Comparação entre estratégias de agregação de fluxos para a detecção de APTs com modelos Transformer
Resumo
Ameaças Persistentes Avançadas (APTs) desenvolvem-se ao longo de múltiplos estágios e períodos prolongados, produzindo atividade maliciosa esparsa em meio ao tráfego legítimo. Esse comportamento dificulta sua detecção por classificadores que analisam cada fluxo isoladamente, pois padrões contextuais entre fluxos podem ser perdidos. Este trabalho compara duas estratégias para incorporar esse contexto (agregação por contagem e por janela de tempo) à classificação de fluxos individuais, utilizando um mesmo modelo baseado em Transformer e o conjunto de dados Unraveled. Os resultados mostram que ambas as estratégias aumentam a PR-AUC, mas a redução de falsos positivos ocorre principalmente com contextos pequenos e é mais expressiva com janelas temporais curtas, chegando a 60%. Isso indica que a proximidade temporal entre os fluxos é mais relevante para a detecção do que o tamanho do contexto.
Referências
Martin-Reizabal, S., Caballero-Quiroga, A., Gil-Arroyo, B., Basurto, N., and Ruiz-Gonzalez, R. (2026). Transformer-based classification of iot network traffic with flow-to-window aggregation. Internet of Things, 36:101879.
Myneni, S., Jha, K., Sabur, A., Agrawal, G., Deng, Y., Chowdhary, A., and Huang, D. (2023). Unraveled — a semi-synthetic dataset for advanced persistent threats. Computer Networks, 227:109688.
Nguyen, L. G. and Watabe, K. (2023). A method for network intrusion detection using flow sequence and bert framework. In ICC 2023 - IEEE International Conference on Communications, pages 3006–3011.
U.S. Government Accountability Office (2018). Data protection: Actions taken by equifax and federal agencies in response to the 2017 breach. Technical Report GAO-18-559, U.S. Government Accountability Office, Washington, DC.
