Mejorando la detección de intrusiones con información visual

Los sistemas de detección de intrusiones (IDS) son como la vigilancia vecinal del mundo digital. Están al tanto de lo que pasa en las redes y computadoras, buscando cualquier señal de problemas o ataques por parte de cibercriminales. Piensa en ello como tener un guardia de seguridad que se asegura de que todo funcione bien y de que nadie intente entrar a la fuerza. Vigilan diversas amenazas, como ataques de denegación de servicio (donde el sistema se satura con peticiones), suplantación (donde alguien se hace pasar por otra persona) y otras que podrían causar daño.

Pero aquí va lo complicado: incluso los mejores guardias de seguridad pueden cometer errores. En el mundo de los IDS, estos errores aparecen como Falsos Positivos (FP) y Falsos Negativos (FN). Un falso positivo es cuando el sistema piensa erróneamente que algo es una amenaza cuando en realidad no lo es. Es como pensar que tu vecino amistoso es un ladrón solo porque lleva una sudadera con capucha. Por otro lado, un falso negativo es cuando el sistema se pierde una amenaza real. Imagina a un ladrón colándose pastando el guardia de seguridad porque se camufló demasiado bien.

#El Problema con las Clasificaciones Erróneas

Uno de los mayores desafíos al usar modelos de Aprendizaje automático (ML) y aprendizaje profundo (DL) para la detección de intrusiones son estas clasificaciones erróneas. Cuando un IDS se equivoca, el trabajo de los analistas humanos se complica mucho más. Necesitan tomar decisiones basadas en la información proporcionada, y si esa información no es precisa, puede llevar a consecuencias serias.

En este contexto, nuestro objetivo es ayudar a los analistas a detectar fácilmente los falsos positivos y falsos negativos. Hacemos esto usando un método llamado inteligencia artificial explicativa (XAI). Con XAI, facilitamos ver por qué un IDS hizo una cierta predicción. Usando herramientas visuales, como gráficos SHAP, podemos ilustrar qué características contribuyeron a la decisión del sistema.

#Cómo Enfocamos la Solución

Usamos varios Conjuntos de datos de tráfico de redes en nuestro trabajo. Estos conjuntos incluyen una mezcla de tráfico benigno (seguro) y tráfico de ataque. Para entender todo, nos enfocamos en el escenario de clasificación binaria donde el tráfico se etiqueta como 'benigno' o 'ataque'.

1. Recopilación y Preparación de Datos: Primero, recopilamos datos de ataques anteriores y tráfico normal. Estos datos se limpian y organizan para asegurarnos de que estén listos para el análisis. Nos enfrentamos a desequilibrios en los datos porque a menudo hay muchos más casos benignos que ataques. Podemos aplicar técnicas como sobremuestreo (agregando más ejemplos de ataque) o submuestreo (eliminando algunos ejemplos benignos) para equilibrar todo.

2. Entrenamiento de los Modelos: Después de la preparación, entrenamos nuestros modelos de aprendizaje automático. Usamos diferentes clasificadores basados en árboles como Árboles de Decisión, XGBoost y Bosques Aleatorios para clasificar el tráfico. Los modelos aprenden de los datos, con el objetivo de predecir correctamente si una instancia de tráfico es benigna o un ataque.

3. Usando SHAP para Obtener Perspectivas: Una vez que nuestros modelos están entrenados, aplicamos SHAP para obtener información sobre cómo toman decisiones. SHAP utiliza conceptos de teoría de juegos cooperativos para explicar la contribución de cada característica a las predicciones del modelo. Esto ayuda a los analistas a entender por qué se hizo una determinada predicción, haciendo el proceso de decisión más fácil.

#Visualizando el Análisis

Imagina que eres un guardia de seguridad revisando a una persona sospechosa. En lugar de confiar solo en tu corazonada, tienes un informe detallado que muestra cómo actúa en diferentes situaciones. Eso es lo que hacen los gráficos SHAP: proporcionan información sobre las predicciones del modelo y ayudan a establecer confianza.

Así es como funciona:

• Generando Gráficos SHAP: Creamos gráficos SHAP para verdaderos positivos (ataques identificados correctamente), verdaderos negativos (tráfico benigno identificado correctamente), falsos positivos y falsos negativos. Estos gráficos nos permiten comparar visualmente las contribuciones de las características.

