Resumo Técnico: Geração de Pacotes de Rede Sintéticos através de Aprendizado Estatístico e Algoritmos Genéticos

Declaração do Problema

O desenvolvimento de Sistemas de Detecção de Intrusão (IDS) robustos para ambientes de Internet das Coisas (IoT) requer conjuntos de dados rotulados que capturem distribuições de tráfego realistas tanto para atividades benignas quanto maliciosas. No entanto, os conjuntos de dados públicos existentes sofrem com distribuições de atividade fixas e um desequilíbrio extremo de classes (por exemplo, o conjunto de dados ACI IoT 2023 contém um desequilíbrio de 175.805:1 entre o tráfego benigno e ataques de ARP Spoofing). Além disso, modelos generativos profundos como GANs e VAEs frequentemente experimentam o colapso de modo (mode collapse) e carecem de mecanismos para garantir que os pacotes sintéticos permaneçam dentro de intervalos de características fisicamente válidos. Técnicas de perturbação adversarial similarmente falham em respeitar as restrições estruturais do tráfego de rede legítimo. O desafio central é criar pipelines de geração que incorporem restrições de validade rígidas — imposição de limites explícitos e portões de modelos de anomalia — diretamente no processo de síntese, em vez de depender apenas de aprendizado distributivo implícito.

Metodologia

O artigo propõe e compara duas abordagens de imposição de restrições para gerar pacotes de rede IoT sintéticos, ambas operando sobre o conjunto de dados ACI IoT 2023 (1.231.411 pacotes, 75 características, 12 categorias de ataque). Ambos os métodos compartilham uma característica arquitetônica crítica: um portão duplo de detecção de anomalias que exige a aceitação simultânea por modelos de One-Class SVM (OCSVM) e Isolation Forest (IF) treinados independentemente antes que um pacote seja admitido.

1. Método de Aprendizado Estatístico

Esta abordagem trata a geração como um problema de amostragem dentro de um espaço latente:

• Amostragem Híbrida: Os pacotes sintéticos são gerados via uma mistura de duas fontes: (i) amostragem de espaço latente baseada em PCA para preservar as correlações entre características, e (ii) amostragem Gaussiana direta em torno de centroides de classe para introduzir variabilidade.
• Regularização Adaptativa: O parâmetro de regularização ($\nu$) do OCSVM e a contaminação do IF são ajustados dinamicamente com base no tamanho da classe ($n$) usando $\nu_c = \min(0.1, 1/(n+1))$ para evitar o sobreajuste (overfitting) em classes esparsas.
• Imposição de Restrições: Os candidatos gerados passam por um estrangulamento (clamping) elemento a elemento aos limites de características observados ($[l_c, u_c]$) e são submetidos a um portão binário de aceitação/rejeição. Um pacote é aceito apenas se ambos o OCSVM e o IF o classificarem como normal. Pacotes rejeitados são descartados e regenerados.

2. Método de Algoritmo Genético (GA)

Esta abordagem trata a geração de pacotes como um problema de otimização multiobjetivo:

• Função de Aptidão (Fitness): A aptidão de um pacote candidato equilibra a aceitação do modelo de anomalia (peso de 80%) com a fidelidade distributiva (peso de 20%, medida pela distância ao centroide da classe).
• Inicialização da População: A população inicial é construída a partir de três fontes para equilibrar exploração e explotação: amostras de treinamento reais (perturbadas), amostras Gaussianas e amostras uniformes através dos limites de características.
• Processo Evolutivo: O algoritmo emprega seleção por torneio, múltiplos operadores de cruzamento (uniforme, ponto único, mistura/blend) e estratégias de mutação. Inclui um mecanismo de reinicialização por estagnação para escapar de ótimos locais.
• Imposição de Restrições: Assim como o método estatístico, todos os descendentes são limitados aos limites de características, e a função de aptidão penaliza severamente pacotes que falham nos critérios de aceitação duplo do OCSVM/IF.

