Aplicação de Ferramentas de Machine Learning para a Detecção de Ataques Cibernéticos

Bruno Holzwarth Nunes de Carvalho; Adriano de Freitas Fernandes

DOI: 10.22167/2675-6528-202602736

Artigo derivado de Trabalho de Conclusão de Curso (TCC), com conteúdo baseado no trabalho original do aluno e adaptado ao formato editorial da Revista E&S com apoio da ferramenta ResumeAI, solução de inteligência artificial desenvolvida pelo Instituto Pecege para síntese e organização textual.

Resumo

A evolução tecnológica e a popularização da internet intensificaram a importância estratégica dos dados, mas também resultaram em ataques cibernéticos mais sofisticados e onerosos. Nesse contexto, o monitoramento de padrões comportamentais e de origem tornou-se essencial para a resiliência contra táticas de evasão. O trabalho objetivou obter alta acurácia na detecção de intrusões por meio de modelos de aprendizado de máquina baseados em eventos de hábitos de usuários em sites. Utilizou-se um conjunto de dados com 9.357 registros de logs, que passou por limpeza, tratamento de dados nulos, normalização e codificação de variáveis categóricas. Realizaram-se diagnósticos estatísticos, como o Coeficiente de Correlação de Pearson e o Teste t de Student, para a seleção de atributos. Em seguida, treinaram-se algoritmos de Regressão Logística, Árvore de Decisão e Gradient Boosting, com otimização de hiperparâmetros via Grid Search. O Gradient Boosting consolidou-se como o modelo de melhor desempenho, alcançando acurácia de 0,887 e ROC-AUC de 0,878. O classificador identificou corretamente 640 instâncias de ataque no conjunto de teste, demonstrando equilíbrio ideal entre precisão e sensibilidade. Concluiu-se que a integração de sinais comportamentais com algoritmos de ensemble é uma estratégia eficaz para a detecção de anomalias em ambientes virtuais. O modelo demonstrou alta capacidade de generalização e estabilidade, validando sua aplicabilidade para monitoramento de segurança em tempo real.

Palavras-chave: Aprendizado de Máquina; Cibersegurança; Comportamento do Usuário; Detecção de Intrusão; Gradient Boosting.

1. Introdução

A década de 1990 marcou um período de transformação global com o advento da World Wide Web, um projeto concebido por Tim Berners-Lee no CERN, em Genebra, Suíça (Miranda, 2024). Essa inovação impulsionou a unificação do mundo em termos de compartilhamento de informação e conhecimento, dissolvendo barreiras geográficas e popularizando a internet. E-mails, salas de bate-papo e redes sociais emergiram como novos espaços de interação virtual (Lins, 2013). Com a quarta evolução industrial, caracterizada por elementos como computação em nuvem, internet das coisas (IoT) e inteligência artificial (Mendonça et al., 2018), o mercado de dados consolidou-se como um ativo estratégico, muitas vezes referido como o “novo petróleo”, exigindo que as organizações se orientem por dados para otimizar seu desempenho.

Contudo, a crescente dependência de dados e a expansão do ambiente digital não estão isentas de vulnerabilidades. Ataques cibernéticos, perpetrados por indivíduos mal-intencionados conhecidos como hackers, representam uma ameaça constante, capazes de interferir, alterar, roubar informações sensíveis e até mesmo paralisar operações de negócios. A complexidade e o custo desses ataques são significativos; o Relatório do custo das violações de dados 2025, da IBM, aponta que 45% das violações de dados no início dos anos 2000 eram causadas por dispositivos perdidos ou roubados (IBM, 2025).

Com a evolução da inteligência artificial, os ataques cibernéticos tornaram-se ainda mais sofisticados e difíceis de detectar. Um exemplo é o Data Poisoning, onde dados nocivos são injetados em bases de treinamento de ferramentas de IA, resultando em informações sigilosas comprometidas. O custo médio global para mitigar esses ataques é de US$ 4,44 milhões por violação, o que ressalta a urgência de desenvolver práticas eficazes para combater essas novas abordagens de infração de segurança, incluindo a integração de segurança e governança de IA nas empresas (IBM, 2025).

