Enhancing Intrusion Detection System Resilience Against Adversarial Evasion Attacks Using Adversarial Training

Resumo Técnico: Aumentando a Resiliência de Sistemas de Detecção de Intrusão contra Ataques de Evasão Adversários Usando Treinamento Adversário

Definição do Problema
Os Sistemas de Detecção de Intrusão (IDS) são fundamentais para a infraestrutura de cibersegurança, mas enfrentam uma vulnerabilidade crítica: ataques de evasão adversários. Um IDS baseado em aprendizado de máquina, embora eficaz em dados limpos, pode ser sistematicamente contornado por atacantes que introduzem perturbações mínimas e cuidadosamente projetadas nas características do tráfego de rede. Essas perturbações causam erros de classificação enquanto preservam a intenção maliciosa do ataque. O Método do Sinal de Gradiente Rápido (FGSM) é identificado como uma técnica altamente eficiente para gerar tais exemplos adversários, expondo a fragilidade dos modelos de IDS tradicionais quando submetidos até mesmo a perturbações de baixa intensidade.

Metodologia
Os autores propõem uma arquitetura de IDS híbrida e uma estratégia de treinamento robusta para combater essas ameaças:

• Conjunto de Dados: O estudo utiliza o conjunto de dados UNSW-NB15, compreendendo 175.341 amostras de treinamento e 82.332 amostras de teste através de 45 características de tráfego de rede (reduzidas para 43 após o pré-processamento). Os dados cobrem nove categorias de ataque e tráfego normal.
• Arquitetura de Linha de Base (Baseline): Um modelo de Perceptron Multicamadas (MLP), denominado "BetterIDS", serve como a linha de base primária. Ele apresenta uma arquitetura de três camadas ($R^{43} \to R^{128} \to R^{64} \to R^2$) com BatchNorm, ativações ReLU e Dropout. Um modelo LightGBM também é treinado para estabelecer um benchmark de desempenho em dados limpos, embora não possa ser diretamente atacado via FGSM devido à sua natureza não diferenciável.
• Estratégia de Treinamento Adversário: A contribuição central é o modelo "RobustIDS", um MLP mais largo ($R^{43} \to R^{256} \to R^{128} \to R^2$) treinado usando treinamento adversário online.
  • Geração de FGSM: Exemplos adversários são gerados em tempo real durante o treinamento usando o algoritmo FGSM: $x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x L(\theta, x, y))$.
  • Perturbação Aleatória: Em vez de treinar com uma força de perturbação fixa, o modelo amostra $\epsilon$ de uma distribuição uniforme $U(0.05, 0.2)$ para cada mini-lote (mini-batch).
  • Função de Perda: O objetivo de treinamento combina a perda de amostras limpas e amostras adversárias com uma razão de mistura ($\alpha = 0.5$): $L_{robust} = \alpha L(f_\theta(x), y) + (1-\alpha)L(f_\theta(x_{adv}), y)$.
• Avaliação: O sistema é avaliado em dados limpos, sob variadas intensidades de ataque FGSM ($\epsilon \in \{0.0, 0.1, 0.3\}$) e em um ambiente de simulação em tempo real envolvendo 100 pacotes (70 normais, 30 adversários).

Principais Resultados
O estudo demonstra um trade-off significativo entre a precisão em dados limpos e a robustez adversária, com o modelo robusto exibindo resiliência superior:

• Desempenho em Dados Limpos: O MLP de linha de base alcança 87,66% de precisão. O modelo robusto alcança 81,00% de precisão em dados limpos, representando uma redução de 6,66% atribuída ao custo teórico do treinamento adversário.
• Robustez Adversária:
  • Linha de Base: Sob um ataque forte ($\epsilon = 0.3$), a precisão da linha de base colapsa para 41,20%, uma degradação de 46,46 pontos percentuais.
  • Modelo Robusto: O modelo robusto mantém 77,80% de precisão sob a mesma condição de $\epsilon = 0.3$, uma degradação de apenas 3,20 pontos percentuais. Notavelmente, essa robustez se generaliza para $\epsilon = 0.3$ apesar de o modelo ter sido treinado em $\epsilon \in [0.05, 0.2]$.
• Simulação em Tempo Real: Em um teste de estresse de 100 pacotes com $\epsilon = 0.3$ aplicado aos pacotes de ataque:
  • A linha de base detectou apenas 4,5% dos pacotes adversários.
  • O modelo robusto detectou 90,9% dos pacotes adversários.
  • Esta melhoria veio acompanhada de um aumento gerenciável na Taxa de Falso Alarme (de 8,6% para 12,9%).
• Latência e Eficiência: O modelo robusto introduz um overhead de latência negligenciável de 0,07 ms (um aumento de 8,5%), mantendo um throughput de ~1.124 previsões por segundo em hardware de CPU, o que é suficiente para implantações de redes empresariais.

Significância e Alegações
O artigo afirma que o treinamento adversário online com FGSM e $\epsilon$ aleatório é uma estratégia de defesa prática e eficaz que aumenta significativamente a resiliência do IDS. Os autores argumentam que a modesta redução na precisão de dados limpos é um trade-off justificado para a melhoria dramática nas taxas de detecção contra ataques de evasão.

As principais contribuições destacadas pelos autores incluem:

1. O desenvolvimento de uma arquitetura de IDS híbrida otimizada para o benchmark UNSW-NB15.
2. A implementação de um pipeline de treinamento adversário online que generaliza a robustez além da distribuição específica de forças de perturbação do treinamento.
3. Validação empírica via simulação em tempo real mostrando que o modelo robusto pode detectar a vasta maioria dos pacotes adversários onde modelos de linha de base falham completamente.
4. Uma análise confirmando que o overhead computacional desta defesa é negligenciável para ambientes de produção.

Os autores reconhecem limitações, observando que o FGSM é um ataque de caixa branca (white-box) e que o conjunto de dados é de 2015. Eles sugerem que trabalhos futuros devem abordar ataques de caixa preta (black-box), novas distribuições de tráfego (IoT, 5G) e restrições de características do mundo real. No entanto, dentro do escopo deste estudo, o trabalho estabelece que o treinamento adversário efetivamente fecha a lacuna de segurança entre modelos de IDS vulneráveis e fortalecidos.