Multi-Level Distributional Entropy for Explainable Network Intrusion Detection

Resumo Técnico: Entropia Distribuicional Multinível para Detecção de Intrusão em Redes Explicável

Declaração do Problema
Os atuais Sistemas de Detecção de Intrusão (IDS) baseados em Aprendizado de Máquina dependem fortemente de estatísticas agregadas de fluxo (ex: contagens de pacotes, volumes de bytes, duração da conexão) extraídas por ferramentas como o CICFlowMeter. Embora eficazes para detecção baseada em magnitude, esses descritores agregados descartam a estrutura sequencial e distribuicional do tráfego, que frequentemente difere sistematicamente entre sessões benignas e ataques. Medidas informacionais tradicionais (ex: entropia de Shannon, Entropia Aproximada) são conhecidas por capturar essa diferença estrutural, mas exigem sequências ordenadas de dados brutos de pacotes. Como a maioria dos benchmarks de IDS e pipelines operacionais utiliza conjuntos de dados de fluxo pré-agregados onde os pacotes brutos não estão disponíveis, existe uma barreira prática para a integração de recursos baseados em entropia. Além disso, os classificadores de conjunto (ensemble) de alto desempenho existentes são frequentemente opacos, criando desafios de conformidade e auditoria em ambientes regulados. Por fim, os protocolos de avaliação predominantes dependem de escores F1 agregados de conjuntos de dados únicos, o que pode ocultar modos críticos de falha operacional, como baixas taxas de detecção (DR) ou generalização deficiente sob mudanças temporais.

Metodologia: O Framework MDE
Os autores propõem a Entropia Distribuicional Multinível (MDE - Multi-Level Distributional Entropy), um framework analítico que deriva recursos de entropia interpretáveis diretamente de estatísticas de resumo de fluxo pré-agregadas, sem exigir acesso a pacotes brutos ou dados de treinamento. A MDE opera em três níveis complementares:

1. Nível 1 (Entropia Diferencial Gaussiana Intra-Fluxo - ADE): Assume que o tamanho dos pacotes e os intervalos entre chegadas seguem uma distribuição Gaussiana. Ela computa a entropia diferencial ($h(X) = \frac{1}{2}\ln(2\pi e\sigma^2)$) usando a média e o desvio padrão disponíveis nos registros de fluxo. Isso captura a complexidade intra-fluxo; ferramentas de ataque costem produzir tráfego de baixa variância (regular), resultando em menor entropia comparado ao tráfego benigno variável.
2. Nível 2 (Divergência de Jensen-Shannon Cross-Direcional - JSD): Mede a assimetria distribucional entre o tráfego direto (origem-para-destino) e o inverso (destino-para-origem). Ela aproxima a JSD entre duas distribuições Gaussianas parametrizadas pelos estatísticos do fluxo. Isso captura desequilíbrios direcionais comuns em ataques (ex: inundações de DDoS ou varreduras de portas) versus a simetria bidirecional de sessões benignas.
3. Nível 3 (Entropia de Shannon de Padrão de Flags TCP): Computa a entropia de Shannon sobre a distribuição das flags de controle TCP (FIN, SYN, RST, etc.) dentro de um fluxo. Baixa entropia indica fluxos dominados por um único tipo de flag (ex: SYN floods), uma assinatura de padrões de ataque específicos.

Principais Contribuições

1. Construção Analítica de Recursos: A MDE constrói de 7 a 12 recursos de entropia interpretáveis analiticamente a partir de estatísticas padrão de fluxo (médias, desvios padrões, contagens). Ela não requer dados brutos de pacotes, não requer dados de treinamento para extração de recursos e não requer retreinamento quando aplicada a diferentes conjuntos de dados com esquemas variados.
2. Protocolo de Avaliação Operacional Livre de Vazamento (Leakage-Free): Os autores introduzem um framework de avaliação rigoroso que evita o vazamento de dados (usando pré-processamento local de fold) e reporta um conjunto completo de métricas operacionais (Taxa de Detecção, Taxa de Falso Alarme, MCC, PR-AUC) além do F1. Este protocolo é projetado para expor modos de falha que escores agregados ocultam, incluindo mudanças temporais e famílias de ataques não vistos.
3. Análise de Explicabilidade e Estabilidade: O estudo aplica SHapley Additive exPlanations (SHAP) aos classificadores aumentados pela MDE. Ele quantifica a estabilidade de fold e a coerência de domínio das atribuições de entropia, demonstrando que os recursos de entropia recebem explicações reproduzíveis e teoricamente fundamentadas em ambientes heterogêneos.

