🤖 AI

A Multi Method Importance and Performance Efficiency Analysis of Topological Metrics for Natural Visibility Graph Based Cyber Attack Detection

Este estudo demonstra que a aplicação de uma análise de importância baseada em consenso às métricas de Gráfico de Visibilidade Natural permite a seleção de um subconjunto compacto de três características topológicas que melhora significativamente a precisão da detecção de ataques cibernéticos e reduz o tempo de execução computacional em mais de 96% em comparação ao uso do conjunto completo de 21 métricas.

Autores originais: Ali Melih Kanca, Ilker Turker

Publicado 2026-10-05

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Ali Melih Kanca, Ilker Turker

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No mundo digital, o tráfego de rede flui como um rio constante de dados, transportando desde uma navegação web inofensiva até ataques cibernéticos sofisticados. Para proteger os sistemas, especialistas em segurança utilizam programas de computador para observar esse fluxo, procurando por padrões que sinalizem perigo. Durante anos, esses programas dependeram da contagem de coisas simples, como quantos pacotes de dados passam por uma porta ou quanto tempo dura uma conexão. No entanto, pesquisadores começaram a perceber que a própria forma dos dados pode conter pistas mais profundas do que apenas os números. Imagine transformar uma linha de números que representa um fluxo de dados em um mapa onde cada ponto é um ponto e linhas conectam pontos que podem "se ver" sem serem bloqueados por nada entre eles. Isso cria uma teia única, ou grafo, que preserva o ritmo e a estrutura dos dados originais. Ao estudar a forma dessas teias — o quão fortemente os pontos se agrupam, quantos caminhos existem entre eles e o quão central certos pontos são — os cientistas podem descobrir assinaturas ocultas de atividades maliciosas que a contagem padrão poderia ignorar.

Uma equipe de pesquisadores da Universidade de Karabuk, na Turquia, partiu para testar justamente o quão úteis essas pistas baseadas na forma são para detectar ataques cibernéticos. Eles começaram com uma coleção massiva de registros de rede contendo tanto tráfego normal quanto vários tipos de ataques. Em vez de alimentar os dados brutos diretamente em um programa de computador, eles primeiro transformaram pequenos blocos de dados nessas teias visuais. De cada teia, eles extraíram vinte e uma medições diferentes, ou métricas topológicas, para descrever sua estrutura. Algumas dessas medições observavam o quão conectados os pontos estavam, outras examinavam a distância média entre os pontos e algumas analisavam como os pontos se agrupavam em comunidades. Os pesquisadores então usaram um tipo poderoso de inteligência artificial, uma rede neural convolucional, para aprender a distinguir entre as teias criadas pelo tráfego normal e aquelas criadas por ataques.

A questão central que a equipe queria responder era se todas essas vinte e uma medições de forma eram realmente necessárias. Em muitos campos científicos, os pesquisadores frequentemente assumem que reunir mais dados leva a melhores resultados, mas, neste caso, extrair cada medição consome uma quantidade significativa de tempo e poder computacional. A equipe suspeitava que algumas dessas medições poderiam ser redundantes ou menos úteis do que outras. Para descobrir, eles aplicaram quatro métodos diferentes para classificar a importância de cada medição. Um método observou o quanto a confiança do computador caía quando uma medição específica era embaralhada; outro comparou as medições reais contra ruído aleatório para ver quais se destacavam; um terceiro removeu sistematicamente as menos úteis para ver o que permanecia; e um quarto utilizou uma abordagem matemática para explicar exatamente o quanto cada medição contribuía para a decisão final. Ao combinar os resultados dessas quatro abordagens distintas, eles criaram uma classificação única e acordada das vinte e uma métricas.

Os resultados desta análise revelaram uma hierarquia clara. As medições que descreviam o quão fortemente os pontos na teia se agrupavam provaram ser as mais valiosas. Especificamente, a mediana, o desvio padrão e a média desses valores de agrupamento foram classificados como os três indicadores mais importantes. Em contraste, outras medições, como aquelas que descreviam os caminhos mais longos ou o tamanho geral da teia, foram classificadas muito abaixo. Os pesquisadores então testaram essa descoberta treinando seu programa de computador usando apenas as medições de classificação superior, reduzindo gradualmente o número de entradas de vinte e uma para apenas as três principais. Eles compararam o desempenho desses conjuntos menores contra o conjunto completo de vinte e uma.

