Resumo Técnico: ST-HAE para Detecção de Anomalias Espaço-Temporais em Redes IoT Heterogêneas

1. Declaração do Problema

A pesquisa atual em sistemas de detecção de intrusão (IDS) é predominantemente conduzida em conjuntos de dados artificialmente equilibrados, onde o tráfego de ataque e benigno é dividido em 50:50. Esta metodologia obscurece a severa perda de precisão que ocorre em ambientes de produção, onde as proporções de pacotes benignos para ataques frequentemente excedem 100:1. Além disso, classificadores supervisionados falham em generalizar para ataques de dia zero (zero-day) ou novas famílias de malware, e enfrentam dificuldades com a heterogeneidade das redes IoT modernas que abrangem múltiplas arquiteturas de CPU (ARM, MIPS, MIPSEL, x86). Métodos não supervisionados existentes frequentemente carecem de validação estatística rigorosa sob desequilíbrio de classes realista e falham em capturar a natureza sequencial, espaço-temporal do tráfego de rede.

2. Metodologia: ST-HAE

Os autores propõem o ST-HAE (Spatio-Temporal Hybrid Autoencoder), um sistema de detecção de intrusão não supervisionado e livre de rótulos, projetado para operar sob extremo desequilíbrio de classes.

2.1 Arquitetura Central

O ST-HAE é um modelo de codificador-decodificador leve treinado exclusivamente em tráfego benigno. Ele não requer rótulos de ataque durante o treinamento, permitindo a detecção de anomalias de dia zero. A arquitetura consiste em:

• Codificador Espacial (1D-CNN): Uma camada convolucional com 32 filtros (tamanho do kernel 3) e MaxPooling para capturar correlações entre características dentro dos registros de fluxo de rede.
• Codificador Temporal (Bidirectional LSTM): Uma camada BiLSTM com 64 unidades por direção que processa a saída da CNN. Isso captura a simetria requisição-resposta e as dependências sequenciais inerentes ao tráfego legítimo.
• Gargalo de Compressão: A saída é comprimida em um código latente de 16 dimensões através de duas camadas totalmente conectadas, forçando uma representação compacta do manifold de tráfego benigno.
• Decodificador Assimétrico: Um decodificador de três camadas totalmente conectadas reconstrói o vetor de entrada original. O decodificador é intencionalmente mais raso que o codificador para minimizar parâmetros (totalizando 60.151 parâmetros treináveis), tornando-o adequado para implantação em gateways de borda (edge gateways).

2.2 Lógica de Treinamento e Detecção

• Objetivo: O modelo minimiza o erro quadrático médio (MSE) de perda de reconstrução sobre a partição de treinamento benigna.
• Pontuação de Anomalia: As anomalias são detectadas com base no erro de reconstrução ($RE$). Uma amostra é sinalizada como anômala se $RE(x) > \tau$.
• Calibração de Limiar: O limiar $\tau$ é derivado estatisticamente do conjunto de validação benigno: $\tau = \mu_{RE}^{(b)} + k \cdot \sigma_{RE}^{(b)}$. O multiplicador $k$ é determinado via teoria da decisão para equilibrar os custos assimétricos de falsos negativos (intrusões perdidas) versus falsos positivos (fadiga de alertas).
• Gaussianidade: O método assume que os erros de reconstrução benignos seguem uma distribuição Gaussiana, verificada via testes de Anderson-Darling.

2.3 Protocolo de Avaliação

O estudo introduz um protocolo de avaliação desequilibrado rigoroso:

• Sem Subamostragem: Todo o conjunto de ataques é reservado para teste, sem subamostragem.
• Proporções Realistas: Os testes são realizados em conjuntos de dados com razões de desequilíbrio de 278,5:1 (CIC-IoT 2023) e 9,6:1 (IoTMal-2026).
• Validação Estatística: Todos os resultados são reportados como média ± desvio padrão através de cinco sementes aleatórias independentes para garantir estabilidade e reprodutibilidade.

