HSAE: um autoencoder híbrido não supervisionado para detecção de ataques zero-day e sua extensão ensemble

Abstract

A detecção de ataques desconhecidos ou zero-day representa um dos principais desafios da segurança cibernética moderna, especialmente em ambientes com recursos computacionais limitados como redes IoT. Os sistemas tradicionais baseados em assinaturas são ineficazes contra ameaças desconhecidas, enquanto abordagens existentes de aprendizado de máquina apresentam limitações como dependência de parâmetros estáticos, complexidade arquitetural excessiva e necessidade de ajustes manuais constantes. Este trabalho propõe o HSAE (Hybrid Scoring Autoencoder), uma arquitetura híbrida não supervisionada que combina um autoen coder profundo com uma saída auxiliar de pontuação de anomalia, implementando detecção multi-critério através de função de perda híbrida e threshold dinâmico otimizado via Equal Er ror Rate (EER). Adicionalmente, desenvolve-se uma extensão ensemble que integra o HSAE, com PCA (Principal Component Analysis) e One-Class SVM (Support Vector Machine) para aumentar a robustez da detecção. A metodologia empregada baseia-se no treinamento ex clusivo com dados benignos, permitindo identificação de padrões anômalos sem necessidade de exemplos de ataques previamente rotulados. A validação experimental foi conduzida nos conjuntos de dados CICIDS2017 e ToN_IoT, comparando o desempenho com o Variational Autoencoder (VAE) como modelo de referência. Os resultados demonstram superioridade con sistente do HSAE, com o ensemble alcançando 94% de precisão e 96% de AUC (Area Under the Curve) na detecção de ransomware, e 96% de precisão em cenários de múltiplos ataques simultâneos. Destaca-se a redução de 99,8% no consumo de memória em relação a frameworks existentes, viabilizando implementação em dispositivos com recursos restritos. As contribui ções incluem uma arquitetura adaptativa que elimina dependência de configurações manuais, metodologia transparente de pré-processamento que mitiga vieses experimentais, e validação abrangente com múltiplas métricas de desempenho. O trabalho estabelece uma solução prática e escalável para detecção proativa de ameaças em ambientes dinâmicos, equilibrando eficiência computacional com alta acurácia na identificação de ataques desconhecidos.