Utilizando algoritmos adaptativos de aprendizado de máquina para alerta de risco de informação e consciência de cenários de segurança de rede em ambientes de computação em nuvem

Summary

O artigo propõe uma solução inovadora baseada em Aprendizado de Máquina (ML) para segurança de rede adaptativa em um sistema baseado em nuvem que integra classificação hierárquica multirótulo e um sistema dinâmico de avaliação de confiança para avançar a precisão da detecção de ameaças e diminuir o número de falsos positivos.

Abstract

Este estudo propõe uma nova estrutura para consciência situacional e alerta de risco em segurança de redes em ambientes de computação em nuvem, integrando Aprendizado de Máquina (ML) adaptativo, Classificação Multi-Rótulo Hierárquica (HMC) e um mecanismo dinâmico de avaliação de confiança baseado no modelo de nuvem. A complexidade, diversidade e natureza em tempo real dos novos ataques cibernéticos — como exploits zero-day, negação de serviço distribuída (DDoS) e botnets — representam desafios significativos para métodos tradicionais de detecção estática e baseados em regras. Para enfrentar esses desafios, desenvolvemos uma arquitetura de nuvem eficaz baseada em SDN, utilizando o controlador Ryu OpenFlow e switches OpenFlow. Essa arquitetura permite coleta de informações de links em tempo real, escalonamento dinâmico e transmissão de dados escalável e confiável. A estrutura de classificação hierárquica sugerida pode dividir problemas multiclasse em tarefas binárias, aliviando o efeito do desequilíbrio amostral e aumentando o reconhecimento de ataques de baixa frequência, incluindo User to Root (U2R). Técnicas de aprendizado em conjunto, incluindo AdaBoost e Bagging, aprimoram ainda mais a precisão da detecção para tipos de ataques finos. Experimentos realizados com conjuntos de dados DDoS, dados de tráfego em nuvem e simulações no Mininet e EstiNet demonstram que a abordagem combinada ML-HMC-trust melhora significativamente a precisão da detecção, reduz falsos positivos e possibilita resposta em tempo real. Esses resultados confirmam que integrar aprendizado adaptativo, classificação hierárquica e avaliação dinâmica de confiança oferece uma solução robusta e escalável para proteger plataformas de nuvem em grande escala.

Introduction

Com a ampla aplicação da tecnologia de computação em nuvem em vários setores, a escala e a quantidade de dados nos sistemas de informação estão aumentando rapidamente, e as ameaças de rede estão se tornando mais complexas, ocultas e^{dinâmicas 1,2}. Mecanismos tradicionais de defesa de segurança baseados em regras e modelos estáticos não conseguem mais atender aos requisitos de detecção em tempo real com alerta precoce preciso diante de estratégias de ataque em mudança, vulnerabilidades zero-day e ataques distribuídos em grande^{escala 3}. Portanto, aproveitar algoritmos de ML adaptativo para integrar totalmente o processamento distribuído de dados e as capacidades de análise inteligente dentro das plataformas de computação em nuvem, a fim de alcançar uma percepção abrangente da situação de segurança da rede e um alerta precoce eficaz sobre riscos informacionais representa um desafio crítico no atual cenário de segurança^{da informação 4}. Essa pesquisa não apenas tem importância teórica importante para a melhoria do sistema de proteção de segurança existente, mas também oferece forte suporte para garantir a segurança da infraestrutura nacional de informações chave e dos dados centrais^{empresariais 5}.

Existem múltiplos desafios para realizar consciência situacional de segurança de rede e alerta de risco de informação em um ambiente de computação em nuvem: os tipos de dados agregados na plataforma em nuvem são numerosos e as fontes são complexas, tornando o pré-processamento de dados, extração de recursos e tarefas de fusão cada vez mais árduas; diante do aumento do tráfego de rede e dos cenários de ataque em rápida mudança, o sistema precisa responder em um tempo muito curto, e a detecção e o alerta em tempo real tornaram-se gargalos técnicos; a quantidade de tráfego normal é muito diferente da do tráfego de ataque, e algoritmos tradicionais têm baixa precisão ao processar categorias de amostras pequenas (como U2R, ataques de rede, etc.), e há grande risco de julgamento errado; Em um ambiente de rede complexo, relacionamentos de confiança são afetados por múltiplos fatores e são aleatórios e^{incertos 6,7}. Métodos tradicionais de avaliação de confiança baseados em limiares fixos são difíceis de refletir o estado real e são facilmente interferidos por dados anormais. Para enfrentar essas limitações multidimensionais, esta pesquisa apresenta uma estrutura integrada que sinergiza aprendizado de máquina adaptativo, classificação hierárquica multirótulo e um mecanismo dinâmico de avaliação de confiança baseado em modelo de nuvem. Essa fusão de técnicas aplicadas em um ambiente de nuvem orientado por SDN vai além do refinamento incremental, permitindo o reconhecimento detalhado de ataques de baixa frequência, adaptação de confiança em tempo real e consciência situacional escalável, algo que os métodos existentes não alcançaram simultaneamente.

Ambientes de computação em nuvem geram tráfego de rede massivo, altamente dinâmico e heterogêneo, tornando os sistemas tradicionais de detecção de intrusão (IDS) incapazes de identificar com precisão tipos sofisticados e minoritários de ataques, como U2R e R2L. As soluções IDS existentes baseadas em aprendizado profundo (DL) melhoram a precisão da detecção, mas ainda sofrem com alta sobrecarga computacional, resposta lenta em tempo real e tratamento ruim de relações de confiança incertas ou em evolução entre entidades da rede. Além disso, a maioria dos modelos atuais opera como classificadores planos e carece de mecanismos para tomada de decisão hierárquica e detalhada ou avaliação dinâmica de confiança. Essas limitações criam uma lacuna crítica no desenvolvimento de um IDS que possa simultaneamente fornecer detecção em tempo real, reconhecimento preciso de classes minoritárias e avaliação confiável de riscos confiáveis em ambientes de nuvem em grande escala.