O resultado foi surpreendente. Quando o programa de computador foi treinado usando apenas as três principais medições de agrupamento, ele teve um desempenho melhor do que quando foi treinado com o conjunto completo de vinte e uma. O modelo simplificado identificou ataques corretamente com uma precisão de 97,148 por cento, comparado a 95,999 por cento para o modelo completo. Ele também alcançou uma pontuação mais alta no equilíbrio da detecção de diferentes tipos de ataque. Mais importante ainda, essa melhoria veio com um ganho massivo de velocidade. O conjunto completo de medições levou quase quinze mil segundos para ser processado durante todo o experimento, enquanto as três principais medições exigiram apenas cerca de quinhentos e oitenta e nove segundos. Isso representa uma redução no tempo de computação de mais de noventa e seis por cento. O estudo sugere que, ao focar nas pistas estruturais mais informativas e descartar o restante, os sistemas de segurança podem se tornar mais rápidos e precisos.

Os pesquisadores observaram que este resultado não significa que todas as outras medições sejam inúteis, mas sim que, para este tipo específico de dado e este modelo de computador específico, a informação extra não estava ajudando e pode até ter sido uma distração. As três principais medições, que descrevem o agrupamento local dos pontos de dados, pareciam conter a assinatura essencial dos ataques. O estudo conclui que um conjunto compacto e cuidadosamente selecionado de características pode superar uma coleção maior e não filtrada. Embora as descobertas sejam específicas para o conjunto de dados e métodos usados neste experimento, elas oferecem um caminho claro para a construção de sistemas de defesa cibernética mais eficientes. Ao compreender quais detalhes estruturais importam mais, ferramentas futuras podem ser projetadas para detectar ameaças com maior velocidade e precisão, sem o fardo de processar dados desnecessários.

Resumo Técnico: Análise de Importância e Desempenho–Eficiência Multimétodo de Detecção de Ciberataques Baseada em NVG

Declaração do Problema

A identificação precisa de atividades de rede maliciosas é crítica para a cibersegurança moderna. Embora o Aprendizado de Máquina (ML) e o Aprendizado Profundo (DL) tenham demonstrado eficácia em Sistemas de Detecção de Intrusão (IDS), seu desempenho depende fortemente de como o tráfego de rede é representado. Representações baseadas em grafos, especificamente os Grafos de Visibilidade Natural (NVGs), oferecem uma alternativa às análises convencionais de nível de fluxo ao transformar observações sequenciais de tráfego em estruturas de grafos que preservam a ordem e a variação estrutural.

No entanto, um desafio significativo permanece: a análise baseada em NVG gera um grande conjunto de descritores topológicos (ex.: centralidade, comprimento de caminho, coeficientes de agrupamento). Nem todas essas métricas contribuem igualmente para a classificação de ciberataques, e a extração de um conjunto abrangente aumenta os custos computacionais. Há uma falta de investigação sistemática sobre quais métricas topológicas derivadas de NVG são mais informativas para a classificação e se um subconjunto reduzido e compacto dessas métricas pode manter ou melhorar o desempenho preditivo, reduzindo significativamente o custo computacional (overhead).

Metodologia

O estudo emprega uma abordagem multimétodo para avaliar 21 métricas topológicas derivadas de NVG utilizando o conjunto de dados CSE-CIC-IDS2018.

1. Pré-processamento de Dados e Construção de Grafos:

Conjunto de Dados: Um subconjunto equilibrado de 100.000 registros de fluxo de rede cobrindo 15 classes (tráfego benigno e vários ataques) foi utilizado, construído via amostragem por classe sem sobreamostragem sintética.
Janela Deslizante: Os dados foram segmentados em quadros sobrepostos (100 observações, 50% de sobreposição) com votação majoritária priorizada por ataque para rotulagem.
Construção de NVG: Cada característica numérica de tráfego dentro de um quadro foi transformada independentemente em um Grafo de Visibilidade Natural. Duas observações são conectadas se a linha reta entre elas não for interceptada por observações intermediárias.
Extração de Métricas: 21 métricas topológicas foram extraídas de cada NVG específico de cada característica, agrupadas em:
- Centralidade (proximidade, intermediação, grau, autovetor)
- Comprimento de caminho (média, desvio padrão, mediana, mínimo, máximo)
- Coeficiente de agrupamento (média, desvio padrão, mediana, mínimo, máximo)
- Comunidade/Estrutura Global (modularidade, diâmetro)
- Estatísticas de grau (média, desvio padrão, mediana, mínimo, máximo)

2. Análise de Importância:
Para determinar a relevância das métricas, quatro métodos complementares foram empregados:

SHAP (SHapley Additive exPlanations): Utilizou o GradientExplainer no CNN treinado para quantificar as contribuições das características.
Importância de Permutação Agrupada: Mediu a queda de desempenho (F1-score ponderado) quando as métricas foram permutadas.
Boruta: Comparou as características originais contra características de sombra aleatorizadas usando um classificador Random Forest.
Eliminação Recursiva de Características (RFE): Removeu iterativamente as características menos informativas usando um classificador Random Forest.