Nesse contexto, a detecção de ameaças não pode se restringir à análise de assinaturas de ataques já conhecidos. É imperativo o monitoramento contínuo de padrões comportamentais e de origem (Alsheri, 2023). Variáveis como a reputação do endereço de IP são cruciais para identificar conexões de fontes associadas a botnets ou spam (Shewale e Deshpande, 2021). Da mesma forma, o monitoramento de acessos em horários incomuns serve como um alerta para tentativas de intrusão que exploram períodos de menor vigilância (Sperotto, 2010). A integração desses indicadores aprimora a resiliência dos sistemas de segurança, e as ferramentas de Machine Learning emergem como soluções eficazes para identificar comportamentos maliciosos (Souza e Arima, 2024).

A necessidade de monitorar padrões comportamentais e de origem é fundamental para a resiliência contra táticas furtivas de evasão, justificando a relevância desta pesquisa. O objetivo geral deste trabalho é desenvolver e validar modelos de Machine Learning de alta performance para a detecção assertiva de ataques cibernéticos, fundamentando-se na análise de padrões comportamentais e hábitos digitais de usuários em sites para garantir uma robusta capacidade discriminatória entre o tráfego legítimo e as tentativas de intrusão.

2. Material e Métodos

A pesquisa caracterizou-se como um estudo de natureza quantitativa e abordagem aplicada, focado no desenvolvimento e validação de modelos de Machine Learning para a detecção de ataques cibernéticos. O objeto empírico consistiu em uma base de dados secundária, obtida por meio da plataforma Kaggle, contendo logs de comportamento de usuários em ambientes virtuais. Este conjunto de dados totalizou 9.357 registros e 11 variáveis originais, abrangendo informações comportamentais dos usuários e estatísticas de tráfego de internet.

As variáveis técnicas incluíram o tamanho do pacote de rede, o tipo de protocolo de comunicação (TCP, UDP e ICMP), o método de criptografia utilizado (AES, DES e nenhuma) e o tipo de navegador. No âmbito do comportamento do usuário e segurança, foram monitoradas as tentativas de login, o número de falhas de autenticação, a duração total da sessão, o score da reputação do endereço de IP e a ocorrência de acessos em horários atípicos. A variável alvo para o aprendizado de máquina supervisionado foi a detecção de ataques, uma classificação binária onde 0 indicou ausência e 1 indicou presença de ataque.

Após o carregamento, os dados foram submetidos a um processo de limpeza e diagnóstico de qualidade. Identificou-se a presença de 1.966 registros nulos na variável encryption_used (20,61% da amostra). Para tratamento, aplicou-se o método one-hot encoding, que converteu as categorias em variáveis binárias, tratando os valores nulos como ausência de padrões de segurança e preservando o volume de dados. Outliers em seis colunas numéricas, como acesso em horário incomum (14,99%) e falhas de login (3,39%), foram mantidos como sinais potenciais de ameaça, não sendo tratados como erros de coleta.

Para viabilizar o processamento computacional, o método StandardScaler foi utilizado para normalizar os dados, ajustando a escala das variáveis para uma média de zero e variância unitária. O conjunto de dados foi então dividido em três subconjuntos para validação robusta: 64% para treino, 16% para validação e 20% para teste, mantendo a proporção da variável alvo em todas as etapas. Para a seleção de atributos, foram realizados procedimentos estatísticos de diagnóstico, incluindo o Coeficiente de Correlação de Pearson e o Teste t de Student.

O Coeficiente de Correlação de Pearson avaliou a relação linear entre atributos numéricos e a variável alvo, revelando que falhas de login, tentativas de login e score de reputação de IP apresentaram correlações relevantes. O Teste t de Student confirmou que falhas de login e score de IP possuíam distinções estatísticas claras (p-valor < 0,05) entre grupos de tráfego legítimo e malicioso. Para as variáveis categóricas, utilizou-se o Teste Qui-Quadrado de Independência, que validou a dependência estatisticamente significante do tipo de navegador com a variável alvo (p-valor de 1,5983e-36). A seleção final de atributos priorizou indicadores que combinam intenção e contexto.