Nas pesquisas existentes sobre consciência da situação de segurança da rede e alerta de risco de informação, muitos estudos utilizam métodos como K-vizinho mais próximo (KNN) e máquina de vetores de suporte (SVM) para classificar e detectar tráfego de rede. Esses algoritmos têm as vantagens de alta eficiência computacional e fácil implementação, especialmente ao realizar triagem preliminar de grandes volumes de^{dados 8,9}. No entanto, suas principais limitações se refletem em vários aspectos: quando confrontados com a maioria do tráfego normal e um pequeno número de amostras de ataque em um ambiente de nuvem, esses métodos tradicionais de ML frequentemente ignoram informações de algumas categorias, resultando em baixas taxas de reconhecimento para ataques detalhados (como U2R, ataques de vulnerabilidade de rede, etc.); modelos individuais geralmente são sensíveis a ruído e valores atípicos de dados, não têm capacidade de se adaptar a cenários de ataque que mudam dinamicamente e são propensos a sobreajuste ou generalização^{insuficiente 10,11}.

Nos últimos anos, métodos de DL como Multi-Layer Perceptron (MLP), CNN, Rede Neural Recorrente (RNN), Long Short-Term Memory Network (LSTM) e Gated Recurrent Unit (GRU) têm sido cada vez mais aplicados no campo da segurança de rede. Com as poderosas capacidades de aprendizado de características e mapeamento não linear das redes neurais profundas, esses métodos melhoraram significativamente a precisão da detecção e aprimoraram a capacidade de capturar comportamentos de ataque complexos em comparação com o ML¹² tradicional. No entanto, eles têm altos requisitos para recursos computacionais e dados de treinamento. Especialmente no contexto do tráfego de big data em ambientes de computação em nuvem, ainda há espaço para melhorias na sobrecarga de treinamento e na velocidade de inferência em tempo real. Ao identificar classes com poucas amostras, devido ao desequilíbrio de dados, modelos DL apresentam baixas taxas de detecção para alguns ataques detalhados (como U2R, botnets) devido ao viés de classe¹³. Para compensar as limitações de um único modelo no tratamento do desequilíbrio de dados e da identificação de ataques multiclasse, alguns estudos propuseram soluções baseadas em aprendizado em conjunto, como Bagging e Boosting, que ampliam a precisão geral da previsão ao combinar decisões de múltiplos^{classificadores 14}. Ao mesmo tempo, a arquitetura de Classificação Multiclasse Hierárquica (HMC) decompõe o problema da classificação multiclasse em múltiplos subproblemas binários, alcançando assim um reconhecimento mais refinado para classes com menos amostras. No entanto, modelos integrados frequentemente enfrentam problemas como alto uso de recursos computacionais e aumento do tempo de resposta durante a implantação, especialmente em sistemas de monitoramento em tempo real de computação em nuvem, onde os requisitos em tempo real aumentam a pressão sobre os recursos do^{sistema 15}.

Em resposta ao problema da avaliação dinâmica de relacionamentos de confiança na rede, alguns estudos introduziram a teoria do modelo de nuvem, que constrói uma nuvem de afiliação de confiança ao descrever a fufuness e a aleatoriedade dos atributos de confiança de cada entidade, e então utiliza gotículas de nuvem, entropia, superentropia e outros indicadores para avaliação^{quantitativa 16}. Ao enfrentar dados de confiança de rede atualizados em tempo real, a taxa de atualização e a eficiência computacional dos métodos existentes de modelos de nuvem podem ter dificuldade em atender aos requisitos de alerta dinâmico de alta frequência; O modelo é altamente sensível a dados de avaliação, e dados anormais ou informações de ruído podem ter uma interferência significativa na avaliação geral da confiança, afetando decisões subsequentes de alerta de risco.

Diante das muitas deficiências das pesquisas atuais em precisão de detecção, desempenho em tempo real, processamento de balanceamento de dados e avaliação de confiança, este artigo propõe um novo sistema de defesa que utiliza de forma abrangente algoritmos de ML adaptativo, estratégias hierárquicas de classificação multiclasse e avaliação de confiança em modelos de nuvem para consciência situacional de segurança de rede e alerta de risco de informação em ambientes^{de computação em nuvem 17}.

A pesquisa aborda a cibersegurança em tempo real para redes inteligentes de navios utilizando tecnologia de computação^{em nuvem 18}. Ele sugere uma estrutura de múltiplos nós sensores para examinar dados em busca de ataques maliciosos e utiliza nós de estratégia de proteção auto-executáveis para interceptar ameaças. Os resultados demonstram uma taxa de detecção e defesa de intrusão de vírus de 85-95%, e uma taxa de falsos positivos de 2,56%, superando significativamente outros algoritmos. No entanto, a abordagem exige altos recursos computacionais e restrições de infraestrutura em nuvem na implementação prática. Aslan et ^al.19 fornecem um sistema inteligente de detecção de malware baseado em comportamento em um ambiente de computação em nuvem. Produziu um conjunto de dados de malware em máquinas virtuais e usou recursos selecionados com agentes de detecção baseados em aprendizado e regras para classificar malware e amostras benignas. A avaliação em 10.000 amostras de programas mostrou alto desempenho com taxa de detecção e FPR aprimoradas. Ainda assim, o método apresentava problemas de escalabilidade com variantes de malware em constante mudança e implantações na nuvem em escala e em tempo real.

Apesar das contribuições significativas feitas por esses estudos, uma comparação mais detalhada revela que a maioria das soluções existentes não aborda as suposições e requisitos da consciência situacional em tempo real ou do modelo dinâmico de confiança em ambientes baseados em nuvem. Técnicas convencionais de ML assumem limites de características que são fixos no espaço e falham no desequilíbrio de classes e dinâmicas de tráfego^{altamente dinâmicas 8,9,10}. Modelos DL estão associados a excelentes habilidades de extração de características, mas consomem alto poder computacional, o que torna o processo de inferência lento e impraticável no monitoramento em^{tempo real 12,13}. Abordagens em conjunto e HMC são mais precisas, mas precisam de ainda mais latência e recursos, e atualmente não são implantadas em nuvens em grande^{escala 14,15}. Enquanto isso, as técnicas de avaliação de confiança em modelos em nuvem capturam bem a incerteza, mas permanecem altamente sensíveis a dados ruidosos e não conseguem atualizar os valores de confiança de forma eficiente sob fluxos de ataque de alta^{frequência 16, 17, 18, 19}. Mesmo frameworks IDS baseados em nuvem mais recentes carecem de suporte robusto e integrado tanto para detecção em tempo real quanto para tomada de decisão consciente da^{confiança 20,21}. Essas restrições destacam coletivamente a necessidade de uma estrutura eficiente, unificada e habilitada para a detecção de intrusões com confiança. Essa pesquisa supera essas limitações ao integrar ML adaptativo, HMC e avaliação dinâmica de confiança baseada em modelos de nuvem em uma arquitetura de nuvem habilitada por SDN, possibilitando detecção em tempo real, melhoria da precisão de classes minoritárias e avaliação de riscos consciente da incerteza.