• Superposición de Gráficos SHAP: La parte inteligente viene cuando superponemos estos gráficos. Por ejemplo, si tenemos una instancia que el modelo cree que es un ataque (una predicción positiva), podemos comparar sus características con las de los grupos de verdaderos positivos y falsos positivos. Si se parece más al grupo de falsos positivos, sabemos que probablemente sea un error.

#La Importancia de las Probabilidades Crudas

Además de usar gráficos SHAP, también consideramos la probabilidad cruda de nuestras predicciones. Esto es como tener una corazonada sobre la probabilidad de que alguien sea un ladrón según sus acciones. Una alta probabilidad podría significar que el analista tiene más confianza en la predicción, mientras que una probabilidad más baja podría levantar algunas cejas.

Al evaluar los gráficos superpuestos y las probabilidades crudas, los analistas pueden decidir si una predicción es confiable. Si todo apunta a un falso positivo, pueden actuar en consecuencia y tratar esa instancia como benigna.

#Estudios de Caso para Probar la Metodología

Realizamos estudios de caso usando diferentes conjuntos de datos disponibles públicamente para mostrar cómo funciona nuestro método en escenarios de la vida real. Cada conjunto de datos presentó sus propios desafíos, pero el objetivo siguió siendo el mismo: identificar con precisión falsos positivos y falsos negativos.

1. Conjunto de Datos CIC-IoT-2023: Este conjunto es una mina de oro para las pruebas ya que está lleno de instancias de ataques y tráfico benigno. Notamos que una gran mayoría de las instancias eran ataques, lo que hacía esencial equilibrar los datos antes del análisis. Una vez que todo estuvo equilibrado, aplicamos nuestra metodología y analizamos los resultados.

2. Conjunto de Datos NF-UQ-NIDS-v2: Este conjunto tenía una variedad de anomalías basadas en redes. Al aplicar nuestro método, vimos una imagen clara de cuán bien el modelo desempeñó en diferenciar entre tráfico benigno y de ataque. Los gráficos visuales fueron fundamentales para ayudar a los analistas a entender las predicciones del modelo.

3. Conjunto de Datos HIKARI-2021: Este conjunto contenía tanto instancias benignas como de ataque. Aplicamos nuestro método y encontramos que los gráficos superpuestos iluminaban las distinciones entre falsos positivos y falsos negativos. La claridad que trajeron estas visualizaciones fue notable.

#Evaluando la Efectividad del Método

Después de realizar nuestros experimentos, evaluamos los resultados en función de cuánto pudieron los analistas identificar falsos positivos y falsos negativos con precisión. Introdujimos algunas instancias aleatorias en la mezcla y hicimos que los analistas trabajaran con ellas usando los gráficos SHAP que generamos.

Los resultados fueron alentadores. Muchos analistas identificaron con éxito falsos positivos y falsos negativos basándose en las pistas visuales de los gráficos. Tomaron decisiones informadas que ayudaron a reducir las tasas generales de clasificación errónea.

#Limitaciones del Estudio

Aunque encontramos nuestro método efectivo, no está exento de limitaciones. Para empezar, nos enfocamos en modelos basados en árboles y no exploramos opciones de aprendizaje profundo, lo que podría haber añadido otra capa de análisis.

Además, incluso con nuestro enfoque sistemático, los analistas todavía necesitan interpretar los gráficos SHAP. Esta dependencia de la evaluación humana puede llevar a errores a veces. Puede que no hayamos considerado completamente escenarios complejos de clasificación multicategoría, dejando espacio para investigaciones futuras.

Por último, nuestro modelo necesita ser actualizado periódicamente. Si no se adapta a los patrones cambiantes en los datos, las decisiones tomadas basadas únicamente en información histórica podrían llevar a clasificaciones erróneas.

#Conclusión: Un Paso Hacia Mejores Decisiones

En última instancia, nuestro trabajo muestra cómo el análisis visual combinado con IA explicativa puede mejorar significativamente la toma de decisiones en los sistemas de detección de intrusiones. Al usar gráficos SHAP, proporcionamos a los analistas herramientas para desmenuzar las predicciones del modelo, permitiéndoles navegar a través de las complejidades de los falsos positivos y falsos negativos con más confianza.

A medida que la tecnología sigue evolucionando, también lo harán las amenazas que enfrentamos en el paisaje digital. Al fortalecer nuestros sistemas de detección de intrusiones hoy, allana el camino hacia un mañana más seguro.