Resumo Técnico: Sistema Híbrido de Detecção de Intrusão para Ambientes IoT e Nuvem

Declaração do Problema

A rápida integração de dispositivos de Internet das Coisas (IoT) com infraestruturas de computação em nuvem criou ambientes de rede heterogêneos que são cada vez mais complexos e vulneráveis a ataques cibernéticos. Os Sistemas de Detecção de Intrusão (IDS) tradicionais enfrentam limitações significativas nesses cenários:

• Sistemas baseados em assinatura são eficazes contra ataques conhecidos, mas falham em detectar ameaças de dia zero (zero-day) ou emergentes devido à sua dependência de assinaturas predefinidas.
• Sistemas baseados em anomalia podem detectar ameaças desconhecidas ao identificar desvios do comportamento normal, mas frequentemente sofrem com altas taxas de falsos positivos, baixo recall e sensibilidade às configurações de limiar (threshold).
• Aprendizado de Máquina (ML) Supervisionado (ex: Random Forest, XGBoost) alcança alta precisão em dados rotulados, mas tem dificuldade em generalizar para padrões de ataque não vistos ou distribuições de tráfego heterogêneas.
• Heterogeneidade de Conjuntos de Dados: A maior parte da pesquisa existente avalia modelos em conjuntos de dados de domínio único (seja empresarial ou IoT), limitando a generalização dos modelos resultantes para ambientes multidomínio do mundo real, onde as características do tráfego diferem significativamente.

O problema central abordado é a falta de um framework de IDS leve e robusto, capaz de detectar simultaneamente ataques conhecidos e desconhecidos em diversos ambientes de nuvem e IoT, equilibrando a sensibilidade de detecção (recall) com o controle de alarmes falsos (precisão).

Metodologia

Os autores propõem um Framework de Detecção de Intrusão Híbrido que integra classificação supervisionada com modelagem de sequência ciente de anomalias. A metodologia consiste em quatro estágios primários:

1. Integração de Conjunto de Dados e Alinhamento de Características

Para abordar a heterogeneidade dos conjuntos de dados, o estudo funde o conjunto de dados CICIDS2017 (representando tráfego empresarial/nuvem) e o conjunto de dados TON IoT (representando tráfego IoT/IIoT).

• Alinhamento de Características: Uma estratégia de seleção manual de características foi empregada para construir um espaço de características unificado e compacto. Foram selecionados seis atributos comuns relacionados ao tráfego: porta de destino, duração do fluxo, pacotes de origem, pacotes de destino, bytes de origem, bytes de destino e porta de destino.
• Indicador de Domínio: Um recurso binário foi adicionado para indicar a origem do conjunto de dados (0 para CICIDS2017, 1 para TON IoT) para permitir que o modelo aprenda com ambos os domínios sem perder o contexto da origem.
• Pré-processamento: O pipeline incluiu o tratamento de valores ausentes (substituindo valores indefinidos/infinitos por zero), remoção de registros duplicados, transformação de rótulos para binário (0 para normal, 1 para ataque) e aplicação de transformação logarítmica (log1p) seguida de normalização Min-Max para lidar com a assimetria e diferenças de escala.

2. Arquitetura do Modelo

O framework utiliza uma arquitetura paralela com um mecanismo de fusão baseado em lógica OR:

• Componente Supervisionado: Dois classificadores de aprendizado de conjunto (ensemble), Random Forest e XGBoost, são treinados no conjunto de dados binário rotulado para detectar padrões de ataque conhecidos. O XGBoost foi configurado com 100 estimadores, uma profundidade máxima de 6 e uma taxa de aprendizado de 0,1.
• Componente de Detecção de Anomalia: Um Autoencoder LSTM é treinado exclusivamente em sequências de tráfego normal (comprimento de sequência de 10). A arquitetura consiste em um codificador (64 e 32 unidades ocultas) e um decodificador (32 e 64 unidades ocultas) com uma camada de saída TimeDistributed Dense. Ele aprende a reconstruir o tráfego normal; erros de reconstrução elevados indicam anomalias.
• Fusão Híbrida: A decisão final é feita usando uma regra lógica OR: uma sequência de tráfego é classificada como um ataque se ou o modelo supervisionado a previr como maliciosa ou o erro de reconstrução do LSTM Autoencoder exceder um limiar ajustado (0,001014).

