💻 ciência da computação

Adversarial Attack on Deep Learning Based Network Intrusion Detection Systems: An Empirical Analysis across Datasets and Features

Este artigo demonstra empiricamente que os sistemas de detecção de intrusão em redes baseados em aprendizagem profunda são altamente vulneráveis a ataques de evasão adversários através de diferentes conjuntos de dados e conjuntos de características, revelando que a vulnerabilidade é uma propriedade inerente à superfície de decisão aprendida, e não um problema específico de um conjunto de dados, e propõe um Índice de Vulnerabilidade de Características para identificar quais características de entrada são mais suscetíveis à perturbação.

Autores originais: Gundapu Thirupathi, V Thirupathi

Publicado 2026-10-19

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Gundapu Thirupathi, V Thirupathi

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No mundo digital, os sistemas de detecção de intrusão de rede atuam como os sentinelas silenciosos de nossa infraestrutura conectada. Eles vigiam constantemente o fluxo de dados, procurando pelos sinais sutis de uma invasão, um roubo ou um fluxo malicioso de tráfego. Durante anos, esses sistemas dependeram de regras fixas e padrões conhecidos, de forma muito semelhante a um guarda de segurança verificando uma lista de rostos procurados. No entanto, à medida que as ameaças cibernéticas se tornaram mais complexas e esquivas, pesquisadores voltaram-se para o aprendizado profundo (deep learning), uma forma de inteligência artificial que aprende a reconhecer padrões estudando vastas quantidades de dados, em vez de seguir uma lista de verificação rígida. Esses sistemas podem detectar anomalias com uma velocidade e precisidade notáveis, muitas vezes identificando ameaças que os métodos tradicionais deixam passar. No entanto, essa dependência de máquinas que aprendem abriu uma porta nova e inquietante. Assim como um ser humano pode ser enganado por um disfarce astuto, esses sistemas inteligentes podem ser ludibriados por mudanças minúsculas e cuidadosamente elaboradas nos dados que recebem. Um ator malicioso não precisa quebrar o sistema; ele só precisa dar um leve empurrão nos dados o suficiente para fazer a máquina ver um pacote inofensivo como uma ameaça ou, pior, ver um ataque perigoso como perfeitamente seguro.

Dois pesquisadores da Universidade SR, na Índia, Gundapu Thirupathi e Dr. V. Thirupathi, propuseram-se a entender o quão frágeis esses sentinelas digitais são verdadeiramente. Eles não analisaram um caso único e isolado, mas sim testaram sua teoria através de dois mundos muito diferentes de dados de rede. Um conjunto de dados, conhecido como KDD Cup 1999, é uma coleção clássica de tráfego de rede simulado do final da década de 1990, enquanto o outro, o CICIDS2017, é um registro moderno de atividade de rede empresarial real de quase duas décadas depois. Ao treinar seus modelos de inteligência artificial em ambos, eles garantiram que suas descobertas não fossem um acaso de um conjunto de dados específico, mas um reflexo de como esses sistemas se comportam em geral. Eles submeteram seus modelos a três tipos diferentes de ataques digitais, variando de um empurrão único e rápido a um esforço sustentado e iterativo projetado para encontrar o ponto mais fraco na lógica do sistema. Eles também testaram esses ataques com níveis variados de intensidade, desde empurrões quase imperceptíveis até distorções significativas dos dados.

Os resultados foram nítidos e profundamente preocupantes. Em dados limpos e inalterados, os modelos de inteligência artificial apresentaram o alto nível de confiança que se esperaria da tecnologia moderna, identificando corretamente o tráfego normal e os ataques com taxas de precisão de 94,4% e 97,8%, respectivamente. No entanto, quando os pesquisadores aplicaram a versão mais forte de seu ataque, o desempenho desses sistemas colapsou quase inteiramente. A precisão do modelo treinado nos dados mais antigos despencou para apenas 5,6%, enquanto o modelo treinado nos dados modernos caiu ainda mais, para 2,3%. Este não foi um caso de o sistema tornar-se ligeiramente confuso ou cometer alguns erros aleatórios. Os pesquisadores descobriram que os ataques não apenas degradaram o desempenho do sistema; eles inverteram completamente sua compreensão da realidade. Em uma reviravolta perturbadora, o sistema começou a sinalizar confiantemente o tráfego inofensivo como perigoso, enquanto simultaneamente ignorava ataques reais, tratando-os como se fossem perfeitamente normais. Era como se o guarda de segurança, após ser enganado por um disfarce, começasse a prender cidadãos inocentes enquanto deixava os ladrões passarem livremente.

