Resumo Técnico: Um Framework de IA Explicável Dinâmica para Detecção de Intrusão em Tempo Real e Priorização Automatizada de Alertas

1. Declaração do Problema

Os Centros de Operações de Segurança (SOCs) enfrentam um gargalo operacional crítico: os analistas são sobrecarregados por 50 a 100 alertas de segurança por hora, um volume que induz fadiga cognitiva e atrasa a resposta a incidentes. Os atuais Sistemas de Detecção de Intrusão (IDS) contribuem para este problema através de altas taxas de falsos positivos e arquiteturas de "caixa-preta" que carecem de interpretabilidade. Consequentemente, o tempo médio global para detecção (MTTD) de uma violação de dados permanece em 181 dias, com violações não detectadas custando, em média, USD 5,46 milhões.

As soluções existentes sofrem de três lacunas primárias:

1. Explicações Estáticas: A maioria das aplicações de IA Explicável (XAI) gera explicações offline, falhando em suportar a inferência em tempo real.
2. Ausência de Modelagem Temporal: Muitas abordagens tratam fluxos de rede de forma independente, ignorando as dependências temporais características de ataques de múltiplas etapas.
3. Ausência de Priorização de Alertas: A literatura raramente aborda a otimização conjunta da explicabilidade e da redução do volume de alertas, deixando a causa raiz da carga de trabalho do SOC (fadiga de alertas) sem solução.

2. Metodologia: O Framework Explicável Dinâmico (DEF)

O artigo propõe o Dynamic Explainable Framework (DEF), um pipeline de três estágios projetado para integrar detecção, explicação e priorização em um sistema unificado.

2.1 Arquitetura do Framework

O DEF processa o tráfego de rede bruto através dos seguintes estágios sequenciais:

1. Detecção: Um modelo híbrido de aprendizado profundo combinando análise temporal e topológica.
2. Explicação: Módulos de XAI post-hoc (SHAP e LIME) gerando justificativas no momento da inferência.
3. Priorização: Uma camada de pontuação que filtra alertas de baixa confiança antes que eles cheguem ao analista.

2.2 Componentes Principais

• Módulo Transformer de Séries Temporais: O tráfego de rede é tratado como um fluxo sequencial. Um mecanismo de autoatenção de múltiplas cabeças captura dependências temporais de longo alcance através de uma janela de $T$ fluxos consecutivos, permitindo a detecção de padrões de ataque de múltiplas etapas que classificadores de nível de fluxo perdem.
• Módulo de Rede Convolucional de Grafos (GCN): A topologia da rede é modelada como um grafo onde nós representam hosts/serviços e arestas representam fluxos de comunicação. A GCN aprende embeddings de nós para detectar padrões de propagação de ataques (ex: movimento lateral) invisíveis para modelos por fluxo.
• Fusão de Características e Classificação: O embedding temporal ($h_T$) do Transformer e o embedding de grafo ($g$) da GCN são concatenados e passados por uma cabeça de classificação para prever a classe do ataque.
• Módulos de Explicação XAI:
  • SHAP (SHapley Additive exPlanations): Calcula valores de Shapley para fornecer atribuições de características globais e locais. O framework utiliza o algoritmo TreeExplainer para eficiência.
  • LIME (Local Interpretable Model-Agnostic Explanations): Gera aproximações lineares locais para instâncias individuais para explicar decisões de detecção específicas.
• Camada de Priorização de Alertas: Cada alerta $a$ recebe uma pontuação de prioridade composta $P(a)$:
  $$P(a) = \alpha \hat{p}_{attack}(a) + \beta S_{SHAP}(a) + \gamma C_{GCN}(a)$$
  Onde $\hat{p}_{attack}$ é a probabilidade prevista de um ataque, $S_{SHAP}$ é o valor absoluto médio de SHAP (confiança da explicação) e $C_{GCN}$ é a centralidade de intermediação (betweenness centrality) do nó de origem. Alertas abaixo de um limiar calibrado $\theta$ são suprimidos.