3. Estratégia de Avaliação

Os modelos foram avaliados usando uma divisão treino-teste de 80:20 com amostragem estratificada. O desempenho foi medido através de Acurácia, Precisão, Recall, F1-score, Taxa de Falsos Positivos (FPR) e Taxa de Falsos Negativos (FNR). Adicionalmente, um experimento de ataque não visto foi realizado, onde famílias de ataques específicas (ex: variantes de DDoS, DoS) foram excluídas do treinamento para testar as capacidades de generalização.

Principais Contribuições

1. Framework Híbrido: O desenvolvimento de um IDS unificado combinando classificação supervisionada baseada em XGBoost com detecção de anomalias baseada em LSTM Autoencoder para aproveitar os pontos fortes de ambas as abordagens (alta precisão para ataques conhecidos e sensibilidade para ameaças desconhecidas).
2. Integração de Conjunto de Dados Cross-Domain: A criação de um conjunto de dados alinhado em características, fundindo CICIDS2017 e TON IoT. Isso aborda a lacuna de pesquisa de avaliação de domínio único, permitindo que o modelo aprenda com padrões de tráfego heterogêneos de enterprise e IoT.
3. Avaliação Empírica Abrangente: Uma comparação detalhada de modelos independentes (Random Forest, XGBoost, LSTM Autoencoder) contra o modelo de fusão híbrida, incluindo uma avaliação de ataque não visto para aferir a capacidade de generalização.
4. Análise de Trade-off: Uma investigação sobre os compromissos entre a melhoria do recall e o controle de falsos positivos, demonstrando como a fusão híbrida aumenta a sensibilidade a novas ameaças ao custo de um ligeiro aumento nos alarmes falsos.

Resultados Experimentais

O framework híbrido proposto demonstrou desempenho superior em comparação aos modelos independentes sob configurações de avaliação padrão:

• Desempenho Geral: O modelo híbrido alcançou 99,45% de acurácia, 99,75% de precisão, 99,64% de recall e 99,70% de F1-score.
• Desempenho dos Componentes:
  • XGBoost: Alcançou alta precisão (99,39%) e recall (98,71%), confirmando sua força na classificação de ataques conhecidos.
  • LSTM Autoencoder: Alcançou altíssima precisão (99,30%), mas um recall extremamente baixo (12,35%) como modelo independente, indicando que é conservador e perde muitos ataques quando usado sozinho.
  • Fusão Híbrida: Sucessivamente melhorou o recall do sistema para 99,64% ao capturar os ataques perdidos pelo detector de anomalias, mantendo alta precisão.
• Avaliação de Ataque Não Visto: Quando testado em famílias de ataques excluídas do treinamento, o modelo híbrido manteve um alto recall (97,41%) comparado ao XGBoost (96,37%), embora a precisão tenha caído (27,16%) devido à maior sensibilidade do detector de anomalias. Isso confirma a capacidade do método híbrido de detectar ameaças anteriormente desconhecidas.
• Detecção por Tipo de Ataque: O framework alcançou taxas de detecção superiores a 98% para ataques de alto volume (DDoS, variantes de DoS) e ataques de reconhecimento (PortScan), e acima de 94% para ataques mais furtivos (Backdoor, Bot).

Significância e Alegações

O artigo afirma que o framework híbrido proposto oferece uma solução robusta e escalável para a cibersegurança moderna em ambientes heterogêneos. Sua significância reside em:

• Melhoria da Generalização: Ao integrar conjuntos de dados de múltiplos domínios, o sistema está melhor equipado para lidar com os diversos padrões de tráfego encontrados em implantações reais de nuvem e IoT, indo além das limitações das avaliações de domínio único.
• Detecção Equilibrada: O framework aborda efetivamente o compromisso "recall vs. precisão". Utiliza aprendizado supervisionado para classificação precisa de ameaças conhecidas e detecção de anomalias para capturar ataques de dia zero ou emergentes, reduzindo significativamente o risco de intrusões perdidas (falsos negativos).
• Aplicabilidade Prática: Embora reconheça o custo computacional do aprendizado profundo, os autores argumentam que o design modular e o uso de métodos de ensemble eficientes (XGBoost) tornam o sistema viável para monitoramento de rede dinâmico. O estudo enfatiza que o ligeiro aumento nos falsos positivos é um compromisso aceitável para a melhoria crítica na detecção de ataques desconhecidos.

Os autores concluem que combinar aprendizado supervisionado com modelagem de sequência ciente de anomalias é um passo necessário para construir sistemas de detecção de intrusão que sejam tanto precisos quanto adaptáveis ao cenário em evolução das ameaças cibernéticas.