baixo alarme falso, adequada para proteger a infraestrutura crítica dos EUA.

Limitações e Escopo
O artigo mantém uma postura modesta em relação à implementação operacional. Ele reconhece explicitamente que:

• Os resultados baseiam-se no conjunto de dados 2018 CSE-CIC-IDS2018, que não reflete ameaças pós-2020, como ransomware-as-a-service, phishing gerado por IA ou intrusões na cadeia de suprimentos.
• A avaliação foi conduzida em tráfego reproduzido em vez de fluxos de rede ao vivo, o que significa que a latência de inferência em tempo real sob cargas de produção não foi medida.
• O modelo SVM foi treinado em uma subamostra, potencialmente subestimando seu desempenho em relação aos outros modelos.
• A explicabilidade não foi abordada; os modelos de aprendizado profundo funcionam como "caixas pretas", o que permanece uma barreira para a adoção em setores regulamentados.
• O estudo conclui que, embora a estrutura mostre uma forte promessa empírica, a validação contra dados de ataques contemporâneos e fluxos de rede ao vivo é necessária antes que conclusões operacionais possam ser tiradas.