As inovações deste artigo se refletem principalmente nos seguintes aspectos: Uma arquitetura de rede distribuída eficiente baseada no controlador Ryu OpenFlow e no switch OpenFlow é construída para permitir a coleta em tempo real e o escalonamento dinâmico das informações do link, melhorando assim significativamente a eficiência e o processamento de dados na transmissão de dados.

Diante das dificuldades causadas pelo desequilíbrio de dados e pela identificação de ataques com poucas amostras, é projetado um framework HMC top-down, e métodos integrados de aprendizado como AdaBoost e Bagging são introduzidos para melhorar significativamente a precisão da detecção de categorias de ataques detalhadas.

A teoria do modelo de nuvem é usada para construir uma nuvem de afiliação de confiança. Por meio do gerador reverso e do cálculo de similaridade, a avaliação dinâmica do status de confiança de cada entidade na rede é realizada, fornecendo uma base quantitativa para alerta de risco e suprimindo efetivamente a especulação de crédito causada por transações anormais a preços baixos ou altos.

Protocol

NOTA: Este protocolo descreve como construir um sistema de consciência situacional de segurança de rede baseado em nuvem e implementar classificação hierárquica com avaliação dinâmica de confiança. Siga os passos abaixo para projetar a topologia da rede em nuvem, coletar e anotar fluxos de dados e implantar os módulos hierárquicos de classificação multiclasse e avaliação de confiança. A Figura 1 ilustra o framework SDN-cloud proposto que integra ML adaptativo, classificação hierárquica e avaliação de confiança para detecção de ataques em tempo real.

1. Projeto de topologia de rede em nuvem

NOTA: Garanta acesso administrativo ao OpenStack, Ryu e Mininet antes de prosseguir.

1. Implante o sistema em uma plataforma de nuvem construída pelo OpenStack. Use a tecnologia de virtualização para criar múltiplos hosts virtuais e configure um ambiente de rede definida por software (SDN) para gerenciamento unificado de recursos e agendamento isolado.
2. Implante e configure Ryu e Open vSwitch (OVS) para trabalhar com controle de SDN e gerenciamento de tráfego.
3. Construa uma topologia de três camadas onde o controlador Ryu é o núcleo e os switches OVS são os nós de encaminhamento, consistindo em uma camada de controle, uma camada de encaminhamento de rede e uma camada de serviço de dados.
   1. Configuração da camada de controle: Implemente um controlador SDN centralizado com o Ryu. Permita o monitoramento de status da rede em tempo real usando a API REST do Ryu e conecte-o ao módulo de detecção de segurança para responder rapidamente ao tráfego anormal.
   2. Configuração da camada de encaminhamento de rede: Configure vários nós virtuais de comutação OVS com hosts virtuais e gateways externos. Defina políticas de tabela de fluxo no OVS para permitir mudanças dinâmicas de caminho, separação de tráfego e redirecionamento de fluxo quando o tráfego de ataque for detectado.
   3. Configuração da camada de serviço de dados: Configure vários hosts virtuais na plataforma OpenStack. Crie máquinas virtuais atuando como servidores web, de banco de dados e de arquivos para gerar tráfego de dados realista e suportar fluxos de ataque injetados.
4. Adicione vários valores de salto e caminhos diferentes. Simule condições heterogêneas de largura de banda e latência da rede usando o comando Mininet.
5. Instale o Mininet para implantar e simular a topologia. Isole locatários, segmentação de sub-redes e listas de controle de acesso (ACLs) usando a CLI Mininet.
6. Verifique a configuração para garantir que a topologia facilite a captura de tráfego em tempo real e tenha integração direta com o módulo de detecção.
7. Registre a arquitetura do sistema completa (Figura 2) e a topologia (Figura 3) com todas as interconexões entre as camadas e o fluxo de informações.

2. Estratégia de coleta e anotação de fluxo de dados

ATENÇÃO: Certifique-se de cumprir as regulamentações de privacidade de dados (por exemplo, GDPR, políticas locais de cibersegurança). Pré-anonimize identificadores de usuário e endereços IP.

1. Instale pequenos agentes de coleta de dados em cada host virtual e nó de rede. Configure cada agente para examinar constantemente o tráfego de rede, logs do sistema e informações comportamentais dos usuários.
2. Instale o Kafka (v3.5) como uma fila de dados e o streaming Apache Spark (v3.4) para processar os dados do fluxo em tempo real. Configure a taxa de transferência do Kafka para 10.000 eventos/s ou superior e o intervalo micro-batch do Spark para 500 ms ou menos.
3. Processe os dados coletados sequencialmente da seguinte forma:
   1. Limpe os dados para eliminar registros duplicados, registros incompletos e ruído. Filtre pacotes inválidos verificando cabeçalhos de protocolo.
   2. Normalize atributos numéricos para um intervalo padrão [0,1] usando normalização min-max para escalonamento consistente de características.
   3. Extrair características importantes, incluindo IPs de origem/destino, portas, tipo de protocolo, número de pacotes, número de bytes, atraso de encaminhamento e medidas de variação de tráfego.
4. Alimente o conjunto de dados processado no módulo de detecção assistida por IA para treinar e validar.
5. Estabeleça um sistema de anotação dupla para rotulagem precisa dos dados:
   1. Crie uma biblioteca de templates de ataque. Identifique padrões de ataque comuns (por exemplo, varredura de portas, flood SYN, DoS, U2R) com correspondência de padrões baseada em regras.
   2. Verifique manualmente as amostras ambíguas para manter a consistência na rotulagem.
6. Use conjuntos de dados de referência estabelecidos como CIC-IDS2017 e NSL-KDD para validação cruzada. Alinhe os rótulos para manter ≥90% de consistência entre anotadores.
7. Realize engenharia de características para construir vetores de entrada estruturados. Codificar hierarquias de ataque com base em definições de categorias multinível.
8. Divida os conjuntos de dados em 80% de treinamento e 20% de testes.