3. Configuração Experimental

• Dataset: Um benchmark estruturado derivado do CIC-IDS-2018, compreendendo 60.000 amostras em oito categorias (Benigno, Bot, Brute Force FTP/SSH, DDoS, DoS Hulk, DoS Slowloris, Ataque Web). O dataset reflete o desequilíbrio de classes do mundo real com ~70% de tráfego benigno.
• Pré-processamento: Inclui limpeza, normalização, sobreamostragem SMOTE para o conjunto de treinamento e uma divisão estratificada de 70/15/15.
• Baselines: Comparado contra Snort (baseado em assinatura), Random Forest, LSTM, XGBoost e XGBoost+SHAP.
• Métricas: Acurácia, Precisão, Recall, F1-Score macro, AUC-ROC, Taxa de Falsos Positivos (FPR) e Taxa de Redução de Alertas (ARR).

4. Principais Resultados

Avaliado em um conjunto de teste de 9.000 amostras, o DEF demonstrou o seguinte desempenho:

4.1 Desempenho de Detecção

• Acurácia: 94,58%
• F1-Score Macro: 90,11%
• AUC-ROC: 0,9855
• Taxa de Falsos Positivos: 1,16% (uma melhoria significativa em relação aos ~12% de FPR do Snort).
• Comparação: O DEF superou o Random Forest (F1 87,97%) e o LSTM (F1 90,11%) na análise comparativa, particularmente na detecção de ataques de Bot e Brute Force.

4.2 Priorização de Alertas e Impacto no SOC

• Redução de Alertas: Com um limiar $\theta = 0,6$, o sistema reduziu o número de alertas apresentados aos analistas em 68,9% (de uma base de 50–100 alertas/hora para aproximadamente 16–31 alertas/hora).
• Preservação de Recall: Apesar da redução, o sistema manteve um recall de 90,72%, garantindo que a grande maioria dos ataques reais não fosse perdida.
• Redução de Carga de Trabalho: A redução traduz-se em uma diminuição no tempo de triagem do analista de ~1.000 minutos/hora para ~310 minutos/ hora.

4.3 Eficiência e Qualidade da XAI

• Velocidade do SHAP: Gerou explicações globais e locais em 8,7 ms por amostra, atendendo aos limiares de tempo quase real para dashboards de SOC.
• Velocidade do LIME: Gerou explicações locais em 234,8 ms por instância.
• Interpretabilidade: O sistema fornece justificativas interpretáveis pelo humano (ex: limiares de características específicas empurrando uma previsão para "ataque") junto a cada alerta, auxiliando a tomada de decisão do analista sem exigir expertise em ML.

5. Significância e Alegações

O artigo afirma que o DEF aborda o triângulo de acurácia, redução de carga de trabalho e transparência simultaneamente, enquanto a literatura existente frequentemente trata esses elementos isoladamente.

• Viabilidade Operacional: O framework demonstra que alta acurácia de detecção e redução significativa do volume de alertas são simultaneamente alcançáveis sem comprometer o recall de ameaças reais.
• XAI em Tempo Real: Ao gerar explicações em milissegundos (8,7 ms para SHAP), o framework preenche a lacuna entre modelos de aprendizado profundo complexos e a necessidade de confiança e ação imediata do analista.
• Abordagem Holística: Diferente de estudos anteriores que focam apenas em detecção ou explicação offline, o DEF integra modelagem temporal (Transformer), modelagem topológica (GCN) e priorização em tempo real em um único pipeline adequado para ambientes de produção de SOC.

Os autores observam limitações, incluindo o uso de um subconjunto estruturado do CIC-IDS-2018 em vez do dataset bruto completo, o uso de XGBoost como um proxy para LSTM devido a restrições de ambiente, e a necessidade de snapshots de topologia de rede em tempo real para o módulo GCN. Trabalhos futuros são propostos para validar o pipeline completo Transformer+GCN no dataset completo e realizar estudos de usuário para medir a melhoria real no tempo de resposta do analista.