Detecção de novidade para sistemas de detecção de intrusão

Abstract

No contexto do aumento da conectividade das redes de computadores e da crescente sofisticação dos ataques cibernéticos, a detecção de intrusão tornou-se um desafio cada vez mais crítico para a segurança das informações armazenadas e transmitidas. O tráfego dessas redes pode ser modelado como um fluxo contínuo de dados, onde os exemplos chegam de forma constante e a distribuição subjacente pode evoluir ao longo do tempo. Em tais fluxos, podem ocorrer fenômenos como mudanças de conceito em classes existentes ou o surgimento de novas classes. Este trabalho investiga técnicas desenvolvidas para a tarefa de Detecção de Novidade, que busca identificar padrões não explicados pelo modelo que representa o comportamento conhecido, aplicadas ao problema de detecção de intrusão. O objetivo da pesquisa é avaliar a capacidade de alguns algoritmos de identificar classes de ataques não presentes na fase de treinamento, enquanto buscam manter a precisão na classificação de classes já conhecidas. Para isso, foi realizada uma análise experimental com diferentes técnicas de Detecção de Novidades: ECSMiner, MINAS, SENCForest, KNNENS e Trident. Além da capacidade preditiva, também foram avaliados aspectos relacionados à eficiência computacional dos algoritmos. Os resultados mostraram que o SENCForest apresentou a maior agilidade na detecção inicial de novas classes de ataques e obteve o menor consumo de memória principal. Por outro lado, MINAS e Trident demonstraram maior viabilidade para operação em tempo real em redes de alto tráfego devido às suas taxa de processamento de amostras.