3. Classificação hierárquica e avaliação de confiança Arquitetura integrada

1. Construa uma arquitetura de percepção inteligente integrando a Classificação Multiclasse Hierárquica (HMC) e um mecanismo dinâmico de avaliação de confiança (Figura 4).
2. Implemente o módulo HMC seguindo uma estratégia "grosseira a fina":
   1. Use recursos leves de conexão (por exemplo, frequência, distribuição de porta, tipo de protocolo) para classificar o tráfego em categorias "normais" e "anormais".
   2. Para tráfego "anormal", realize a classificação de segundo nível em categorias de ataque como DDoS, U2R, R2L e Probe usando características estatísticas de nível intermediário, como intervalo de pacotes e tamanho da carga útil.
   3. Identifique subtipos específicos (por exemplo, TCP SYN Flood, SQL Injection, Brute Force Attack) analisando assinaturas de ataque e atributos de alvo.
3. Otimize o módulo de classificação.
   1. Aplique métodos de aprendizado em conjunto AdaBoost e Sagging Learning, construindo de 5 a 8 classificadores fracos em cada nível hierárquico (por exemplo, árvore de decisão, regressão logística).
   2. Combine os resultados dos classificadores usando votação majoritária ponderada baseada nas pontuações de precisão.
4. Implemente o módulo de avaliação dinâmica de confiança usando a teoria do modelo de nuvem:
   1. Mantenha um controle constante sobre indicadores comportamentais do hospedeiro, por exemplo, estabilidade passada, frequência de comunicação e variação nos alvos de acesso.
   2. Inclua a credibilidade da saída do modelo no cálculo da confiança. Estime a pontuação real de confiança (0 a 1) com a ajuda dos parâmetros de expectativa (Ex), entropia (En) e hiper-entropia (He).
5. Configure o mecanismo de retroalimentação de ligação entre HMC e módulos de confiança.
   1. Sistemas de agendamento automático baseados em valores de confiança: isolar hosts com ≤ de confiança 0,3 e reduzir privilégios dos hosts com confiança 0,3-0,6.
   2. Retreine o classificador com dados do host com ≥ de confiança 0,8 para aumentar a detecção e a flexibilidade diante de ataques desconhecidos.
6. Teste a capacidade de resposta zero-day. Injete tráfego malicioso não rotulado e confirme que alertas e isolamento são acionados em até 10 minutos.

4. Cálculo e implementação do modelo de nuvem de confiança (Figura 5)

1. Geração padrão de nuvem de confiança:
   1. Divida os valores de confiança em n níveis distintos (por exemplo, "Baixo", "Médio", "Alto", "Muito Baixo" e "Muito Alto").
   2. Calcule a expectativa (Ex_k) para o nível k com base na média das avaliações de trust para entidades nesse nível usando a Equação 1:
      
      onde T_ik representa os valores individuais de confiança de entidades classificadas sob o nível de confiança_{L k}.
   3. Calcule a entropia (En_k) para quantificar a fuzziness dos valores de confiança dentro do nível L_k usando a Equação 2:
      
      onde α é uma constante que controla o nível de nebulosidade.
   4. Calcule a Hiper-entropia (He_k) usando a Equação 3 para quantificar a instabilidade da entropia ao longo do tempo:
      
      onde β é um parâmetro que ajusta o nível de incerteza.
   5. Produza o conjunto de nuvens de confiança padrão C_{1,C 2},...,_{C n} correspondentes aos n níveis de confiança.
2. Geração inversa de nuvens de atributos de confiança:
   1. Normalize os atributos de confiança de entrada A_i ao intervalo [0,1] usando a Equação 4:
      
      Aplique a análise estatística para estimar os parâmetros correspondentes do modelo de nuvem (Ex, En, He) para cada atributo normalizado A_i'.
      Gerar o atributo de confiança Cloud C_i para cada atributo.
3. Avaliação abrangente do trust:
   1. Calcule as propriedades digitais da nuvem de confiança composta (Ex_com, En_com, He_com) usando síntese ponderada (Equações 5-7):
      
      
      
      onde
   2. Calcule a semelhança entre a nuvem de confiança atual C_i e uma nuvem padrão C_k usando a Equação 8:
      
      Determine o nível final de confiança L^* encontrando a maior similaridade usando a Equação 9:
      
4. Atualização dinâmica de confiança
   1. Atualize o valor de confiança para refletir a evolução ao longo do tempo usando o modelo de decaimento temporal na Equação 10:
      
      onde λ∈[0,1] controla a ponderação entre confiança recente e histórica.
   2. Aplique o mecanismo de penalidade do trust se ocorrerem desvios específicos. Calcule o desvio (ΔA) e o fator de penalidade_(penalidade P) usando as Equações 11 e 12:
      
      
   3. Calcule o valor de confiança atualizado usando a Equação 13:
      

5. Validação experimental do desempenho da detecção de ataques

1. Configure o ambiente experimental e prepare o conjunto de dados.
   1. Use uma estação de trabalho Windows 11 equipada com ferramentas Visual C++ para compilação e testes de algoritmos.
   2. Obtenha o conjunto de dados de KDDCUP_10% de fontes verificadas e pré-processe-o seguindo as diretrizes institucionais de proteção de dados.
   3. Defina parâmetros do algoritmo: intervalo de tempo T = 10s, rodadas de amostragem h = 20 e amostras de dados n = 1000.
   4. Divida os dados em conjuntos de treinamento (80%) e testes (20%) por meio de amostragem estratificada.
2. Valide o desempenho da classificação binária.
   1. Realizar validação cruzada de 5 vezes para confiabilidade.
   2. Treine e teste oito classificadores: Árvore de Decisão (DT), Naive Bayes (NB), Floresta Aleatória (RF), K-Vizinho Mais Próximo (KNN), Boosting Adaptativo (AdaBoost), Máquina Vetorial de Suporte (SVM), Ensacagem e Aumento de Gradiente.
   3. Execute 100 épocas por modelo e registre precisão, exatidão, recall e pontuação F1.
3. Valide o desempenho da classificação multiclasse.
   1. Classificadores de trens para detectar DDoS, U2R, R2L, Probe e tráfego normal.
   2. Implemente cinco arquiteturas DL (MLP, CNN, GRU, RNN e LSTM) usando parâmetros especificados na Tabela 1.
   3. Compare o desempenho usando curvas de recordação de precisão e matrizes de confusão para cada classe.
4. Valide o algoritmo HMC.
   1. Implemente HMC com AdaBoost e Sagging como estratégias de conjunto.
   2. Decompor problemas multiclasse em subclassificações binárias por meio de lógica hierárquica.
   3. Compare os resultados com modelos de referência para tipos de ataque minoritários (U2R, R2L).
5. Implemente simulação de ataque.
   1. Implante o modelo treinado de detecção de confiança no testbed na nuvem.
   2. Crie ataques UDP Flood e SYN Flood usando hosts multi-virtuais para mirar nos servidores designados.
   3. Mantenha o tráfego de ataque em torno de 30% do throughput da rede.
   4. Acompanhe estatísticas da rede (taxa de transmissão, duração da sessão, frequência de acesso à porta, conexões anormais).
   5. Meça erro de detecção, falsos positivos e tempo médio de resposta do sistema.