No desenvolvimento dos modelos de Machine Learning, implementaram-se os algoritmos de Regressão Logística, Árvore de Decisão e Gradient Boosting. Os scripts foram desenvolvidos em Python, com assistência da inteligência artificial generativa Claude (Anthropic) para codificação e sugestão de parâmetros. O conjunto de treinamento, composto por 6.103 registros, foi utilizado para gerar os pesos internos dos algoritmos. A otimização de hiperparâmetros foi realizada via Grid Search com validação cruzada (5-fold), testando 96 combinações distintas. Para o modelo de Gradient Boosting, os parâmetros otimizados incluíram uma taxa de aprendizado de 0,05, profundidade máxima de 6, número de estimadores de 100 e um mínimo de amostras para divisão de 15. O F1-Score foi o principal critério de otimização.

Para avaliar a eficácia dos modelos, empregaram-se métricas de desempenho como acurácia, precisão, sensibilidade, F1-Score e a área sob a curva ROC-AUC. A validação cruzada (5-fold) garantiu a capacidade de generalização dos modelos em diferentes partições dos dados. Matrizes de confusão foram geradas para quantificar falsos positivos e falsos negativos, e a curva ROC foi utilizada para visualizar o desempenho dos classificadores em diferentes limiares de decisão, consolidando a escolha do modelo com melhor equilíbrio preditivo.

3. Resultados e Discussão

A presente seção detalha os resultados obtidos na pesquisa e os discute à luz do objetivo de desenvolver modelos de aprendizado de máquina de alta performance para a detecção de ataques cibernéticos, com base em padrões comportamentais e hábitos digitais de usuários. Os achados revelam a eficácia de abordagens de Machine Learning, especialmente algoritmos de ensemble, na identificação de anomalias em ambientes virtuais. A análise abrange desde a caracterização da base de dados até o desempenho comparativo dos modelos, passando pela seleção de atributos e a interpretação das métricas de avaliação, consolidando a capacidade discriminatória entre tráfego legítimo e intrusões.

Análise Descritiva da Base de Dados

A base de dados utilizada para o estudo compreendeu 9.537 registros de logs de comportamento de usuários em ambientes virtuais, fornecendo um volume substancial para a análise de segurança. A variável alvo, `attack_detected`, que indica a presença ou ausência de ataque, apresentou uma distribuição de 5.273 registros (55,29%) classificados como acessos legítimos e 4.264 registros (44,71%) identificados como ataques cibernéticos. Essa proporção, aproximadamente 1.2:1 entre tráfego normal e ataque, é considerada estatisticamente equilibrada para o treinamento de modelos de aprendizado de máquina supervisionado.

Em cenários reais de monitoramento de rede, é comum observar um desbalanceamento severo, onde os ataques representam uma fração mínima do tráfego total, frequentemente menos de 1%. A distribuição equilibrada encontrada neste estudo, com uma presença significativa de 44,71% de registros de ataque, permitiu que os algoritmos de classificação, como o Gradient Boosting, aprendessem as características de ambas as classes de forma robusta. Essa característica evitou a necessidade de aplicar técnicas artificiais de amostragem, como sobreamostragem ou subamostragem, para balancear as classes durante o treinamento dos modelos, simplificando o processo e garantindo a representatividade dos dados originais.

A análise das razões de intrusão dentro do grupo de ataques revelou uma predominância do protocolo TCP, que foi o mais frequente, correspondendo a 2.963 registros (69,49%). Em seguida, o protocolo UDP foi responsável por 1.092 registros (25,61%) e o ICMP por 209 registros (4,90%). Essa distribuição percentual dos ataques cibernéticos por tipo de protocolo de comunicação destaca o TCP como o principal vetor de atividades maliciosas no conjunto de dados. A prevalência do TCP em atividades maliciosas reforça a necessidade de mecanismos de defesa focados em vulnerabilidades de conexão e sessões de longa duração, que são características desse protocolo.

