Mejorando la Detección de Intrusiones con Métodos de Selección de Características

La ciberseguridad es clave para proteger datos y sistemas de ataques. Los Sistemas de Detección de Intrusiones (IDS) son herramientas que ayudan a identificar y prevenir estas amenazas. Estos sistemas analizan datos de computadoras y redes para encontrar señales de actividad maliciosa. Recientemente, se han usado técnicas de aprendizaje automático (ML) y aprendizaje profundo (DL) para mejorar los modelos de IDS. Métodos populares incluyen Random Forest (RF) y redes neuronales profundas (DNN).

Un aspecto importante de construir modelos de IDS efectivos es la Selección de características, que implica elegir los puntos de datos más relevantes para usar en el análisis. Al seleccionar las características correctas, los modelos pueden ejecutarse más rápido y ofrecer resultados más precisos. Este artículo compara tres técnicas diferentes de selección de características: ganancia de información de RF, selección de características por correlación usando un Algoritmo de Murciélago, y selección de características por correlación usando el Optimizador Aquila.

Nuestra investigación muestra que la selección de características basada en el Algoritmo de Murciélago es el método más eficiente, tardando solo el 55% del tiempo que requiere el mejor modelo de Random Forest, manteniendo casi la misma precisión. A medida que las amenazas cibernéticas siguen aumentando, encontrar métodos efectivos y eficientes para la detección de intrusiones es crucial.

#Resumen de Ciberseguridad

La ciberseguridad es un área en expansión debido al creciente número de amenazas cibernéticas. Por ejemplo, en 2022, se identificaron más de 1.3 mil millones de programas de malware. Además, las violaciones de datos pueden ser muy costosas; el gasto promedio de una violación de datos es de alrededor de $4.24 millones. Una parte significativa de la ciberseguridad es la detección de amenazas, que identifica actividades dañinas. Los IDS basados en red (NIDS) buscan monitorear las conexiones de red en busca de signos de tráfico malicioso. Dado que muchos ataques serios apuntan a organizaciones a través de sus redes, desarrollar NIDS es un área importante de investigación.

#Tipos de Sistemas de Detección de Intrusiones

Los sistemas de detección de intrusiones se pueden categorizar en dos tipos: sistemas basados en firmas y sistemas basados en anomalías. Los IDS basados en firmas buscan patrones de ataque conocidos. Crean un modelo basado en datos pasados y usan ese modelo para identificar amenazas actuales, similar a cómo funciona el software antivirus. Sin embargo, estos sistemas pueden tener problemas con ataques nuevos o desconocidos.

En contraste, los IDS basados en anomalías identifican patrones inusuales en los datos. Este método puede ser más efectivo para revelar ataques novedosos, especialmente al tratar con grandes conjuntos de datos que no tienen correlaciones claras. Los sistemas híbridos combinan ambos enfoques para mejorar el rendimiento general.

#Fuentes de Datos para la Investigación

En nuestra investigación, utilizamos datos de red reales o simulados para probar los diversos modelos de IDS. Algunos conjuntos de datos comunes incluyen NSL-KDD, KDD-Cup'99, UNSW-NB15 y CSE-CIC-IDS2018. Nos enfocamos en el conjunto de datos CSE-CIC-IDS2018, ya que contiene una amplia gama de ataques, incluyendo ataques de día cero que ocurren a menudo en redes recién configuradas. Este conjunto de datos es valioso para la investigación debido a su variedad y actualizaciones recientes.

#Técnicas de Aprendizaje Automático

Para construir sistemas de detección de intrusiones eficientes, se emplean técnicas de aprendizaje automático y profundo. El aprendizaje automático se centra en métodos estadísticos que derivan patrones de comportamientos conocidos. Dentro de este ámbito, los métodos de clasificación son esenciales para determinar si un usuario está intentando un ataque y para identificar la naturaleza del ataque. Dado que los datos suelen estar desbalanceados, decidimos usar Random Forest para nuestro análisis.

Random Forest funciona creando múltiples árboles de decisión que clasifican puntos de datos en función de límites de decisión específicos. Equilibra baja varianza y bajo sesgo, lo que lo convierte en un método útil para nuestros propósitos.

Las Redes Neuronales Profundas buscan modelar relaciones complejas conectando capas de nodos a través de funciones de activación. Son beneficiosas para entrenar con grandes conjuntos de datos y ofrecen un rendimiento fuerte en comparación con las técnicas tradicionales de aprendizaje automático.

