Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

Resumo Técnico: Dinâmica Cibernética I: Macrostados Finitos para Detecção de Anomalias Comportamentais em Telemetria de Rede

1. Declaração do Problema

A defesa cibernética moderna opera em ambientes dinâmicos e heterogêneos, onde distinguir entre a variabilidade operacional benigna (ex: backups agendados, escalonamento automático de nuvem) e a reorganização adversária (ex: movimento lateral de APT, estagiamento coordenado) é um desafio central. Os métodos existentes de detecção de anomalias, particularmente aqueles baseados em entropia, frequentemente tratam a telemetria de rede como eventos isolados ou vetores de características estreitos. Essas abordagens tipicamente computam a entropia como uma estatística escalar sobre distribuições marginais (ex: IPs de origem, portas).

O artigo argumenta que essa abordagem de "entropia escalar" possui duas limitações críticas:

1. Representação Estreita: Ela reduz o comportamento do sistema a métricas de desordem, falhando em capturar padrões de organização estrutural, persistência ou coordenação.
2. Visão Estática: Trata anomalias como distribuições incomuns em um único ponto no tempo, ignorando a trajetória temporal e as transições de regime que frequentemente caracterizam ataques sofisticados.

Consequentemente, o desvio de carga de trabalho benigna pode mimetizar a instabilidade induzida por ataques, e ataques organizados podem preservar as distribuições marginais enquanto alteram fundamentalmente a estrutura do sistema, levando a falsos positivos ou detecções perdidas.

2. Metodologia: O Framework de Macroestado Finito

O artigo propõe um framework de macroestado de dimensão finita instanciado sobre o Substrato de Telemetria de Segurança Canônica (CSTS). Esta abordagem desloca a análise de registros de eventos isolados para estados comportamentais de granularidade grosseira.

A. Construção Formal
O framework opera através de três níveis:

1. Microestados: A unidade atômica é um evento de rede tipado $e = (\tau, src, dst, svc, proto, dir, attrs)$, representando uma interação temporalmente localizada entre entidades persistentes.
2. Micro-ensembles de Janela: Eventos são agregados em janelas de tempo $W_t$ para formar um multiconjunto de eventos $E_t$. Isso captura o contexto comportamental local em vez de pontos isolados.
3. Mapa de Macroestado ($\Phi$): Uma função de granularidade grosseira mapeia cada ensemble $E_t$ para um vetor de dimensão finita $X_t \in \mathbb{R}^d$. Este vetor é composto por sete famílias de observáveis interpretáveis:
   • Atividade ($A_t$): Carga e ocupação (ex: contagens de fluxo, entidades únicas).
   • Desordem ($H_t$): Dispersão de distribuição (entropia de Shannon, Rényi ou Tsallis sobre papéis, serviços, protocolos).
   • Ordem Estrutural ($S_t$): Topologia de interação (densidade de grafo, concentração de grau, contagem de motivos).
   • Volatilidade Temporal ($V_t$): Instabilidade de curto horizonte e irregularidade (burstiness).
   • Persistência ($P_t$): Recorrência de arestas, caminhos ou motivos através das janelas.
   • Acoplamento ($C_t$): Dependências entre componentes comportamentais (omitido na primeira passagem empírica por simplicidade).
   • Desvio ($D_t$): Distância de linhas de base benignas (ex: divergência de Jensen-Shannon).

B. Análise Dinâmica
O framework trata o comportamento cibernético como uma trajetória $\{X_t\}$ através do espaço de macroestados. A detecção de anomalias é definida via dois mecanismos:

• Anomalia de Estado: O macroestado atual $X_t$ reside fora do conjunto de regime benigno $\mathcal{B}$.
• Anomalia de Transição: O passo de $X_t$ para $X_{t+1}$ desvia-se do operador de transição nominal $T$, que modela a evolução benigna esperada. Isso permite a detecção de movimentos anômalos mesmo se os estados individuais parecerem benignos.

C. Justificativa Teórica
O artigo fornece proposições formais demonstrando que:

• Mapas de macroestados são bem definidos e invariantes à permutação.
• Macroestados baseados apenas em entropia são estruturalmente incompletos; micro-ensembles distintos podem ter entropias idênticas, mas organizações estruturais diferentes.
• A análise multiescala é necessária, pois a visibilidade da anomalia depende da resolução temporal (tamanho da janela).

