Continuous Behavioral Authentication via Multi-Expert BERT Log Analysis for Secure Data Sharing

Resumo Técnico: Autenticação Comportamental Contínua via Análise de Logs com Multi-Expertos BERT

Declaração do Problema
Dispositivos móveis modernos são centrais para infraestruturas de compartilhamento de dados regidas por políticas de confiança zero (zero-trust), porém a autenticação tradicional permanece estática, baseando-se em verificações de ponto de entrada (ex: PIN, biometria). Uma vez iniciada a sessão, esses mecanismos não conseguem verificar se o usuário legítimo permanece no controle, deixando os dispositivos vulneráveis a ataques de acesso físico. Embora a autenticação contínua (CA) baseada em biometria comportamental (ex: cadência de digitação, movimento) exista, ela frequentemente exige dados de sensores intrusivos. Além disso, os detectores de anomalias de log existentes (ex: LogBERT) são projetados para a confiabilidade de infraestruturas de servidor, produzindo vereditos binários sem estado por janela, em vez de pontuações de confiança contínuas e específicas do usuário. Há uma lacuna no uso de logs brutos do sistema Android — que codificam nativamente identidade de rede, dinâmica de consumo de energia e topologia espacial — como um sinal não intrusivo e livre de sensores para a garantia de contexto usuário-dispositivo de forma contínua.

Metodologia
O framework proposto utiliza um pipeline de quatro fases para transformar logs brutos do sistema Android em uma pontuação de confiança contínua para um Ponto de Decisão de Política (PDP):

1. Parsing de Logs: Fluxos brutos de logcat são processados por um parser Drain adaptado ao domínio. Este decompõe linhas de log em templates de eventos estáveis (com placeholders tipados como <mac>, <ipv4>) e valores de variáveis dinâmicas.
2. Engenharia de Atributos (Feature Engineering): Os dados extraídos são roteados para três canais semanticamente independentes:
   • Canal de Identidade: Pareia uma janela deslizante das últimas 50 IDs de eventos com os últimos valores dinâmicos observados, injetando embeddings sensíveis ao tipo.
   • Canal de Bateria: Processa logs do DeviceStatisticsService em telemetria de média móvel exponencial dupla (EMA), codificando modos operacionais (STABLE, DRAIN, CHARGE) e intervalos temporais.
   • Canal de Topologia Wi-Fi: Codifica varreduras de WifiPickerTracker como pares de tokens SSID–RSSI fundidos.
3. Ajuste Fino de Multi-Expertos (Multi-Expert Fine-Tuning): Um codificador BERT-base compartilhado (pré-treinado em sintaxe de log Android via uma tarefa de Modelagem de Linguagem Mascarada específica do domínio) é ajustado com cabeças especializadas para cada canal:
   • Especialista de Identidade: Prediz valores de variáveis dinâmicas mascaradas com base no contexto. Utiliza um vocabulário customizado para evitar a fragmentação de identificadores (ex: endereços IP) e atribui baixa confiança a valores Fora do Vocabulário (OOV).
   • Especialista de Bateria: Classifica transições de bateria em seis bins temporais (ex: TS_INSTANT, TS_MID) e uma classe de violação lógica. É agnóstico ao nível, focando no ritmo do consumo de energia em vez da porcentagem absoluta da bateria.
   • Especialista de Topologia Wi-Fi: Um autoencoder de cabeça dupla que reconstrói tanto a identidade do SSID (Entropia Cruzada) quanto a força do sinal (MSE), aprendendo correlações espaciais entre pontos de acesso.
4. Fusão de Multi-Expertos: As pontuações de confiança ($S_{Ident}$, $S_{Batt}$, $S_{WiFi}$) dos três especialistas são agregadas. Elas passam por uma transformação de espaço logarítmico ($-\ln(S + \epsilon)$) para amplificar desvios próximos a regiões de alta confiança, seguidas de padronização Z-score. Finalmente, um classificador de distância de 5-vizinhos mais próximos (5-NN) compara o vetor transformado contra uma "região normal" armazenada, derivada de dados de treinamento limpos. Uma anomalia é sinalizada se a distância exceder um limiar calibrado (percentil 99,9).

Principais Contribuições

• Framework: Um sistema de autenticação comportamental contínua que explora logs do sistema Android como uma fonte não intrusiva de evidências do usuário e do dispositivo.
• Estratégia de Pré-treinamento: Uma abordagem de pré-treinamento BERT adaptada ao domínio que aprende a gramática estrutural de logs Android (regras de coocorrência) sem precisar de dados específicos do usuário inicialmente.
• Arquitetura de Multi-Expertos: Uma decomposição inovadora da autenticação comportamental em três dimensões distintas (identidade de rede, tempo de bateria, topologia espacial), modeladas separadamente antes da fusão.
• Mecanismo de Fusão: Uma transformação de espaço logarítmico e um classificador de vizinhos mais próximos que gera uma pontuação de confiança contínua adequada para Pontos de Decisão de Política de confiança zero, em vez de um alerta binário.
• Avaliação: Uma avaliação abrangente cobrindo desvios semânticos (valores OOV), anomalias físicas (exaustão de bateria) e mudanças ambientais (topologia Wi-Fi).

Resultados Experimentais
O framework foi avaliado com dados coletados de um OnePlus 8T rodando Android 11.0.

• Especialista de Identidade: Alcançou 99,07% de acurácia Top-1 na predição de variáveis dinâmicas dado o contexto. Demonstrou robustez a valores OOV (taxa de identificação de desconhecidos de 100%) e alta sensibilidade a inconsistências de valor-contexto (a confiança caiu de ~98% para ~10% com 100% de inconsistência).
• Especialista de Bateria: Detectou com sucesso ataques de exaustão de recursos que alteraram os ritmos de descarga. Alcançou 100% de recall em anomalias injetadas (eventos de descarga rápida) com zero falsos positivos, pois a distribuição de treinamento continha nenhum evento de drenagem TS_INSTANT.
• Especialista de Topologia Wi-Fi: Mostrou alta sensibilidade a ambientes desconhecidos (a confiança caiu para 0,23%) enquanto tolerou perda parcial de sinal (97,30% de confiança com APs ausentes) e flutuações menores.
• Classificador de Fusão: O sistema de ponta a ponta manteve uma Taxa de Falso Positivo (FPR) abaixo de 1% (variando de 0,45% a 0,78% entre os datasets) enquanto detectou todas as anomalias injetadas (0% de Taxa de Falso Negativo) nos cenários controlados. Variações benignas de Wi-Fi foram amplamente toleradas, confirmando a capacidade do sistema de distinguir entre ruído e mudanças reais de contexto.

Significância e Alegações
O artigo afirma que os logs do sistema Android servem como um sinal prático e livre de sensores para autenticação contínua. Ao fundir modalidades de rede, energia e espacial, o sistema pode detectar desvios semânticos, temporais e topológicos, mantendo uma baixa taxa de falsos positivos. Os autores posicionam este trabalho como a primeira tentativa de aplicar modelos especialistas baseados em BERT decompostos por domínio em logs de dispositivo para autenticação comportamental contínua, fornecendo uma pontuação de confiança pronta para PDP que suporta arquiteturas de confiança zero sem degradar a experiência do usuário através de reautenticações intrusivas. O estudo sugere que tais sistemas podem verificar a validade do contexto usuário-dispositivo durante toda uma sessão, abordando um pilar fundamental das estruturas de autenticação modernas.