#Métodos de Selección de Características

La selección de características es crítica para mejorar el rendimiento de los sistemas de detección de intrusiones. Al reducir las características que se alimentan al modelo, podemos mejorar la velocidad y efectividad. Hay tres tipos principales de métodos de selección de características: métodos de filtro, métodos de envoltura y métodos embebidos.

Los métodos de filtro aplican criterios predefinidos para evaluar la utilidad de las características. Los métodos de envoltura implican construir y comparar muchos modelos basados en subconjuntos de características. Los métodos embebidos entrenan un modelo que luego determina qué características son valiosas.

En nuestro estudio, nos enfocamos en dos métodos de filtro (CFS-BA y CFS-AO) y un método embebido (ganancia de información de RF). CFS-BA es un método basado en correlación que evalúa rápidamente las relaciones entre características.

#Algoritmo de Murciélago

El Algoritmo de Murciélago es una técnica de optimización metaheurística basada en cómo los murciélagos utilizan la ecolocalización para cazar. Este algoritmo funciona en dos fases principales: exploración, que busca cubrir un amplio rango de soluciones posibles, y explotación, que se centra en encontrar la mejor solución dentro de un área específica.

En nuestro estudio, aplicamos el Algoritmo de Murciélago para encontrar el mejor subconjunto de características basado en su correlación con la variable objetivo. Este método proporcionó excelentes resultados cuando se probó con el conjunto de datos CSE-CIC-IDS2018.

#Optimizador Aquila

El Optimizador Aquila es un algoritmo metaheurístico más nuevo que busca superar métodos anteriores en velocidad y eficiencia. Aunque puede tardar más en converger en la mejor solución, ha mostrado resultados sólidos en la selección de características a través de varios benchmarks.

En esta investigación, comparamos el rendimiento del Optimizador Aquila contra el Algoritmo de Murciélago para evaluar su efectividad en la selección de características para sistemas de detección de intrusiones.

#Métricas de Evaluación

Para medir el éxito de nuestros modelos de detección de intrusiones, analizamos un conjunto de métricas de rendimiento. Estas incluyeron precisión, precisión, puntaje F1 y la tasa de falsas alarmas (FAR). Para la clasificación binaria, utilizamos una matriz de confusión para determinar qué tan bien se desempeñaron nuestros modelos en predecir actividad maliciosa frente a benignas.

Para la clasificación multiclase, calculamos las métricas tratando cada clase individualmente y determinando la precisión general. El objetivo era obtener una comprensión completa de cómo se desempeñó cada modelo utilizando diferentes subconjuntos de características.

#Preparación de Datos

Usamos el conjunto de datos CSE-CIC-IDS2018, que fue creado para simular datos de red para investigación en sistemas de detección de intrusiones. El conjunto de datos incluye ataques simulados durante diez días y contiene numerosos inputs numéricos.

Antes del análisis, limpiamos los datos eliminando características irrelevantes y normalizando los predictores restantes. Elegimos una división de 50/50 entre entrenamiento y prueba para asegurarnos de tener suficientes datos para pruebas y validación exhaustivas.

#Resultados y Análisis

Después de ejecutar nuestros modelos usando subconjuntos de características refinadas, encontramos que tanto el Algoritmo de Murciélago como los métodos de ganancia de información de RF superaron significativamente a los modelos que usaban el conjunto completo de características. El Algoritmo de Murciélago redujo significativamente el tiempo de construcción del modelo mientras mantenía altos niveles de precisión.

En términos de rendimiento, el modelo de Random Forest logró la mayor precisión con la menor cantidad de características. El modelo de red neuronal profunda también se desempeñó bien, pero enfrentó algunos desafíos con tipos específicos de ataques.

Las matrices de confusión revelaron patrones de clasificación incorrecta entre ciertos tipos de ataques, como ataques de denegación de servicio y ataques de fuerza bruta, indicando áreas donde los modelos podrían mejorar.

#Conclusión

Esta investigación demostró que los métodos de selección de características, particularmente el Algoritmo de Murciélago y la ganancia de información de RF, proporcionan beneficios significativos para los sistemas de detección de intrusiones. Los modelos que incorporaron estos métodos redujeron significativamente el número de características mientras mejoraron el rendimiento de clasificación.

A medida que las amenazas cibernéticas continúan evolucionando, es esencial emplear modelos de IDS eficientes y efectivos. La investigación futura puede explorar más a fondo diferentes métodos de selección de características, arquitecturas de redes neuronales y métricas de evaluación para mejorar el rendimiento y la explicabilidad de los sistemas de detección de intrusiones. Con los avances continuos, podemos proteger mejor nuestros entornos digitales contra amenazas emergentes.