Active machine learning applied to intrusion detection in user authentication

Abstract

O crescimento exponencial das ameaças cibernéticas impõe desafios significativos aos sistemas de detecção de intrusão tradicionais, que frequentemente enfrentam di ficuldades com o volume massivo de dados e o alto custo da rotulagem manual. Este estudo investiga o uso do Aprendizado Ativo (Active Learning) como estratégia para au mentar a eficiência na detecção de ataques em sistemas de autenticação. Utilizando os conjuntos de dados CIC-IDS2017 e LANL, a pesquisa avaliou três cenários: força bruta em infraestrutura, ataques a aplicações web e movimentação lateral pós-autenticação. A metodologia empregou uma simulação offline baseada em amostragem por incerteza, onde o modelo selecionou iterativamente as instâncias mais informativas para treina mento. Os resultados demonstram que modelos ativos, treinados com apenas 120 amostras, alcançaram taxas de detecção comparáveis a baselines supervisionados treinados com centenas de milhares de exemplos. No cenário de ataques Web, a abor dagem atingiu um Recall de 89% e Precisão superior a 99%, representando uma re dução no esforço de rotulagem superior a 99,9%. Adicionalmente, a aplicação de uma arquitetura híbrida no dataset LANL permitiu a filtragem eficaz de mais de 29.000 fal sos positivos. A análise computacional confirmou a viabilidade da solução para tempo real, com latências de inferência na ordem de microssegundos.

The exponential growth of cyber threats poses significant challenges to traditional in trusion detection systems, which often struggle with the massive volume of data and the high cost of manual labeling. This study investigates the application of Active Learning as a strategy to enhance attack detection efficiency in user authentication systems. Using the CIC-IDS2017 and LANL benchmark datasets, the research eval uated three distinct scenarios: infrastructure brute force, web application attacks, and post-authentication lateral movement. The methodology employed an offline simula tion based on uncertainty sampling, where the model iteratively selected the most in formative instances for training. The results demonstrate that active models, trained with only 120 samples, achieved detection rates comparable to fully supervised base lines trained on hundreds of thousands of examples. Specifically in the Web Attack scenario, the approach achieved a Recall of 89% and a Precision exceeding 99%, rep resenting a labeling effort reduction of over 99.9%. Additionally, the application of a hybrid architecture to the LANL dataset allowed for the effective filtering of over 29,000 false positives. The computational analysis confirmed the viability of the solution for real-time implementation, with inference latencies in the order of microseconds