3. Classificação de Consenso:
Os rankings dos quatro métodos foram integrados usando uma estratégia de Classificação de Consenso. O Score de Consenso ( $CS_j$ ) para cada métrica foi calculado como a média aritmética de seus rankings nos quatro métodos. Scores menores indicaram maior importância.

4. Avaliação de Desempenho–Eficiência:
Com base no ranking de consenso, seis configurações foram avaliadas usando uma Rede Neural Convolucional (CNN) de múltiplas entradas com validação cruzada de 5 dobras estratificada:

Full21: Todas as 21 métricas.
Conjuntos Reduzidos: Top15, Top10, Top7, Top5 e Top3 (mantendo as métricas de maior ranking).
Métricas: Foram comparadas o desempenho de classificação (Acurácia, F1-score ponderado, MCC) e o custo computacional (tempo de execução total).

Principais Contribuições

Análise de Importância Multimétodo: Uma avaliação sistemática de 21 métricas topológicas derivadas de NVG usando quatro técnicas distintas de análise de importância (SHAP, Permutação, Boruta, RFE) para abordar a variabilidade na avaliação de relevância das características.
Avaliação Baseada em Consenso: A integração de rankings díspares em um Ranking de Consenso unificado para identificar as métricas mais robustamente importantes.
Análise de Trade-off Desempenho–Eficiência: Uma investigação empírica demonstrando que a redução de métricas guiada pela importância pode gerar representações de NVG compactas que mantêm ou superam o desempenho preditivo de conjuntos de métricas completos, enquanto reduzem drasticamente os custos computacionais.

Resultados Experimentais

Classificação de Consenso:
A análise revelou que os descritores baseados no coeficiente de agrupamento foram os mais informativos. As três principais métricas no Ranking de Consenso foram:

avg_clustering_coeff_median (Score de Consenso: 1.25)
avg_clustering_coeff_std (Score de Consenso: 3.00)
avg_clustering_coeff_mean (Score de Consenso: 4.25)

Outras métricas de alto ranking incluíram eigenvector_mean, degree_centrality_mean e modularity. Notavelmente, métodos individuais produziram rankings variados (ex.: eigenvector_mean ocupou o 1º lugar pelo SHAP, mas o 14º pelo RFE), validando a necessidade de uma abordagem de consenso multimétodo. O Boruta selecionou todas as 21 métricas, confirmando sua relevância geral, mas falhando em diferenciar a importância relativa.

Desempenho de Classificação:

Baseline Full21: Alcançou 95,999% de acurácia, 95,521% de F1-score ponderado e um MCC de 0,9549.
Configuração Top3: A retenção apenas das três principais métricas de agrupamento alcançou o maior desempenho médio observado:
- Acurácia: 97,148%
- F1-score ponderado: 97,055%
- MCC: 0,9675
- Esta configuração superou o baseline Full21 em todos os critérios.

Eficiência Computacional:
A redução de métricas levou a economias substanciais no tempo de execução. A configuração Top3 reduziu o tempo de execução total de 14.961,39 segundos (Full21) para 589,22 segundos, representando uma redução de 96,06% no custo computacional.

Significância e Alegações

O artigo afirma que, sob o cenário experimental avaliado, a relevância dos descritores derivados de NVG não é uniformemente distribuída, e confiar em um único método de importância pode levar a rankings inconsistentes. Ao empregar uma estratégia de consenso, o estudo identifica que as características de conectividade local (especificamente os coeficientes de agrupamento) são particularmente informativas para a classificação de ciberataques.

A principal significância reside na descoberta de que uma representação compacta e guiada pela importância (Top3) pode alcançar um maior desempenho preditivo médio observado do que o conjunto completo de 21 métricas, enquanto reduz os requisitos computacionais em mais de 96%. Isso sugere que reter um número maior de métricas não garante necessariamente resultados superiores e que a remoção de descritores menos informativos ou redundantes pode ter um efeito de regularização, permitindo que o modelo foque em informações estruturais mais discriminativas.

Os autores mantêm uma postura modesta, observando que essas descobertas são específicas para o conjunto de dados CSE-CIC-IDS2018, a arquitetura CNN utilizada e o protocolo experimental. Eles afirmam explicitamente que os resultados Top-K refletem uma análise comparativa dentro do framework atual e convocam trabalhos futuros para avaliar a robustez desses subconjuntos de métricas em diferentes conjuntos de dados e modelos, bem como para realizar o perfil de tempo de execução ao nível da métrica.