3. Principais Contribuições

O artigo delineia sete contribuições primárias:

1. Protocolo de Avaliação Desequilibrado: Um framework de teste transparente usando o conjunto total de ataques e validação de cinco sementes para refletir condições reais de implantação (razões de 278,5× e 9,6×).
2. Modelo ST-HAE: Um autoencoder 1D-CNN-BiLSTM treinado apenas em tráfego benigno, capaz de detecção de dia zero com uma pegada leve adequada para dispositivos de borda.
3. Limiarização Baseada em Teoria da Decisão: Uma derivação formal do multiplicador de sensibilidade de anomalia $k$ baseado em uma matriz de custo assimétrica.
4. Ablação de Codificação Temporal: Comparação sistemática mostrando que a codificação bidirecional melhora significativamente a estabilidade e a precisão em relação à codificação unidirecional, particularmente em ambientes heterogêneos.
5. Generalização entre Arquiteturas: O modelo generaliza para tráfego ARM, MIPS, MIPSEL e x86 sem necessidade de ajuste fino (fine-tuning) específico da arquitetura.
6. Desempenho em Desequilíbrio Extremo: Alcance de precisão quase perfeita (0,9999) no conjunto de dados CIC-IoT 2023, apesar do desequilíbrio de 278,5:1.
7. Validação Estatística Rigorosa: Relato abrangente de resultados com desvios padrão através de cinco sementes, contrastando com os benchmarks de execução única comuns na literatura anterior.

4. Resultados Experimentais

O modelo foi avaliado em dois conjuntos de dados: CIC-IoT 2023 (IoT de Consumo) e IoTMal-2026 (Malware de Múltiplas Arquiteturas).

4.1 Desempenho no CIC-IoT 2023 (Desequilíbrio de 278,5×)

• Precisão: 0,9999 ± 0,0000
• Acurácia: 97,88% ± 0,04%
• Recall: 97,89% ± 0,04%
• Taxa de Falso Alarme (FAR): 2,73% ± 0,56%
• Significância: Menos de 1 em cada 10.000 pacotes benignos disparou um alerta falso, abordando diretamente o problema da fadiga de alertas do operador.

4.2 Desempenho no IoTMal-2026 (Desequilíbrio de 9,6×)

• Acurácia: 95,77% ± 0,05%
• Precisão: 99,51% ± 0,04%
• AUC: 0,9790 ± 0,0008
• Generalização: Detectou com sucesso malware através de quatro distintas arquiteturas de CPU (ARM, MIPS, MIPSEL, x86) sem retreinamento.

4.3 Comparação com Baselines

• Vs. Baselines Não Supervisionados: O ST-HAE reduziu a Taxa de Falso Alarme em aproximadamente 2 vezes no CIC-IoT 2023 e 4 vezes no IoTMal-2026 em comparação com o Isolation Forest e o One-Class SVM.
• Vs. Baselines Supervisionados: Embora modelos supervisionados (ex: XGBoost) mostrem uma acurácia ligeiramente maior em divisões equilibradas, eles carecem de capacidade de detecção de dia zero. O ST-HAE superou os modelos supervisionados em recall em cenários desequilibrados e manteve alta precisão sem acesso a rótulos de ataque.
• Estabilidade: O uso de LSTM Bidirecional reduziu a variância de acurácia entre sementes em 16,8× no conjunto de dados heterogêneo IoTMal-2026 em comparação com o LSTM unidirecional, indicando uma estabilidade de implantação superior.

4.4 Velocidade de Inferência

Em uma GPU NVIDIA Tesla T4, a latência de inferência por amostra foi de 0,043 ms, sugerindo viabilidade para implantação em gateways de borda (estimativa de >5.000 amostras/s em hardware ARM Cortex-A).

5. Significância e Alegações

O artigo argumenta que a avaliação é o design. A principal significância do ST-HAE não reside apenas em sua arquitetura, mas na demonstração de que a detecção de anomalias de alta precisão é alcançável sob condições realistas de desequilíbrio de classes extremo, onde métricas tradicionais falham.

• Linha de Base Operacional: Os resultados estabelecem uma nova linha de base operacional para detecção não supervisionada, provando que a precisão pode ser mantida próxima a 1,0 mesmo quando o tráfego de ataque constitui 99,64% dos pacotes observados.
• Estabilidade sobre a Acurácia Média: Os autores enfatizam que a redução de 16,8× na variância alcançada pela codificação bidirecional é mais crítica para a implantação no mundo real do que ganhos marginais na acurácia média, pois garante um desempenho consistente através de diferentes inicializações aleatórias.
• Capacidade de Dia Zero: Ao depender da modelagem da normalidade em vez de assinaturas de ataque, o sistema aborda inerentemente a lacuna de detecção de dia zero que assola as abordagens supervisionadas.

Os autores concluem que, embora modelos supervisionados possam atingir uma acurácia bruta maior em benchmarks equilibrados, eles são enganosos para ambientes de produção. O ST-H_AE oferece uma alternativa robusta e não supervisionada que prioriza baixas taxas de falsos alarmes e generalização através de arquiteturas IoT heterogêneas.