Para entender por que isso aconteceu, os pesquisadores olharam além de apenas os números finais. Eles desenvolveram uma nova maneira de medir quais partes específicas de informação os atacantes estavam explorando. Descobriram que a vulnerabilidade não estava espalhada uniformemente por todos os dados que o sistema recebia. Em vez disso, os ataques visavam consistentemente características específicas relacionadas ao tempo dos dados e ao tamanho dos pacotes, tais como quantos pacotes chegavam por segundo ou a variação em seus comprimentos. Esses detalhes sutis e contínuos provaram ser o calcanhar de Aquiles do sistema, ao passo que o volume bruto de tráfego ou a contagem de conexões era muito menos crítico para o engano. Isso sugere que a fraqueza não é uma falha nos conjuntos de dados específicos utilizados, mas sim uma propriedade inerente de como esses modelos de aprendizado profundo processam a informação. A própria estrutura matemática que permite que eles aprendam de forma tão rápida e precisa também os torna suscetíveis a serem desviados do curso por mudanças pequenas e calculadas.

O estudo conclui que os altos números de precisão frequentemente exaltados para esses sistemas podem ser perigosamente enganosos se não forem testados contra tais condições adversárias. Um sistema que possui 97% de precisão em dados limpos pode ser tornado quase inútil por um atacante que saiba como explorar suas fraquezas específicas. Os pesquisadores argumentam que, para que essas tecnologias sejam seguras em cenários de segurança crítica, devemos ir além de simplesmente medir o quão bem elas desempenham em testes padrão. Devemos também entender de quais partes dos dados elas dependem mais e como essas partes podem ser protegidas. As descobertas servem como um lembrete sóbrio de que, na corrida armamentista da cibersegurança, a inteligência do defensor é tão forte quanto sua capacidade de resistir à engenhosidade do atacante e, neste caso, a atual geração de defensores de aprendizado profundo é muito mais frágil do que parece.

Resumo Técnico: Ataque Adversário em Sistemas de Detecção de Intrusão de Rede Baseados em Aprendizado Profundo

Definição do Problema
Sistemas de Detecção de Intrusão de Rede (NIDS) baseados em Aprendizado Profundo (DL) têm demonstrado alta precisão na detecção de tráfego malicioso, frequentemente excedendo 95% em conjuntos de dados de referência. No entanto, esses modelos são suscetíveis a ataques de evasão adversária, nos quais um adversário introduz pequenas perturbações imperceptíveis aos dados de entrada para forçar uma classificação incorreta. No contexto de NIDS, essa vulnerabilidade é crítica: um atacante pode manipular características do tráfego de rede (ex: temporização de pacotes, contagem de bytes) para contornar a detecção, permitindo que ataques ativos como inundações de DoS ou exfiltração de dados prossigam sem serem detectados.

A literatura existente sofre de três limitações primárias:

Especificidade do Conjunto de Dados: A maioria dos estudos avalia a vulnerabilidade em um único conjunto de dados (tipicamente KDD Cup 99 ou CICIDS2017), tornando incerto se as vulnerabilidades são propriedades gerais de NIDS baseados em DL ou artefatos de distribuições de dados específicas.
Força do Ataque: Muitas avaliações baseiam-se exclusivamente no método de sinal de gradiente de passo único (FGSM), que frequentemente subestima a vulnerabilidade do modelo em comparação com ataques iterativos.
Falta de Diagnósticos ao Nível de Características: A robustez é geralmente reportada como quedas de precisão agregadas, sem identificar quais características específicas de entrada são mais exploradas pelos atacantes.

Metodologia
Os autores conduziram uma análise empírica entre conjuntos de dados utilizando dois datasets distintos: o clássico KDD Cup 1999 (tráfego militar simulado de 1998) e o moderno CICIDS2017 (tráfego empresarial real).