Results

Validação experimental e análise de desempenho

Validação baseada em nuvem

Para testar a eficiência e viabilidade do algoritmo proposto, testes de simulação foram realizados em um laboratório de rede controlado. A verificação foi realizada no sistema operacional Windows, e o algoritmo central é codificado em ferramentas de programação VC (Visual C++).

No caso de dados experimentais, escolhemos o conjunto de dados de KDDCUP_10% disponível publicamente, http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html que é comum na detecção de intrusão e na modelagem do comportamento da rede. O processo experimental geral é muito semelhante à abordagem descrita^{anteriormente 10} para garantir a comparabilidade e credibilidade dos resultados.

Os principais parâmetros do algoritmo foram definidos para: Intervalo de tempo T = 10 s; número de rodadas de amostragem h = 20; Amostras de dados n = 1000.

Calculou as características digitais do modelo de nuvem de confiança usando esses parâmetros. Em seguida, o algoritmo de similaridade de nuvem foi usado para identificar a nuvem de confiança mais semelhante dos candidatos, o que permitiu classificar e avaliar os estados da rede.

A Tabela 2 mostra os valores da amostra selecionada do sistema e os resultados da situação de análise de rede. Esses sistemas confirmam que o sistema de avaliação de confiança baseado em nuvem sugerido tem potencial para representar e encapsular de forma eficiente o dinamismo e as incertezas das configurações de rede multifacetadas.

O experimento confirma a possibilidade de implementar modelos em nuvem em conjunto com avaliação de confiança em tempo real e fornece uma estrutura para aplicações futuras no sistema adaptativo de gestão de segurança.

Verificação de ataque

Para realizar uma verificação completa do desempenho do algoritmo proposto neste experimento, é necessário avaliar as capacidades de detecção de ataques da classificação binária, multiclassificação e HMC dentro de um ambiente de computação em nuvem. A avaliação experimental é dividida em três fases principais: a aplicação de dados de ataques DDoS para verificar a funcionalidade do módulo de IA, a avaliação da funcionalidade de vários algoritmos de ML e a análise da funcionalidade dos modelos DL para prever ataques.

Verificação de desempenho em classificação binária

Na primeira fase do experimento, o conjunto de dados de ataques DDoS foi usado para verificar o módulo de IA, cujo principal objetivo era testar a precisão da previsão do modelo em um ambiente de computação em nuvem. Usamos um método de validação cruzada de 5 vezes, e a razão entre dados de treinamento e dados de teste foi definida para 8:2, ou seja, 80% dos dados foram utilizados para treinamento e 20% para testes. Em cada experimento, um conjunto de teste diferente foi usado para verificar o modelo e garantir que cada amostra aparecesse como um conjunto de teste uma vez. O processo de treinamento durou 5 épocas, e o resultado médio foi obtido.

O conjunto de dados é categorizado em dois grupos: normal e anormal. Para comparar o desempenho de diferentes classificadores, foram selecionados os seguintes oito classificadores comuns de ML: árvore de decisão (DT), floresta aleatória (RF), Naive Bayes (NB), K-vizinho mais próximo (KNN), máquina vetorial de suporte (kernel RBF) (SVM-RBF), máquina vetorial linear de suporte (L-SVM) e algoritmos de Ensacamento e Reforço para aprendizado em conjunto. Os resultados da comparação de desempenho são mostrados na Figura 6. Por meio da comparação de desempenho desses classificadores, seu desempenho na detecção de ataques DDoS pode ser avaliado de forma abrangente ^20,21.

Verificação de desempenho multi-classificação

Na segunda fase do experimento, o conjunto de dados foi expandido para problemas de multi-classificação, envolvendo diferentes tipos de ataques de rede, incluindo DDoS, U2R (ataque usuário-para-raiz), R2L (ataque remoto para local), dados normais, etc. Problemas de multiclassificação testam a capacidade do modelo de identificar e organizar múltiplos tipos de ataque.

Cinco classificadores DL foram usados para validação, incluindo MLP, CNN, RNN, rede de memória longa e curta duração (LSTM) e rede GRU. As configurações específicas de parâmetros de cada modelo são apresentadas nas Tabelas 1, 3 e 4. Ao realizar validação multi-classificação, a precisão e a recordação do modelo em múltiplas categorias foram avaliadas em detalhes.

Verificação do desempenho multi-classificação do HMC

No terceiro estágio, o algoritmo HMC foi usado para comparar o desempenho de todos os modelos ML e DL acima em tarefas de classificação multiclasse. O algoritmo HMC melhora significativamente a precisão na detecção de ataques de granulação fina (como U2R, R2L, etc.) ao decompor problemas complexos de multiclasse em múltiplos subproblemas de classificação binária. As vantagens do HMC foram verificadas ao melhorar a precisão da detecção de ataques em comparação com os métodos tradicionais de classificação.

Resultados experimentais e análise

Por meio dos experimentos nas três etapas acima, obtivemos os indicadores de desempenho de cada classificador e modelo DL sob diferentes tipos de ataque. A Tabela 3 mostra indicadores de desempenho como precisão, taxa de recall, valor F1, etc., em diferentes métodos de classificação. No experimento, o HMC demonstrou alta precisão e robustez na detecção de ataques multiclasse, especialmente ao lidar com ataques U2R e R2L. Comparado aos métodos tradicionais SVM e RF, o HMC obteve melhorias significativas.

Por meio desses resultados experimentais, verificamos a eficácia do módulo de IA proposto para detecção de ataques em um ambiente de computação em nuvem, e fornecemos uma base confiável para a otimização subsequente do modelo e implantação de aplicações.

