Random Forest e Suricata: separar sinal de ruído em alertas de intrusão

Resumo

O aumento do volume e da complexidade dos ataques cibernéticos torna necessária a adoção de mecanismos que auxiliem o monitoramento e a análise de eventos de segurança em redes de computadores. Sistemas de Detecção de Intrusões podem identificar atividades suspeitas, porém a grande quantidade de alertas gerados pode dificultar a análise manual e aumentar a ocorrência de falsos positivos. Neste contexto, este trabalho propõe um Sistema de Detecção de Intrusões com Aprendizado de Máquina, integrando o Suricata, o algoritmo Random Forest e uma interface gráfica para apoio à análise de alertas. A proposta prevê o monitoramento de logs do Suricata, o processamento dos eventos por um modelo de classificação, a apresentação do veredito e do nível de confiança para cada alerta, além do armazenamento de histórico, filtros, dashboard e recursos de configuração. Para os experimentos iniciais, foi utilizada uma versão em formato CSV do dataset CSE-CIC-IDS2018, contendo fluxos de rede rotulados. Os dados foram submetidos a etapas de limpeza, conversão de atributos, definição da variável alvo e divisão entre conjuntos de treinamento e teste. O modelo Random Forest foi selecionado por sua robustez, capacidade de lidar com múltiplos atributos e possibilidade de analisar a importância das features. Como resultados preliminares, foram definidos os requisitos da solução, elaborada a arquitetura lógica do sistema, realizado o treinamento inicial do modelo e desenvolvidos protótipos de interface no Figma. Espera-se que a continuidade do projeto permita integrar os componentes em uma aplicação funcional, contribuindo para tornar a análise de alertas mais organizada, acessível e eficiente.