Forensic-Oriented Intrusion Detection Using Synthetic Network Traffic Data and Explainable Artificial Intelligence

Resumo Técnico: Detecção de Intrusão Orientada à Forense Usando Dados de Tráfego de Rede Sintéticos e Inteligência Artificial Explicável

Declaração do Problema
As investigações forenses digitais de intrusões de rede enfrentam duas barreiras estruturais que impedem a adoção generalizada de pipelines de aprendizado de máquina (ML): disponibilidade de dados e transparência. Primeiro, capturas de rede reais frequentemente contêm informações sensíveis e identificáveis de usuários que não podem ser utilizadas para treinamento sob regulamentações de proteção de dados (ex: GDPR) ou requisitos de cadeia de custódia que proíbem o processamento da evidência original. Segundo, modelos de alto desempenho de ML (ex: aprendizado profundo, métodos de ensemble) operam frequentemente como "caixas pretas", carecendo de justificativas ao nível de instância exigidas para relatórios defensáveis em tribunal. Pesquisas existentes abordam essas questões de forma independente, mas nenhum framework prévio integra geração de dados sintéticos, detecção de intrusão e explicabilidade dentro de um único pipeline governado por padrões forenses estabelecidos (ISO/IEC 27037, 27041, 27042 e NIST SP 800-86).

Metodologia
Os autores propõem um framework orientado à forense que operacionaliza a separação estrita entre a evidência digital original e os artefatos analíticos derivados. A metodologia segue um processo de seis etapas:

1. Manuseio de Evidências: Os conjuntos de dados originais (CICIDS2017, UNSW-NB15, Kitsune) são tratados como artefatos imutáveis de leitura exclusiva com hashes de integridade SHA-256. Todo o processamento ocorre em "cópias limpas" ou derivados sintéticos.
2. Geração de Dados Sintéticos: Um pipeline parametrizado usando o framework Synthetic Data Vault (SDV) com CTGAN (Redes Adversárias Generativas Condicionais) gera tráfego de rede sintético. Esta abordagem aborda o desequilíbrio de classes sem os artefatos de sobreamostragem post-hoc, permitindo experimentação reprodutível sem expor a evidência original.
3. Classificação: Um classificador binário XGBoost é empregado para detecção de intrusão. O XGBoost foi selecionado por seu alto desempenho em dados tabulares e sua compatibilidade com o SHAP (SHapley Additive exPlanations) TreeExplainer, que fornece atribuições de características exatas ao nível de instância, em vez de aproximações.
4. Explicabilidade: O framework integra o SHAP para gerar tanto resumos globais (classificação de importância de características) quanto gráficos de cascata (waterfall plots) locais (decomposição de previsões individuais). Isso mapeia previsões estatísticas para comportamentos de rede observáveis (ex: duração do fluxo, taxas de pacotes) adequados para relatórios forenses.
5. Protocolo de Avaliação: O estudo utiliza um protocolo de Treinar-no-Sintético, Testar-no-Real (TSTR) para simular cenários juridicamente restritos onde a evidência original não pode ser usada para treinamento. Três cenários são comparados: Real-para-Real (R→R), Sintético-para-Real (S→R) e Misto-para-Real (M→R).
6. Validação: A fidelidade estatística é avaliada usando o teste Kolmogorov–Smirnov (KS) para garantir a preservação da privacidade (distinguibilidade dos dados originais) enquanto mantém a utilidade operacional.

Principais Contribuições

• Pipeline de Separação de Evidência Forense-Artefato: A primeira integração de dados sintéticos, detecção baseada em ML e explicabilidade dentro de um fluxo de trabalho explicitamente governado pela ISO/IEC 27037, 27041, 27042 e NIST SP 800-86. Isso operacionaliza o requisito de que a evidência original permaneça inalterada enquanto os artefatos analíticos são derivados de dados sintéticos ou cópias controladas.
• Validação Empírica TSTR: Demonstra que modelos treinados inteiramente em dados sintéticos podem alcançar alto desempenho de detecção em tráfego real. No CICIDS2017, o cenário S→R alcançou um F1-macro de 0,96, dentro da variância de validação cruzada do baseline R→R (0,97).
• Camada de Interpretação Forense: O estudo mapeia as atribuições SHAP para indicadores forenses específicos de ataques de Força Bruta (Brute Force), Varredura de Porta (Port Scan) e Negação de Serviço (DoS). Ele confirma que o treinamento sintético preserva as "impressões digitais de ataque" necessárias para o testemunho de peritos.
• Insight Metodológico sobre Mistura de Dados: O artigo identifica que misturar dados reais e sintéticos sem controle estrito sobre a distribuição de classes (M→R) leva à degradação do desempenho (F1-macro 0,87) devido ao viés de classe, reforçando a necessidade de controle parametrizado na aumentação de dados.
• Condições de Contorno Operacionais: A validação entre diferentes datasets revela que a eficácia do treinamento apenas sintético depende fortemente da dimensionalidade do espaço de características. A abordagem é eficaz com dados de alta dimensionalidade (ex: CICIDS2017 com 78 características), mas degrada significativamente com datasets de baixa dimensionalidade (ex: Kitsune com 7 características), estabelecendo um limite prático de aproximadamente 30 características numéricas de nível de fluxo para treinamento apenas sintético.

Resultados

• Desempenho: No CICIDS2017, o modelo S→R alcançou um F1-macro de 0,96, comparado a 0,97 para R→R e 0,87 para M→R. O XGBoost superou o Random Forest (0,95) e o SVM (0,92) no cenário R→R.
• Fidelidade Estatística: O teste KS confirmou que os dados sintéticos são estatisticamente distinguíveis dos originais (média |KS| = 0,38 para o CICIDS2017), satisfazendo os requisitos de preservação de privacidade enquanto retém as características distributivas necessárias para a classificação binária.
• Consistência de Explicabilidade: As atribuições SHAP para ataques de Força Bruta, Varredura de Porta e DoS foram consistentes entre instâncias reais e sintéticas, validando que os dados sintéticos preservam os padrões comportamentais necessários para a análise forense.
• Impacto da Dimensionalidade: No UNSW-NB15 (45 características), o desempenho S→R caiu para F1-macro 0,52. No Kitsune (7 características), caiu para 0,24. No entanto, o cenário M→R recuperou o desempenho para níveis próximos ao baseline (0,98 e 0,96, respectivamente) nesses casos de menor dimensionalidade.

Significância
O artigo afirma que sua principal significância não reside meramente na precisão da detecção, mas na criação de um fluxo de trabalho defensável, reprodutível e auditável para a forense digital auxiliada por IA. Ao separar estritamente a evidência original dos artefatos analíticos e utilizar modelos explicáveis, o framework aborda a "barreira da transparência" que historicamente dificultou a admissibilidade legal de ML em investigações forenses. O trabalho demonstra que dados sintéticos podem servir como um substituto funcional para o tráfego real em cenários de treinamento onde restrições de privacidade ou de cadeia de custódia impedem o uso da evidência original, desde que o espaço de características seja suficientemente rico e o processo de geração seja estritamente parametrizado. Os autores enfatizam que o framework posiciona os outputs de ML como indicadores analíticos para apoiar o julgamento de especialistas, em vez de como evidências independentes de intenção maliciosa, alinhando-se aos limites epistemológicos da atribuição estatística.