Defesa híbrida combina treinamento adversarial e ruído gaussiano para blindar IDS contra FGSM e Carlini & Wagner
Pesquisadores demonstram que um NIDS (sistema de detecção de intrusão de rede) que caía para 26% e 50% de acurácia sob os ataques adversariais FGSM e Carlini & Wagner, respectivamente, recupera 96,57% e 89,20% de acurácia após uma defesa híbrida que combina Adversarial Training com Gaussian Data Augmentation. O estudo varre múltiplos níveis de epsilon e ruído de confiança para validar a robustez da abordagem.
O ponto de partida do artigo é uma demonstração de quão frágeis sistemas de detecção de intrusão baseados em ML podem ser diante de ataques adversariais white-box bem conhecidos: o FGSM (Fast Gradient Sign Method), que perturba a entrada na direção do gradiente do modelo, e o ataque de Carlini & Wagner (C&W), mais custoso computacionalmente mas tipicamente mais potente por otimizar a perturbação mínima necessária para enganar o classificador. Sob esses ataques, a acurácia do NIDS despenca de um patamar saudável para 26,49% (FGSM) e 49,61% (C&W) — na prática, o sistema passa a classificar tráfego malicioso como benigno com folga suficiente para um invasor operar sem ser notado.
A defesa proposta combina duas técnicas heurísticas complementares em vez de depender de uma só: Adversarial Training (AT), que incorpora exemplos adversariais gerados durante o próprio treino para que o modelo aprenda a classificá-los corretamente, e Gaussian Data Augmentation (GDA), que injeta ruído gaussiano aleatório nos dados de treino para aumentar a robustez a perturbações em múltiplas direções, não apenas nas direções exploradas por um ataque específico. A ideia é que AT blinda contra vetores adversariais conhecidos e GDA cobre para vetores não antecipados.
Os resultados são expressivos: a acurácia pós-defesa sobe para 96,57% sob FGSM e 89,20% sob C&W, uma recuperação quase completa em relação ao cenário sem defesa. Os autores também testaram a robustez da abordagem variando o epsilon (magnitude da perturbação) e o fator de ruído de confiança entre 0,0001 e 0,0009, mostrando que o ganho se mantém através de uma faixa razoável de intensidade de ataque, e não é um resultado frágil obtido em um único ponto de operação.
Para quem opera IDS/NIDS em produção, o trabalho reforça um padrão que já aparece em outros estudos da área (como o BGAN-TabTransformer coberto separadamente nesta edição): treinar apenas com dados limpos deixa uma lacuna de robustez perigosa e mensurável, mas técnicas relativamente simples e bem estabelecidas — não é preciso arquitetura exótica — já recuperam a maior parte do desempenho perdido. O custo de não aplicá-las é um sistema de defesa de rede que pode ser contornado por um atacante com conhecimento razoável de adversarial ML.