Diagnóstico de Qualidade e Tratamento de Dados

O processo de diagnóstico e limpeza dos dados foi crucial para garantir a qualidade e a integridade do conjunto. A análise inicial identificou a presença de 1.966 registros nulos na variável `encryption_used`, o que corresponde a 20,61% da amostra total. No contexto da cibersegurança, a ausência de informações sobre criptografia pode ser um indicador relevante, sugerindo tráfego não cifrado intencionalmente ou logs de sistemas legados. Para tratar esses valores nulos e evitar vieses no treinamento, aplicou-se a técnica de One-Hot Encoding, convertendo as categorias (AES e DES) em variáveis binárias e tratando os nulos como a ausência de ambos os padrões de segurança, preservando o volume de dados.

A detecção de anomalias estatísticas revelou a presença de outliers em seis variáveis numéricas do dataset. A variável `unusual_time_access` (acesso em horário incomum) foi a mais impactada, com 1.430 casos atípicos, representando 14,99% dos dados. Outras variáveis com índices significativos de outliers incluíram a `session_duration` (4,38%) e `failed_logins` (3,39%). Em um cenário de detecção de intrusão, esses valores extremos não foram considerados erros de coleta, mas sim sinais ativos de ameaça. Por exemplo, sessões com duração extrema, atingindo até 7.190 segundos, ou picos de falhas de autenticação são comportamentos típicos de ataques de força bruta ou exfiltração de dados, justificando a manutenção desses dados para que os modelos pudessem aprender os limites do tráfego malicioso.

Para viabilizar o processamento computacional e garantir que a disparidade entre as escalas numéricas das variáveis não gerasse viés, utilizou-se o método One-Hot Encoding para transformar variáveis categóricas como `protocol_type`, `encryption_used` e `browser_type` em variáveis métricas. Esse procedimento expandiu o conjunto de dados de 11 para 18 colunas, permitindo uma análise mais detalhada. Adicionalmente, o método StandardScaler foi aplicado para normalização dos dados, ajustando a escala das variáveis para média zero e variância unitária. Essa padronização foi importante para o pipeline, mesmo que modelos baseados em árvores não sejam tão sensíveis à escala, assegurando que variáveis de menor magnitude, mas alta significância estatística, tivessem o mesmo peso preditivo que atributos com valores brutos elevados.

Por fim, para assegurar uma validação robusta dos resultados, o conjunto de dados foi dividido em três subconjuntos: treino (64%), validação (16%) e teste (20%). Essa divisão foi realizada de forma a garantir que a proporção da variável alvo fosse mantida em todas as etapas da experimentação. A manutenção da proporção da variável alvo em cada subconjunto é fundamental para evitar que o modelo seja treinado com um viés de classe, o que poderia comprometer sua capacidade de generalização e sua performance em dados não vistos.

Resultados dos Procedimentos Estatísticos e Seleção de Atributos

A aplicação de procedimentos de estatística inferencial e diagnóstica foi fundamental para validar cientificamente as variáveis com maior poder discriminatório na detecção de anomalias. O Coeficiente de Correlação de Pearson revelou que as variáveis comportamentais apresentaram as associações mais fortes com a ocorrência de ataques (`attack_detected`). Destacaram-se o número de falhas de login (`failed_logins`), com um coeficiente de 0,3637, e as tentativas de login (`login_attempts`), com 0,2773. Esses resultados corroboram a premissa de que o comportamento de autenticação é um dos sinais mais claros de tentativas de invasão, como ataques de força bruta ou credential stuffing, fornecendo uma base sólida para a inclusão dessas variáveis nos modelos preditivos.