Pré-processamento: Ambos os conjuntos de dados passaram por desduplicação (removendo ~70% das duplicatas do KDD Cup 99) e normalização min-max para o intervalo [0, 1]. Os rótulos multiclasse foram binarizados (Benigno vs. Ataque).
Modelo Vítima: Uma arquitetura de Rede Neural Profunda (DNN) consistente foi treinada em ambos os datasets para garantir comparabilidade. O modelo consiste em três camadas ocultas totalmente conectadas (128, 64, 32 unidades) com ativação ReLU, normalização por lote (batch normalization) e dropout (0.3). Utiliza uma camada de saída softmax e é treinado com o otimizador Adam e parada antecipada (early stopping).
Modelo de Ameaça: Foi assumido um cenário de evasão não direcionada de caixa branca (white-box). O adversário possui acesso total aos parâmetros e gradientes do modelo.
Ataques: Três ataques baseados em gradiente foram aplicados com orçamentos de perturbação ( $\epsilon$ $ϵ$ ) variando de 0.01 a 0.3:
- FGSM: Ataque de passo único.
- BIM (Basic Iterative Method): Ataque iterativo de múltiplos passos.
- PGD (Projected Gradient Descent): Ataque de múltiplos passos com reinicializações aleatórias ( $r=3$ ) para encontrar a pior perturbação possível.
Métricas de Avaliação: Foram utilizadas métricas padrão (Acurácia, Precisão, Recall, F1) e um novo Índice de Vulnerabilidade de Características (FVI). O FVI quantifica o tamanho médio da perturbação necessária por característica através de todas as configurações de ataque para identificar quais características são mais consistentemente exploradas.

Principais Resultados

Queda Catastrófica de Acurácia: Embora os modelos tenham alcançado alta acurácia em dados limpos (94,4% no KDD Cup 99 e 97,8% no CICIDS2017), eles sofreram degradação severa sob ataques fortes. Sob PGD com $\epsilon=0.3$ , a acurácia caiu para 5,6% (KDD) e 2,3% (CICIDS2017), representando quedas relativas de 94,1% e 97,7%, respectivamente.
Iterativo vs. Passo Único: Ataques iterativos (BIM e PGD) superaram significativamente o FGSM. Notavelmente, o FGSM mostrou comportamento não monotônico no CICIDS2017 (acurácia estabilizando em torno de 37-40% para $\epsilon$ mais altos), enquanto ataques iterativos levaram a acurácia abaixo de 6%.
Inversão de Predição: A análise da matriz de confusão revelou que o colapso da acurácia não se deve ao ruído aleatório, mas sim a uma inversão sistemática e quase total da fronteira de decisão. Sob PGD ( $\epsilon=0.3$ ), aproximadamente 98% das amostras benignas foram classificadas incorretamente como ataques, e ~88-96% dos ataques reais foram classificados incorretamente como benignos. Isso cria um modo de "falha dupla", onde o sistema gera alarmes falsos massivos enquanto deixa passar ameaças reais.
Índice de Vulnerabilidade de Características (FVI):
- CICIDS2017: As características mais vulneráveis estavam exclusivamente relacionadas à temporização de fluxo e estatísticas de forma de pacote (ex: Flow Packets/s, Fwd IAT Max, Packet Length Variance). Características baseadas em volume mostraram vulnerabilidade significativamente menor.
- KDD Cup 99: As características vulneráveis incluíram uma mistura de estatísticas de conexão e indicadores de serviço/flag em formato one-hot, embora o ranking tenha sido parcialmente confundido pela natureza discreta das características one-hot.
Generalização: A severidade da vulnerabilidade foi consistente entre ambos os datasets, apesar de suas diferenças de era, origem e esquema de características, sugerindo que a fragilidade é uma propriedade arquitetônica de DNNs baseadas em gradiente, e não um artefato específico de um dataset.

Significância e Alegações
O artigo alega que a vulnerabilidade adversária de NIDS baseados em DL é uma propriedade arquitetônica fundamental, não uma anomalia de conjuntos de dados específicos. Os achados desafiam a dependência da acurácia em dados limpos como um proxy para prontidão de implantação, demonstrando que alta acurácia não se correlaciona com robustez.

O estudo destaca que, sob ataques realistas de caixa branca, os modelos de NIDS não apenas degradam; eles invertem, levando a um estado em que o sistema torna-se operacionalmente inútil (falhando em detectar ataques enquanto inunda o sistema com falsos positivos). Além disso, a introdução do FVI sugere que as estratégias defensivas (como treinamento adversário ou sanitização de entrada) não devem tratar todas as características de forma igual, mas devem visar especificamente a vulnerabilidade da temporização de fluxo e das estatísticas de forma de pacote. Os autores concluem que os atuais NIDS baseados em DL exigem avaliação adversária rigorosa antes da implantação em cenários de segurança críticos.

Resumo Técnico: Ataque Adversário em Sistemas de Detecção de Intrusão de Rede Baseados em Aprendizado Profundo

Mais como este