Resultados experimentais indicam que, entre os modelos de ML, Árvore de Decisão (DT), Floresta Aleatória (RF) e métodos de conjunto (Embalagem, Reforço) alcançaram desempenho superior, com pontuações F1 chegando a 1,0. Isso valida sua robustez e precisão na distinção de padrões DDoS do tráfego normal. Em contraste, o modelo de Bayes ingênuo (NB) teve desempenho ruim na previsão anormal de pacotes, com um escore F1 de 0,62, indicando que o modelo apresenta certo risco de classificação incorreta ao enfrentar tipos de ataques complexos.

A Figura 7 mostra o desempenho de MLP, CNN, RNN, LSTM e GRU. Após otimizar os parâmetros, as pontuações binárias F1 dos modelos DL foram 0,93 e 0,98, respectivamente, indicando que os modelos DL capturam efetivamente as características de dados profundos, especialmente ao processar dados de séries temporais e reconhecimento complexo de padrões, e têm desempenho melhor do que os modelos tradicionais de ML.

Análises abrangentes mostram que árvores de decisão, métodos de aprendizado em conjunto e modelos de redes neurais apresentam excelente desempenho na detecção de ataques DDoS, mas em aplicações específicas, a seleção de um modelo adequado ainda precisa considerar fatores como tipo de ataque, volume de dados e recursos computacionais. Para aprimorar ainda mais a capacidade de detecção do modelo, múltiplos modelos podem ser integrados no futuro para alcançar maior precisão e menor taxa de alarmes falsos.

A Figura 8 demonstra o desempenho superior dos modelos DL em relação às linhas de base tradicionais de ML, mantendo valores F1 entre 0,96 e 0,99, especialmente em conjuntos de dados desbalanceados. O desempenho previsivo da classe U2R ainda é abaixo da média nas categorias detalhadas, e o desempenho da classificação de ciberataque é apenas 0,49. O desempenho de reconhecimento de algumas categorias amostrais (incluindo U2R, ciberataques, BFA e botnets) precisa ser melhorado, de acordo com os resultados combinados da Figura 9 e da Figura 10.

Na terceira etapa, 13 classificadores únicos, idênticos aos anteriores mas concentrados na classe minoritária, foram usados para comparar o desempenho do HMC. O design HMC baseado em AdaBoost supera o ensacamento, segundo os resultados. Na classe U2R, o HMC baseado em AdaBoost tem uma pontuação F1 de 0,5 (a classificação inicial F1 é 0), enquanto a HMC baseada em Baggings tem uma pontuação F1 de 0,67 (com 0,4 como F1 inicial) para a classe minoritária. O HMC baseado em AdaBoost obteve uma pontuação F1 de 0,88 (a F1 original era 0,71), enquanto a HMC baseada em Bolsa obteve uma pontuação F1 de 0,9 (a F1 original era 0) para a classe de ataque em rede. Esses resultados mostram que estratégias de aprendizado em conjunto (como AdaBoost e Bagging) melhoram significativamente a capacidade preditiva de múltiplos classificadores em classes minoritárias.

Caso de simulação de ataque

Para verificar ainda mais a praticidade e robustez do modelo proposto em um ambiente real de rede, este artigo projetou e implementou um caso de simulação de ataque e conduziu um experimento de simulação no cenário de ataque DDoS. O ambiente de simulação é construído sobre uma plataforma virtual de computação em nuvem, utilizando múltiplos hosts virtuais para simular a interação entre usuários normais e atacantes. O cenário de simulação inclui um ambiente de rede misto onde o acesso normal ao negócio e o tráfego malicioso coexistem.

No experimento, o atacante lançou ataques UDP flood e SYN Flood para o servidor alvo por meio de múltiplos IPs de origem, tentando esgotar os recursos do sistema alvo e afetar a disponibilidade dos serviços normais. O sistema está constantemente coletando informações de tráfego de rede, e parâmetros característicos principais relacionados à taxa de transmissão, duração das sessões, frequência de acesso à porta e contagem de conexões anormais são utilizados.

O modelo proposto de avaliação de confiança e detecção de ataques é implementado no nó de monitoramento para analisar e categorizar o tráfego em tempo real. O sistema pode registrar a identificação bem-sucedida nas fases iniciais do ataque por meio do modelo de nuvem de confiança e do mecanismo de discriminação multi-classificação, e marcar eficientemente os suspeitos como de baixa confiança e ativar um mecanismo de resposta.

Os resultados da simulação indicam que, quando o tráfego de ataque simulado constitui mais de 30% do tráfego total. O sistema proposto alcançou 96% de precisão em detecção, baixa taxa de falsos positivos de 3% e latência de resposta inferior a 2 s sob condições simuladas de DDoS. Esse resultado confirma que esse modelo apresenta oportunidades promissoras de aplicação no combate a ataques distribuídos e no aprimoramento das capacidades de defesa de segurança do sistema.

Além disso, esse experimento também estendeu o teste de ataques com múltiplas rodadas e ataques não contínuos. O modelo mantém alta estabilidade de detecção, o que indica sua boa capacidade de generalização em condições dinâmicas complexas de rede. Os tipos de ataques serão estendidos no futuro, incluindo injeção de dados, ataques de phishing, etc., para testar totalmente a flexibilidade e escalabilidade do modelo com uma variedade de ameaças.

A Tabela 5 representa a significância estatística das melhorias de desempenho. Esta tabela exibe os resultados dos t-tests pareados que comparam modelos de linha base com a proposta estrutura Adaptive ML-HMC-Trust em termos das principais métricas de desempenho. A tabela consiste nos valores de média e desvio padrão, valores t, valores p e níveis significativos de precisão, escore F1, detecção de classes minoritárias, taxa de falsos positivos e latência de detecção.

Figura 1: Representação do fluxo metodológica. Fluxograma ilustrando a proposta de framework SDN-cloud que integra ML adaptativo, classificação hierárquica e avaliação de confiança para detecção de ataques em tempo real. Por favor, clique aqui para ver uma versão maior desta figura.