Resultados

• Desempenho: Através de quatro benchmarks (NSL-KDD, CICIDS-2017, CICIDS-2018, UNSW-NB15), os recursos de entropia pura alcançam escores F1 ponderados variando de 0,708 a 0,989. Quando combinados com recursos convencionais, a MDE não degrada o desempenho; os escores F1 intra-distribuição permanecem estatisticamente indistinguíveis das linhas de base de apenas recursos convencionais.
• Modos de Falha Operacional: O reporte de métricas completas revelou lacunas significativas ocultadas pelo F1 agregado:
  • No CICIDS-2018, um F1 de ~0,74 mascarou uma Taxa de Detecção (DR) de apenas 0,48, significando que menos da metade dos ataques foi detectada.
  • No CICIDS-2017 sob mudança temporal (treinando de Segunda a Quinta, testando na Sexta), a DR colapsou para 0,082 apesar de um AUC de 0,87, indicando que, embora o modelo pudesse classificar ataques com maior ranking do que o tráfego benigno, os limiares fixos falharam completamente.
  • Em testes de família de ataque não vista (famílias Infiltration e Bot retidas), a DR caiu para 0,000 para todos os modelos, com o F1 permanecendo >0,998 devido exclusivamente à classe majoritária benigna.
• Robustez e Transferência: Os recursos MDE mostraram degradação suave sob ruído Gaussiano aditivo. No entanto, a transferência zero-shot entre datasets (ex: treinar no CICIDS-2017, testar no CICIDS-2018) resultou em quedas significativas de desempenho (F1 de 0,955 para 0,591), confirmando que as assinaturas de entropia são específicas de cada família de ataque e requerem adaptação de domínio.
• Interpretabilidade: A análise SHAP confirmou que os recursos de entropia (particularmente JSD e ADE) são consistentemente entre os principais contribuintes para as predições. A análise de estabilidade de fold mostrou altas correlações de ranking de Spearman (0,80–0,95) para as atribuições de todos os recursos, confirmando que o modelo depende de sinais de entropia de domínio coerentes.

Significância e Alegações
O artigo alega que a principal contribuição da MDE não é um aumento dramático na precisão de classificação agregada sobre os recursos convencionais, mas sim uma mudança na metodologia de representação e avaliação.

• Representação: A MDE fornece recursos compactos e teoricamente fundamentados que capturam a estrutura distribucional (regularidade, assimetria, diversidade de protocolo) que as estatísticas agregadas descartam. Esses recursos são nativamente interpretáveis via SHAP, abordando o problema da "caixa preta" dos classificadores de conjunto.
• Avaliação: O estudo demonstra que os escores F1 agregados padrão são insuficientes para a avaliação de segurança operacional. Ao expor a divergência de ranking de limiar (onde o AUC permanece alto, mas a DR colapsa) e a falha em detectar famílias de ataques não vistos, o artigo argumenta por protocolos de avaliação que priorizem métricas operacionais completas e testes de mudança temporal/família não vista.
• Aplicabilidade: A MDE oferece uma solução prática para ambientes onde os dados brutos de pacotes não estão disponíveis, permitindo a integração de insights informacionais-teóricos em pipelines de IDS baseados em fluxo padrão sem o overhead de aprendizado profundo ou armazenamento de dados brutos.

Os autores concluem que, embora os recursos de entropia não resolvam o desafio fundamental de generalizar para taxonomias de ataques não vistos sem retreinamento, eles fornecem uma camada de análise robusta, interpretável e computacionalmente eficiente que complementa as estatísticas convencionais e revela riscos operacionais frequentemente mascarados por métricas padrão.