TOPIC: Deep Learning Approach for Network Intrusion Detection and Multi-Class Attack Classification Using UNSW-NB15 Dataset

Resumo Técnico: Abordagem de Aprendizado Profundo para Detecção de Intrusão em Rede e Classificação de Ataques Multiclasse Usando o Conjunto de Dados UNSW-NB15

Definição do Problema
A crescente sofisticação das ameaças cibernéticas, incluindo ataques de reconhecimento, exploração e negação de serviço, expôs as limitações dos Sistemas de Detecção de Intrusão (IDS) tradicionais baseados em assinaturas e estatísticas. Essas abordagens convencionais têm dificuldade em detectar padrões de ataque evolutivos, de dia zero (zero-day) e complexos devido à sua dependência de regras predefinidas. Embora o aprendizado de máquina e o aprendizado profundo ofereçam alternativas promissoras para aprender padrões não lineares complexos a partir de tráfego de rede de alta dimensionalidade, as pesquisas existentes frequentemente carecem de avaliações comparativas sistemáticas sob condições consistentes de pré-processamento e balanceamento. Além disso, os conjuntos de dados de detecção de intrusão frequentemente exibem desbalanceamento de classes, heterogeneidade de características e distribuições de ataque variáveis, o que degrada o desempenho de classificação das categorias de ataques minoritários.

Metodologia
Este estudo propõe um framework comparativo de aprendizado profundo utilizando o conjunto de dados UNSW-NB15, um benchmark moderno contendo 49 características e 10 classes (9 categorias de ataque mais o tráfego normal). A pesquisa implementa um pipeline de pré-processamento rigoroso para garantir a consistência metodológica e evitar o vazamento de dados (data leakage):

1. Limpeza de Dados: Valores ausentes (representados por hifens) foram convertidos para NaN, e colunas com ausência quase total de dados foram removidas.
2. Seleção de Características: Um subconjunto de características relevantes (ex: portas de origem/destino, protocolos, duração, contagem de bytes, contagem de pacotes e atributos de DNS) foi selecionado para reduzir a dimensionalidade.
3. Particionamento: Foi realizado um particionamento estratificado de 75/25 entre treino e teste para preservar a distribuição das classes.
4. Escalonamento: A padronização (StandardScaler) foi aplicada utilizando parâmetros derivados exclusivamente do conjunto de treinamento.
5. Balanceamento: A Técnica de Sobreamostragem de Minoria Sintética (SMOTE) foi aplicada apenas ao conjunto de treinamento para abordar o desbalanceamento de classes, deixando o conjunto de teste intocado para uma avaliação imparcial.

Três arquiteturas de aprendizado profundo foram desenvolvidas e avaliadas usando TensorFlow e Keras:

• Rede Neural Artificial (ANN): Um modelo sequencial feedforward com uma camada de entrada (12 neurônios), duas camadas densas ocultas (8 neurônios cada) e uma camada de saída SoftMax para 10 classes.
• Rede Neural Convolucional (CNN): Uma arquitetura convolucional 1D apresentando uma camada Conv1D (64 filtros, tamanho de kernel 3), MaxPooling1D, uma camada Flatten e uma camada Dense (64 neurônios) antes da saída SoftMax.
• Rede Neural Recorrente com Long Short-Term Memory (RNN-LSTM): Uma arquitetura que remodela as características de entrada em uma sequência (N, F, 1) para utilizar uma única camada LSTM (64 unidades) seguida de uma camada Dense (64 neurônios) e saída SoftMax.

Todos os modelos foram treinados usando o otimizador Adam (taxa de aprendizado de 0.001) e perda de entropia cruzada categórica (categorical cross-entropy). O desempenho foi avaliado usando Acurácia, Precisão, Recall, F1-score, ROC-AUC e análise de Matriz de Confusão.

Principais Contribuições
O artigo fornece uma avaliação comparativa controlada das arquiteturas ANN, CNN e RNN-LSTM sob um framework experimental unificado. As contribuições específicas incluem:

• A implementação de um pipeline de pré-processamento padronizado envolvendo limpeza de características, escalonamento, divisão estratificada e balanceamento controlado por SMOTE aplicado estritamente aos dados de treinamento.
• Uma avaliação abrangente de múltiplas métricas (incluindo ROC-AUC e matrizes de confusão) em todas as três arquiteturas.
• Uma análise das trocas (trade-offs) entre o desempenho de classificação e o custo computacional (tempo de treinamento) para diferentes paradigmas de aprendizado profundo no contexto de detecção de intrusão multiclasse.

Resultos
Os resultados experimentais demonstraram que todos os três modelos alcançaram um forte desempenho de detecção de intrusão, mas com variações distintas em acurácia e eficiência:

• RNN-LSTM: Alcançou o maior desempenho com 97,42% de acurácia, 97,45% de precisão, 97,42% de recall e um F1-score de 97,42%. Também registrou o maior ROC-AUC (0,9991). No entanto, exigiu o maior tempo de treinamento (1.698,24 segundos).
• CNN: Desempenhou-se como o segundo melhor modelo com 94,64% de acurácia e um F1-score de 94,71%, exigindo 491,52 segundos para treinamento.
• ANN: Registrou o menor desempenho entre os três com 91,58% de acurácia e um F1-score de 91,65%, mas ofereceu o tempo de treinamento mais rápido (220,25 segundos).

A análise específica por classe revelou que, embora todos os modelos tenham tido bom desempenho em categorias como Backdoor, DoS e tráfego Normal, permaneceram desafios na distinção de classes minoritárias específicas, como MITM (Man-in-the-Middle) e DDoS, que mostraram certa sobreposição nas matrizes de confusão.

Significância e Alegações
O artigo alega que a arquitetura RNN-LSTM é a mais eficaz entre os modelos avaliados para classificação de intrusão multiclasse no conjunto de dados UNSW-NB15, atribuindo este sucesso à sua capacidade de modelar dependências complexas de características através de mecanismos de aprendizado baseados em memória. O estudo destaca que, embora as técnicas de aprendizado profundo melhorem significativamente as capacidades de detecção em relação aos métodos tradicionais, a escolha da arquitetura envolve um compromisso entre acurácia preditiva e recursos computacionais.

Os autores concluem que seus achados demonstram a eficácia do aprendizado profundo para detecção de intrusão em rede e, especificamente, validam o potencial da RNN-LSTM para melhorar o monitoramento de segurança cibernética. O artigo sugere modestamente que trabalhos futuros devem explorar o framework em conjuntos de dados adicionais, condições de tráfego em tempo real e arquiteturas emergentes, como modelos baseados em Transformers, aprendizado federado e IA explicável, para aumentar ainda mais a interpretabilidade e a escalabilidade de implantação.