Figura 2: Arquitetura de serviços em nuvem. A figura demonstra o modelo geral de serviço em nuvem aplicado na pesquisa, a camada de controle, a camada de encaminhamento de dados e a camada de serviço. A arquitetura consiste em controlador Ryu OpenFlow, nós Open vSwitch e hosts virtualizados em nuvem. As conexões são todas fluxos de dados em tempo real e interações entre status de link. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 3: Modelo de topologia de rede. A figura mostra a topologia de rede virtual de três camadas construída no ambiente de nuvem. Envolve os nós hospedeiros, camadas de comutação, atrasos simulados de link, bem como limites de largura de banda. A topologia permite separação de tráfego, roteamento multi-caminho e redirecionamento de fluxo de ataque (em tempo real). Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 4: Arquitetura de detecção de segurança baseada em HMC. A figura demonstra a hierarquia da classificação multiclasse, combinando aprendizado em conjunto, avaliação de confiança e detecção de ameaças em múltiplos níveis. Os blocos representam as fases de classificação, mostrando o fluxo da detecção de ataques grosso para a detecção de granulação fina. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 5: Processo de avaliação de confiança baseado em modelos de nuvem. A figura representa as seis etapas do processo de avaliação de confiança, incluindo a geração normal de nuvens de confiança, extração de atributos, formação de nuvens de atributos, cálculo de similaridade de nuvem, classificação em nível de confiança e atualização dinâmica de confiança. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 6: Desempenho de aprendizado de máquina em conjunto de dados DDoS. A figura examina como oito modelos clássicos de ML se comportam em uma disposição binária de tráfego de ataque normal versus DDoS. As métricas são recordação, precisão, pontuação F1 e precisão geral. Barras de erro refletem variabilidade por meio de validação cruzada de 5 pedaços. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 7: Desempenho do modelo de deep learning em conjunto de dados DDoS. A figura mostra o desempenho de classificação binária dos modelos MLP, CNN, RNN, LSTM e GRU. Medições indicam desempenho do modelo em uma série de ciclos de treinamento. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 8: HMC vs. desempenho de classificador de aprendizado de máquina único. A figura mostra uma comparação entre a multiclassificação hierárquica e o classificador tradicional de ataques de minorias como U2R e R2L. São apresentadas pontuações F1, incluindo barras de erro que indicam variação entre experimentos repetidos. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 9: HMC vs. desempenho de classificador de deep learning. O valor indica o aprimoramento da detecção multiclasse usando HMC em modelos DL. O desempenho das minorias é destacado e é significativamente melhorado em comparação com modelos DL únicos. Por favor, clique aqui para ver uma versão ampliada desta figura.

Figura 10: Resultados da simulação de ataque DDoS. A figura mostra a saída de monitoramento em tempo real do experimento na simulação de ataque, que indica a taxa de tráfego, o número de conexões anormais, o tempo de resposta do método de detecção e a saída da classificação do sistema. As barras de escala indicam o tempo (em segundos) e o volume de tráfego. Por favor, clique aqui para ver uma versão ampliada desta figura.

Modelo	Taxa de Aprendizado	Tamanho do lote	Épocas	Função de Ativação
MLP	0.001	64	30	ReLU
CNN	0.0005	32	50	LeakyReLU
RNN	0.001	64	40	Tanh
LSTM	0.0001	128	60	Sigmoide
GRU	0.001	64	45	ReLU

Tabela 1: Configurações de parâmetros do modelo de deep learning. Esta tabela contém os hiperparâmetros dos experimentos de aprendizado profundo: o tamanho do lote, a taxa de aprendizado, o número de épocas e as especificações da arquitetura.

ID de Exemplo	Tempo de Amostragem (segundos)	Grau de Trust ExExEx	Entropy EnEnEn	Hiper-Entropia HeHeHe	Pontuação de Similaridade	Nível de Confiança
1	10	0.75	0.65	0.8	0.85	Alto
2	20	0.8	0.6	0.75	0.82	Alto
3	30	0.68	0.7	0.85	0.8	Médio
4	40	0.6	0.72	0.9	0.78	Médio
5	50	0.5	0.8	0.95	0.7	Baixo
6	60	0.45	0.85	0.96	0.65	Baixo

Tabela 2: Valores de amostra do sistema e análise da situação da rede. Esta tabela apresenta alguns dos valores amostrais do ambiente em nuvem, como estatísticas de tráfego, valores de confiança e resultados de classificação.

Classificador	Precisão	Precisão	Recall	Placar da F1
Árvore de Decisão (DT)	85.20%	84.30%	86.10%	85.20%
Floresta Aleatória (RF)	90.10%	89.30%	91.00%	90.10%
Naive Bayes (NB)	82.50%	81.70%	83.40%	82.50%
K-Vizinhos Mais Próximos (KNN)	87.40%	86.80%	88.10%	87.40%
SVM-RBF	88.90%	88.10%	89.50%	88.80%
SVM Linear (L-SVM)	87.80%	87.20%	88.50%	87.80%
Sacagem	91.20%	90.50%	91.70%	91.10%
Reforço	92.30%	91.90%	92.60%	92.20%

Tabela 3: Comparação de desempenho de classificadores de aprendizado de máquina. A tabela apresenta a recordação, precisão, precisão e pontuações F1 para todos os modelos de ML testados.

Modelo	Precisão	Precisão	Recall	Placar da F1
MLP	89.50%	88.70%	90.30%	89.50%
CNN	91.20%	90.70%	91.50%	91.10%
RNN	88.30%	87.60%	88.80%	88.20%
LSTM	92.10%	91.80%	92.40%	92.10%
GRU	91.80%	91.40%	92.10%	91.70%

Tabela 4: Comparação de desempenho de classificadores de deep learning. Esta tabela apresenta métricas de desempenho dos modelos MLP, CNN, RNN, LSTM e GRU com base na detecção multiclasse.

Métrica de Desempenho	Média Inicial (DS)	Média Modelo Proposta (SD)	valor t	valor-p	Significado
Precisão	0.89 (0.04)	0.96 (0.02)	8.72	<0,001	Significativo
F1-Score	0.84 (0.05)	0.94 (0.03)	9.15	<0,001	Significativo
Detecção de Classe Minoritária (U2R/R2L)	0.52 (0.08)	0.81 (0.06)	10.44	<0,001	Significativo
Taxa de Falsos Positivos	0.11 (0.03)	0.04 (0.02)	–7.98	<0,001	Significativo
Latência de Detecção (segundos)	3.10 (0.41)	1.82 (0.33)	–9.27	<0,001	Significativo

Tabela 5: Significância estatística das melhorias de desempenho. Esta tabela exibe os resultados dos testes t pareados que comparam modelos de linha de base com a proposta de framework Adaptive ML -HMC-Trust em termos das principais métricas de desempenho. A tabela consiste nos valores de média e desvio padrão, valores t, valores p e níveis significativos de precisão, escore F1, detecção de classes minoritárias, taxa de falsos positivos e latência de detecção.

