nCMD: Benign-Anchored Feature Selection for Imbalanced Network Intrusion Detection

Resumo Técnico: Seleção de Características Ancorada em Tráfego Benigno para Detecção de Intrusão em Redes Desbalanceadas (nCMD)

Definição do Problema

Os Sistemas de Detecção de Intrusão em Redes (NIDS) operam em um regime fundamentalmente assimétrico, caracterizado por tráfego de alta dimensionalidade onde os fluxos benignos dominam amplamente, enquanto os ataques são esparsos, diversos e definidos como desvios do comportamento normal. Este desbalanceamento extremo de classes apresenta um desafio significativo para o aprendizado de detecção, particularmente em ambientes com restrições de recursos (ex: nós de borda em redes de defesa), onde a detecção deve ser rápida, interpretável e robusta.

Os métodos tradicionais de seleção de características baseados em filtros (ex: Limiar de Variância, Informação Mútua, Fisher Score) dependem de estatísticas globais computadas simetricamente entre todas as classes. Os autores argumentam que essa simetria está desalinhada com a semântica operacional de um NIDS. Como as estatísticas globais são dominadas pela maioria benigna, os escores de relevância simétricos tendem a suprimir sinais de classes de ataque minoritárias, subestimando sistematicamente características críticas para detectar ameaças raras, porém severas. Embora trabalhos recentes tenham introduzido o Desvio de Média por Classe (CMD) para aproveitar estatísticas de deslocamento de média, este ainda depende de uma média de referência global, que permanece enviesada para a classe benigna sob forte desbalanceamento.

Metodologia: Desvio de Média por Classe Ancorado em Benigno (nCMD)

O artigo propõe o nCMD, um método de filtro leve e interpretável que refina a abordagem CMD ao ancorar explicitamente a relevância das características ao tráfego benigno, em vez de uma média global.

Mecanismo Central:

1. Formulação do Problema: O conjunto de dados $D$ consiste em vetores de características $x_i$ e rótulos $y_i$, onde $y=0$ representa o tráfego benigno e $y \in \{1, \dots, C\}$ representa distintas classes de ataque.
2. Pré-processamento: Características com variância empírica próxima de zero são filtradas para reduzir o ruído. Valores ausentes são imputados e as características são normalizadas.
3. Função de Pontuação: Em vez de calcular desvios de uma média global, o nCMD calcula o vetor de média por classe $\mu_c$ para cada classe. O escore de relevância $D_j^{(nCMD)}$ para uma característica $j$ é a soma dos desvios absoltos de todas as médias das classes de ataque em relação à média da classe benigna ($\mu_0$):
   $$D_j^{(nCMD)} = \sum_{c=1}^{C} |\mu_{c,j} - \mu_{0,j}|$$
4. Seleção: As características são classificadas em ordem decrescente de seus escores. As top-$k$ características são selecionadas para a classificação subsequente.

Propriedades Principais:

• Assimetria: O método alinha-se ao objetivo operacional de um NIDS: identificar desvios do comportamento normal.
• Eficiência: Mantém a complexidade de tempo linear $O(Nd)$ do CMD original, exigindo apenas estatísticas resumidas por classe.
• Interpretabilidade: Os escores representam a magnitude do deslocamento de média em relação ao tráfego benigno, tornando-os semanticamente significativos.
• Modularidade: Como um filtro univariado, é agnóstico ao modelo e pode ser integrado a qualquer pipeline de NIDS sem treinamento iterativo.

Contribuições Principais

1. Proposta do nCMD: Um novo método de seleção de características que substitui a média de referência global por uma âncora da classe benigna, alinhando a pontuação de características com a natureza assimétrica da detecção de intrusão sem custo computacional adicional.
2. Avaliação Abrangente: O método foi avaliado em quatro conjuntos de dados de referência (CICIDS2017, CICDDoS2019, NSL-KDD, UNSW-NB15), múltiplos orçamentos de características (variando de um limite restrito de $k=5$ a $k=40$) e três classificadores subsequentes (Árvore de Decisão, MLP de 1 camada, MLP de 3 camadas).
3. Reprodutibilidade: Os autores disponibilizaram o código de implementação para facilitar pesquisas futuras.

Resultados Experimentais

A avaliação focou no F1-score Macro-médio, que é sensível ao desempenho das classes minoritárias, juntamente com Acurácia e F1-ponderado (Weighted-F1).

• Desempenho sob Orçamentos Restritos ($k=5$): No altamente desbalanceado CICIDS2017, o nCMD alcançou o maior Macro-F1 (0.4611), superando o melhor baseline clássico (Correlação de Pearson com 0.3974) e o CMD original (0.4563). No CICDDoS2019, o nCMD obteve o melhor escore em todas as métricas (Macro-F1: 0.7278), superando por pouco o CMD e o Fisher Score.
• Robustez entre Orçamentos: No CICIDS2017, o nCMD alcançou o melhor Macro-F1 em quatro dos cinco orçamentos testados ($k=5, 10, 30, 40$). Os filtros clássicos mostraram instabilidade significativa conforme o orçamento de características diminuía, enquanto o nCMD manteve um desempenho estável.
• Generalização entre Conjuntos de Dados: Usando as top-40 características, o nCMD obteve o melhor Macro-F1 em três dos quatro conjuntos de dados (CICIDS2017, NSL-KDD, UNSW-NB15). A melhoria mais significativa em relação ao CMD foi observada no conjunto de dados legado NSL-KDD (+0.0305).
• Independência de Classificador: O nCMD superou consistentemente todos os baselines, incluindo o CMD, em todos os três classificadores subsequentes. A vantagem foi mais pronunciada para o modelo de menor capacidade (MLP de 1 camada), sugerindo que o ranking ancorado em benigno é particularmente valioso quando o modelo subsequente não consegue compensar uma seleção de características deficiente.

Significância e Alegações

O artigo afirma que o nCMD fornece um componente de pré-processamento escalável, interpretável e eficiente, especificamente adequado para NIDS com recursos limitados. Sua principal significância reside em abordar o desalinhamento semântico da seleção de características simétrica tradicional em ambientes desbalanceados.

• Relevância Operacional: O método é mais vantajoso em cenários com severo desbalanceamento de classes e tipos de ataque diversos (ex: NSL-KDD, UNSW-NB15) e sob orçamentos de características restritos, típicos de implantação em borda (edge).
• Custo-Benefício: Alcança ganhos de desempenho sem aumentar a complexidade computacional ou a complexidade do modelo, tornando-o adequado para implantação em tempo real.
• Limitações: Os autores reconhecem que o nCMD é um método baseado em média e univariado, podendo perder ataques definidos por estatísticas de ordem superior (variância, dependências temporais). Também assume uma classe benigna bem definida, limitando sua aplicação direta em cenários não supervisionados ou de mundo aberto onde rótulos benignos não estão disponíveis.

Em conclusão, o artigo postula que uma modificação simples e semanticamente fundamentada no critério de relevância das características — ancorando-a ao tráfego benigno — pode melhorar significativamente o desempenho da detecção de intrusão sob desbalanceamento de classes, mantendo a eficiência necessária para implantação prática em larga escala.