X-WAF: A Hybrid Machine Learning Framework with SHAP-Driven Explainability and Automated Rule Synthesis for Real-Time Web Application Protection

Resumo Técnico do X-WAF: Um Framework de Aprendizado de Máquina Híbrido com Explicabilidade Baseada em SHAP e Síntese de Regras Automatizada

Declaração do Problema
Os Web Application Firewalls (WAFs) convencionais, como aqueles que utilizam o OWASP Core Rule Set (CRS), baseiam-se na detecção por assinatura. Embora eficazes contra vetores de ataque conhecidos, esses sistemas têm dificuldade em generalizar contra explorações de dia zero (zero-day), payloads adversários e ameaças baseadas em APIs em evolução. Atacantes frequentemente empregam codificação, fragmentação e polimorfismo para contornar regras estáticas. Além disso, a configuração manual e a atualização dos conjuntos de regras são reativas, demandam muitos recursos e frequentemente resultam em um compromisso subótimo entre taxas de detecção e falsos alarmes. Embora o Aprendizado de Máquina (ML) ofereça um caminho para generalizar além de assinaturas explícitas, sua implementação em infraestruturas de segurança em tempo real enfrenta dois obstáculos críticos: a natureza de "caixa-preta" dos modelos de ensemble, que erode a confiança do analista e dificulta a análise forense, e a latência computacional introduzida pela execução de inferência em cada requisição.

Metodologia
O artigo apresenta o X-WAF, um framework híbrido projetado para preencher a lacinha entre a detecção de anomalias estatísticas e a infraestrutura de segurança operacional. O sistema opera como um pipeline modular consistindo de quatro componentes primários:

1. Pré-processamento de Tráfego e Extração de Características: O X-W_AF intercepta requisições HTTP e extrai um vetor de características de 78 dimensões. Isso inclui metadados da requisição (método, comprimento do caminho), estatísticas de cabeçalho (entropia, tamanho), características de payload (frequências de n-gramas, presença de palavras-chave SQL ou tags de script), características estruturais (profundidade de aninhamento JSON) e características temporais (taxas de requisição). As características são normalizadas usando escaladores robustos (robust scalers).
2. Modelo de Ensemble Híbrido: O motor de detecção central utiliza um ensemble heterogêneo de quatro classificadores combinados via um esquema de votação ponderada. Os pesos são aprendidos com base na precisão de cada modelo em um conjunto de validação.
   • Random Forest (200 árvores): Um classificador supervisionado para correspondência de padrões discriminativos.
   • Support Vector Machine (SVM) com kernel RBF: Um modelo supervisionado secundário para lidar com relações não lineares de alta dimensão.
   • Isolation Forest: Um modelo não supervisionado para isolar observações e detectar anomalias.
   • Local Outlier Factor (LOF): Um modelo não supervisionado para capturar variações de densidade local.
   • Uma requisição é classificada como maliciosa se o escore ponderado exceder um limiar de $\tau = 0,65$.
3. Módulo de Explicabilidade SHAP: Para abordar a opacidade do modelo, o X-WAF integra o SHAP (SHapley Additive exPlanations). Para cada requisição sinalizada como maliciosa, o sistema calcula as atribuições de características para determinar a contribuição de cada característica para a decisão. As top-5 características com os maiores valores absolutos de SHAP são reportadas, fornecendo insights granulares (ex: alta entropia na string de consulta ou presença de palavras-chave SQL específicas) para analistas de segurança.
4. Síntese de Regras Automatizada: Uma inovação fundamental é a tradução das fronteiras de decisão derivadas do SHAP em regras compatíveis com o ModSecurity. Este módulo opera offline ou periodicamente (ex: a cada hora). Ele analisa as características que aparecem frequentemente nas explicações top SHAP, identifica intervalos de valores associados a classificações maliciosas e gera conjunções lógicas na sintaxe do ModSecurity. Apenas regras com um escore de confiança superior a 90% são implantadas. Isso permite que a inteligência gerada por ML persista dentro das infraestruturas de regras existentes sem exigir inferência de modelo por requisição.

Principais Contribuições
O artigo delineia três contribuições primárias:

1. Arquitetura de Ensemble Heterogênea: Uma combinação inovadora de modelos supervisionados (Random Forest, SVM) e não supervisionados (Isolation Forest, LOF) para capturar tanto padrões discriminativos quanto assinaturas de anomalias não supervisionadas no tráfego HTTP.
2. Integração de SHAP em Tempo Real: A incorporação do SHAP diretamente no pipeline de decisão para fornecer explicações por requisição, compreensíveis por humanos, para decisões de detecção, aumentando a transparência e a auditabilidade.
3. Motor de Síntese de Regras Automatizada: Um mecanismo para converter fronteiras de decisão complexas de ML em regras padrão do ModSecurity. Isso permite a implantação de proteções derivadas de ML em ambientes de produção sem o overhead de latência de inferência de modelo contínuo.

Resultados Experimentais
O X-WAF foi avaliado em diversos conjuntos de dados, incluindo o CSIC 2010 HTTP Dataset, o ECML/PKDD 2007 Dataset e logs de proxy do mundo real de uma empresa de e-commerce de médio porte. O sistema foi comparado com baselines incluindo ModSecurity com CRS 3.3, modelos individuais (Random Forest, Isolation Forest, SVM, LOF) e um ensemble sem SHAP.

• Desempenho de Detecção: O X-WAF alcançou uma precisão de detecção de 96,5% com uma Taxa de Falsos Positivos (FPR) de 1,8%. Isso superou o melhor modelo supervisionado individual (Random Forest com 93,1% de precisão, 2,1% de FPR) e a baseline baseada em assinaturas (ModSecurity CRS 3.3 com 82,3% de precisão, 5,2% de FPR).
• Métricas de Desempenho: O sistema manteve uma latência média de 8 ms por requisição e um throughput superior a 12.000 requisições por segundo (RPS), atendendo às demandas de ambientes de produção.
• Eficácia da Síntese de Regras: Em um lote de 24 horas, o sistema gerou 47 regras de ModSecurity. Quando implantadas, essas regras sintetizadas sozinhas bloquearam 72% das requisições maliciosas na hora subsequente sem invocar o modelo de ML completo.
• Resiliência Adversária: Sob condições adversárias usando payloads de SQLi gerados por algoritmos genéticos, o X-WAF manteve uma taxa de detecção de 89,2%, superando significativamente o ModSecurity CRS (54,3%) e o Random Forest sozinho (78,5%).

Significância e Alegações
O artigo postula que o X-WAF aborda a lacuna crítica de segurança onde os WAFs tradicionais falham contra ataques novos, enquanto supera as barreiras operacionais que têm impedido a adoção de ML. Ao fornecer transparência através do SHAP e integração perfeita através da síntese de regras automatizada, o framework oferece um caminho prático para o uso de aprendizado de máquina em aplicações de segurança crítica. Os autores afirmam que o X-WAF não apenas aumenta a cobertura de detecção contra ataques de dia zero, mas também garante a auditabilidade e o desempenho de baixa latência necessários para o deployment no mundo real, permitindo efetivamente que as organizações aproveitem a inteligência de ML dentro de suas infraestruturas de WAF baseadas em regras existentes.