3. Estrutura de Validação Independente

Para garantir uma avaliação de qualidade objetiva, os autores utilizam uma separação estrita entre geração e validação. Os modelos de validação (OCSVM e IF) são treinados exclusivamente nos dados originais do ACI IoT 2023, sem parâmetros compartilhados com os modelos de geração. Um conjunto sintético atinge o status de "PASS" se a taxa de anomalia ($A_f$) através destes validadores independentes estiver abaixo de um limiar de $\tau = 0.30$.

Principais Contribuições

1. Comparação Sistemática: Uma comparação direta entre aprendizado estatístico e algoritmos genéticos para a geração de pacotes de rede IoT com imposição de restrições, avaliada contra quatro critérios explícitos de aceitação.
2. Arquitetura de Portão Duplo: A introdução de um mecanismo de portão de detecção de anomalia duplo (OCSVM + IF) incorporado diretamente no pipeline de síntese, garantindo que as restrições de validade rígidas sejam atendidas antes da saída.
3. Tratamento de Desequilíbrio Extremo: Evidência empírica demonstrando que ambos os métodos podem amplificar com sucesso categorias de ataque extremamente escassas (até $n=5$ amostras, especificamente ARP Spoofing) em 200× a 1.000 pacotes validados sem degradar abaixo do limiar de anomalia.
4. Análise de Troca Computacional (Trade-off): Uma análise quantitativa revelando uma razão de throughput de aproximadamente 190:1 entre os dois métodos, fornecendo critérios de seleção baseados em evidências para diferentes contextos de implantação.

Resultados Experimentais

Avaliados no conjunto de dados completo ACI IoT 2023, ambos os métodos alcançaram o status PASS em todas as 12 categorias de ataque sob a estrutura de validação independente ($\tau = 0.30$).

• Desempenho do Aprendizado Estatístico:
  • Taxa de Anomalia: Alcançou uma taxa de anomalia média de 1,20% através de quatro níveis de validação (0,00% em níveis específicos de classe, 13,20% no IF global para a classe Benigna devido à alta variância intra-classe).
  • Throughput: ~1.091 pacotes/segundo.
  • Características: Taxas de anomalia quase uniformes com baixa variância por classe, indicando alta consistência, mas limitada variabilidade intra-classe.
• Desempenho do Algoritmo Genético:
  • Taxa de Anomalia: Alcançou uma taxa de anomalia média de 0,62% através de dois níveis específicos de classe.
  • Throughput: ~5,7 pacotes/segundo.
  • Características: Variância orgânica por classe (0,00%–2,50%), indicando uma exploração mais ampla do espaço de características válido.
• Caso de Desequilíbrio Extremo (ARP Spoofing, $n=5$):
  • Ambos os métodos geraram com sucesso 1.000 pacotes validados.
  • Método estatístico: 0,00% de taxa de anomalia.
  • Método GA: 2,50% de taxa de anomalia (OCSVM), 0,00% (IF).
  • Nota-se que o sobreamostragem padrão (SMOTE) falha neste regime devido a estruturas de vizinhança degeneradas em espaços de alta dimensão.

Significância e Alegações

O artigo alega que a incorporação de restrições de validade rígidas diretamente no pipeline de geração produz com sucesso pacotes de rede IoT sintéticos que são consistentemente aceitos como "normais para a classe" por validadores independentes, abordando as limitações dos modelos generativos profundos existentes.

Os autores postulam que a escolha entre os métodos depende do contexto de implantação:

• O Aprendizado Estatístico é adequado para aumento rápido de conjuntos de dados onde eficiência e consistência são prioridades (ex: expansão de conjuntos de treinamento para treinamento de IDS durante a noite).
• Os Algoritmos Genéticos são adequados para cenários onde a diversidade é a prioridade, como testes de robustez adversarial, geração de tráfego de red team, ou testes de estresse de IDS com representações de tráfego variadas dentro de limites válidos.

O trabalho destaca que, embora ambos os métodos superem o "gap de geração" para classes escassas, eles diferem fundamentalmente no custo computacional e na natureza da diversidade sintética que produzem. O artigo conclui observando limitações, especificamente a falta de modelagem de fluxo sequencial e validação semântica específica de protocolo, sugerindo estas como áreas para pesquisas futuras.