Discussion

Uma implantação eficaz desse protocolo depende de etapas críticas dentro da arquitetura baseada em nuvem. A configuração adequada do controlador Ryu OpenFlow, a configuração correta das regras Open vSwitch e a formação robusta de uma topologia multicamada são essenciais para garantir a captura completa do tráfego. A escolha do Ryu como controlador e do Open vSwitch como plataforma de comutação fortalece significativamente o valor prático do sistema; Suas características leves, modulares e totalmente programáveis os tornam ideais para monitoramento de rede em tempo real, controle dinâmico de fluxo e gestão escalável de segurança em infraestruturas de nuvem. Da mesma forma, o pipeline de pré-processamento — incluindo limpeza, normalização e anotação — deve ser executado com precisão para evitar viés durante a classificação hierárquica, abordando as complexidades inerentes à análise de segurança em nuvem.

Durante a implantação, vários ajustes foram necessários para garantir o desempenho ideal. Modelos de conjunto inicialmente apresentaram sobreajuste em classes minoritárias, exigindo ajuste da profundidade do aprendiz fraco e dos pesos de votação, refletindo desafios encontrados na detecção de anomalias. Para mitigar a volatilidade do valor de confiança causada pelo tráfego ruidoso, os parâmetros de entropia e decaimento do modelo de nuvem foram recalibrados. Além disso, os gargalos de streaming nos pipelines Kafka-Spark foram resolvidos ampliando o particionamento de tópicos para suportar ambientes de nuvem de alta produtividade.

Os resultados experimentais das simulações no Mininet e EstiNet, bem como avaliações usando tráfego real na nuvem e conjuntos de dados DDoS, demonstram que a abordagem proposta de fusão ML-HMC-trust oferece melhorias claras na precisão da detecção, redução de falsos positivos e resposta em tempo real. Isso confirma a eficácia de alinhar algoritmos de aprendizagem adaptativa com um modelo de classificação hierárquica para decompor tarefas complexas de detecção de ataques multiclasse. Essa abordagem oferece vantagens significativas em relação aos frameworks convencionais não reativos e baseados em regras, que enfrentam dificuldades com técnicas de ataque dinâmico e ameaças de categoria minoritária. Especificamente, ao combinar HMC com AdaBoost e Bagging, o protocolo alcança maior precisão na detecção detalhada de classes raras de ataque como U2R e R2L, abordando as limitações de desequilíbrio de classes dos modelos de ML único. Além disso, o modelo dinâmico de confiança aprimora a capacidade de tomada de decisão em situações incertas.

Apesar desses avanços, o protocolo está sujeito a certas limitações relatadas em trabalhos relacionados. Técnicas de aprendizado de máquina continuam desafiadas por desequilíbrio extremo de dados, especialmente em ataques U2R e^{R2L 8}. Modelos de deep learning, embora poderosos, exigem recursos computacionais substanciais e podem apresentar latência em cenários de nuvem^{em tempo real 12,13}. A aprendizagem em conjunto potencializa a generalização, mas aumenta o consumo de recursos e o tempo de^{inferência 14}. De forma semelhante, sistemas de confiança com modelos em nuvem demonstraram vulnerabilidade a entradas comportamentais ruidosas ou dinamicamente evolutivas, consistente com achados^{anteriores 16}. O método proposto apresenta um design modular adequado para ambientes de nuvem e edge maiores, permitindo integração com aprendizado federado, computação em névoa e sistemas distribuídos de IoT em nuvem. Embora o estudo atual tenha focado na validação funcional em cenários de escala moderada, pesquisas futuras se estenderão a ambientes de nuvem altamente distribuídos e em grande escala e arquiteturas SDN multi-controlador para aumentar a tolerância a falhas. As extensões planejadas também incluem a investigação da adaptação de confiança baseada em aprendizado por reforço, capacidades zero-day e integração mais profunda com feeds de inteligência de ameaças para combater ameaças emergentes como phishing e botnets. Ao unificar ML adaptativo, HMC e avaliação de confiança dentro de um ecossistema SDN, essa pesquisa oferece um caminho estratégico para sistemas de defesa em nuvem mais inteligentes, resilientes e proativos.

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AdaBoost (Biblioteca de Aprendizagem em Conjunto)	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.AdaBoostClassifier.html	Software
Classificador de Embalagem	Scikit-learn, Python	https://scikit-learn.org/stable/modules/generated/sklearn.ensemble.BaggingClassifier.html	Software
Código de Avaliação de Confiança de Modelos em Nuvem	Implementação personalizada	N/A	Algoritmo/Software
Rede Neural Convolucional (CNN)	TensorFlow / PyTorch	https://www.tensorflow.org/tutorials/images/cnn	Software
Deep Learning Frameworks (MLP, RNN, LSTM, GRU)	TensorFlow / PyTorch		Software
Simulador de Rede EstiNet	EstiNet Technologies	https://sites.google.com/view/estinet-network-simulator	Software
Kafka (Plataforma de Streaming de Dados)	Fundação Apache	https://kafka.apache.org/	Software
Conjunto de dados KDD CUP 10%	Repositório de Aprendizado de Máquina UCI	http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html	Conjunto de dados
Emulador Mininet	Projeto Mininet	Mininet 2.3.1	Emulação de rede para topologia SDN, largura de banda e simulação de ataques mistos.
Open vSwitch (OVS)	Open vSwitch Org	OVS 3.2.2	Switch virtual implementando controle por tabela de fluxo e redirecionamento de tráfego de ataque.
Plataforma OpenStack Cloud	Fundação de Infraestrutura Aberta	https://www.openstack.org/	Software em Nuvem
Python 3.x	Fundação de Software Python	https://www.python.org/downloads/	Linguagem de Programação
Controlador SDN Ryu	NTT R& D	Ryu 4.34	Controlador SDN para captura de tráfego de rede em tempo real e consciência situacional.
Spark Streaming Framework	Fundação Apache	https://spark.apache.org/docs/latest/streaming-programming-guide.html	Software
Compilador Visual C++ (VC++)	Microsoft	https://visualstudio.microsoft.com/	Software
Estação de Trabalho Windows 11	Microsoft	Windows 11 Pro 23H2	SO usado para compilação de modelos, treinamento e testes.