Ensemble treinado adversarialmente reduz de 41% para 3% o sucesso de ataques evasivos contra deteccao de intrusao baseada em ML
O estudo avalia oito ataques adversariais de evasao contra quinze modelos de deteccao de intrusao de rede (NIDS) baseados em machine learning, usando o dataset NF-UQ-NIDS com vinte categorias de ataques em trafego tradicional e IoT. Os autores propoem o AR-NIDS, um framework de dois estagios -- um ensemble treinado adversarialmente que distingue trafego normal, de ataque e adversarial, seguido por um classificador que identifica o tipo de ataque -- que reduziu a taxa media de sucesso dos ataques evasivos de 0,41 para 0,03, alcancando 0,98 no indice de robustez proposto pelos proprios autores.
Sistemas de deteccao de intrusao baseados em aprendizado de maquina sao, eles proprios, alvo de ataques adversariais de evasao: um atacante perturba sutilmente as caracteristicas do trafego malicioso (mantendo a funcionalidade do ataque original) de forma que o classificador o rotule como trafego benigno. O paper faz uma avaliacao comparativa ampla desse problema -- oito tecnicas de ataque diferentes contra quinze modelos de deteccao distintos -- algo que os autores apontam como pouco explorado de forma sistematica na literatura de NIDS.
O dataset usado, NF-UQ-NIDS, combina trafego de rede tradicional e de dispositivos IoT cobrindo vinte categorias de ataque, permitindo avaliar nao so o desempenho em dados limpos, mas tambem a consistencia do sucesso de cada ataque atraves de diferentes arquiteturas de modelo -- ou seja, quais tecnicas de evasao transferem bem entre detectores diferentes, o que e o cenario mais realista de ataque em producao, onde o atacante normalmente nao tem acesso ao modelo exato usado pela vitima.
A contribuicao defensiva, AR-NIDS, funciona em dois estagios: primeiro um ensemble treinado com exemplos adversariais aprende a distinguir tres classes (trafego normal, trafego de ataque comum e trafego adversarial manipulado), e depois um segundo classificador, acionado apenas quando a amostra e identificada como ataque, tenta apontar a categoria especifica do ataque. Os autores tambem introduzem o Indice de Robustez (RI), uma metrica unica que combina acuracia balanceada e F1-macro no conjunto de avaliacao com penalizacao pela taxa de sucesso do ataque, facilitando comparacao entre modelos.
O resultado pratico -- reducao da taxa media de sucesso de ataques de 0,41 para 0,03 -- e relevante para operadores de NIDS porque mostra que treinamento adversarial explicito (nao apenas acuracia em dados limpos) e o fator que mais separa modelos robustos de modelos frageis sob evasao. Isso reforca que avaliar um classificador de seguranca apenas por metricas tradicionais de deteccao, sem testar contra perturbacoes adversariais deliberadas, da uma falsa sensacao de robustez -- um detector com otima acuracia em trafego limpo pode ser trivialmente contornado por um atacante que conhece (ou apenas transfere de outro modelo) tecnicas de evasao.