3. Design Experimental

O framework foi avaliado em conjuntos de dados de telemetria de rede de referência: UNSW-NB15 e CIC-IDS2017.

• Pré-processamento: Os eventos foram normalizados para um esquema unificado, os papéis foram mapeados e os dados foram ordenados cronologicamente para preservar a estrutura temporal.
• Janelamento: Experimentos utilizaram múltiplas escalas ($\Delta \in \{30s, 60s, 300s, 900s\}$) com saltos (strides) sobrepostos.
• Linhas de Base: Comparações foram feitas contra:
  • Detectores de apenas entropia (limiarização, regressão logística sobre vetores de entropia).
  • Detectores de anomalias padrão (Isolation Forest, One-Class SVM, Autoencoders) sobre características agregadas.
• Ablação: O estudo testou sistematicamente a contribuição de cada família de variáveis macro (Atividade, Desordem, Estrutura, Volatilidade, Persistência, Desvio).

4. Resultados Principais

A. Superioridade dos Macrostados sobre a Entropia Única
Em ambos os conjuntos de dados, a representação completa de macroestados superou consistentemente as linhas de base de apenas entropia.

• UNSW-NB15: Na escala de 60s, o macroestado completo alcançou um AUPRC de 0,9730, superando significativamente a melhor linha de base de apenas entropia (One-Class SVM em 0,9631).
• CIC-IDS2017: O macroestado completo (AUPRC ~0,7917) superou a melhor linha de base de vetor de entropia (AUPRC ~0,7672) aos 60s.

B. Valor das Variáveis Estruturais e Temporais
Estudos de ablação revelaram que os ganhos não foram meramente devido ao aumento da dimensionalidade, mas a componentes comportamentais específicos:

• Adicionar Atividade à Desordem proporcionou um ganho claro, contextualizando a entropia.
• Adicionar Ordem Estrutural rendeu o melhoria mais significativa, confirmando que ataques frequentemente se manifestam como uma reconfiguração organizada, em vez de apenas aumento de aleatoriedade.
• Persistência e Desvio forneceram um levantamento final, menor, porém positivo.

C. Sensibilidade de Escala
A "melhor" composição de macroestado variou conforme a escala temporal. Por exemplo, no CIC-IDS2017, a configuração intermediária $A+H+V$ (Atividade, Desordem, Volatilidade) foi a mais forte aos 30s, enquanto o macroestado completo foi o melhor aos 60s. Isso apoia a afirmação teórica de que a visibilidade da anomalia é dependente da escala.

D. Limitações da Pontuação de Transição
Ao contrário da promessa teórica, a pontuação consciente de transição (fusão de estado + transição) não superou a pontuação de apenas estado nos experimentos iniciais. Os autores atribuem isso à simplicidade dos operadores de transição nominal usados (ex: persistência ingênua, regressão linear), sugerindo que o benefício dinâmico total requer modelagem de trajetória mais sofisticada em trabalhos futuros.

5. Significância e Alegações

O artigo posiciona-se como o primeiro passo empírico de um programa mais amplo de "dinâmica cibernética". Suas principais contribuições e alegações são:

1. Mudança de Escalar para Estado: Demonstra que a detecção de anomalias cibernéticas é melhor enquadrada como um problema de construção de espaço de estados comportamentais do que de detecção de irregularidade escalar.
2. Entropia como Coordenada, Não como Solução: Prova que, embora a entropia seja um componente útil, ela é insuficiente como descritor autônomo para comportamentos cibernéticos complexos que envolvem reorganização estrutural.
3. Interpretabilidade: O framework de macroestado fornece uma representação compacta e interpretável (atividade, estrutura, volatilidade, etc.) que permite aos analistas raciocinar sobre o porquê de um estado ser anômalo, em vez de apenas saber que ele é anômalo.
4. Substrato Fundamental: Ao instanciar o framework sobre o CSTS, o artigo estabelece uma fundação canônica que é portátil entre telemetria de rede, endpoint e heterogênea, preparando o terreno para trabalhos futuros sobre estabilidade, recuperação e análise cross-modal.

Os autores explicitam as limitações: os resultados de pontuação de transição são preliminares, a fusão multiescala ainda não é superior ao melhor modelo de escala única, e a avaliação atual é centrada em rede. Estas são apresentadas não como falhas, mas como o limite definido do "Artigo I" e o roteiro para os "Artigos de Dinâmica Cibernética II e III".