O Teste t de Student para amostras independentes confirmou a significância estatística das variáveis numéricas. As falhas de login apresentaram a maior significância estatística, com um p-valor de 3,44e-296, seguidas pelas tentativas de acesso (p-valor de 5,98e-168) e pelo score de reputação do IP (p-valor de 6,24e-97). A média de falhas de login para acessos com ataque foi de 1.9360, comparada a 1.1796 para acessos sem ataque. Para tentativas de login, a média com ataque foi 4.6374, contra 3.5426 sem ataque. A reputação do IP com ataque teve média de 0.3730, enquanto sem ataque foi 0.2976. Esses resultados demonstram diferenças claras e estatisticamente significativas entre os grupos de tráfego legítimo e malicioso, validando a inclusão desses indicadores nos modelos.

A relevância estatística da reputação do IP indica que o histórico da origem da conexão é um preditor robusto, permitindo ao modelo identificar antecipadamente tráfego proveniente de infraestruturas maliciosas conhecidas. Em contraste, variáveis técnicas como o tamanho do pacote de rede (`network_packet_size`) e acessos em horários incomuns (`unusual_time_access`) não apresentaram diferenças de média estatisticamente significantes nesta amostra específica, com p-valores de 0,506 e 0,398, respectivamente. A média do tamanho do pacote de rede foi de 498.9311 com ataque e 501.6433 sem ataque. Para acesso em horário incomum, a média com ataque foi 0.1534 e sem ataque 0.1472. Esses resultados sugerem que, isoladamente, esses fatores podem não ser suficientes para a classificação de ataques, embora possam contribuir em conjunto com outros atributos.

Em relação às variáveis categóricas, o Teste Qui-Quadrado de Independência validou que o tipo de navegador (`browser_type`) possuía uma dependência estatisticamente significante com a variável alvo, com um p-valor de 1,5983e-36. Por outro lado, as variáveis de protocolo de comunicação (`protocol_type`) e criptografia (`encryption_used`), quando analisadas de forma isolada, não atingiram o limiar de significância de 0,05 na amostra estudada, com p-valores de 2,2985e-01 e 1,6237e-01, respectivamente. Essa síntese estatística fundamentou a seleção final de atributos, priorizando indicadores que combinam intenção (falhas de login) e contexto (reputação de IP e tipo de navegador), garantindo que os modelos se concentrassem nos sinais de ameaça com maior validade científica e poder discriminatório.

Desempenho Comparativo dos Modelos

A avaliação experimental comparou a eficácia dos algoritmos de Regressão Logística, Árvore de Decisão e Gradient Boosting na tarefa de classificação de intrusões, evidenciando disparidades significativas de desempenho. O modelo de Regressão Logística, estabelecido como baseline estatístico, apresentou o desempenho mais modesto no conjunto de teste, com uma acurácia de 0,716 e um F1-Score de 0,717. A análise de resíduos desse modelo revelou distribuições não aleatórias, comprovando estatisticamente a insuficiência de uma fronteira de decisão linear para capturar a complexidade das ameaças cibernéticas modernas. Sua área sob a curva ROC (AUC) foi de 0,7869, indicando uma capacidade discriminatória moderada.

A matriz de confusão do modelo de Regressão Logística no conjunto de teste revelou que 768 acessos legítimos foram corretamente classificados (verdadeiros negativos), enquanto 287 acessos legítimos foram erroneamente classificados como ataques (falsos positivos). Em relação aos ataques, 599 instâncias foram corretamente identificadas (verdadeiros positivos), mas 254 ataques foram classificados incorretamente como legítimos (falsos negativos). A acurácia do modelo de Regressão Logística nos conjuntos de treino, validação e teste foi de 0,7323, 0,7392 e 0,7165, respectivamente, indicando uma consistência razoável, mas com desempenho inferior aos modelos mais complexos.

Por outro lado, a Árvore de Decisão demonstrou uma evolução substancial na capacidade preditiva, atingindo uma acurácia de 0,8816 no conjunto de teste. Esse salto qualitativo indica que a estrutura de decisões hierárquicas do algoritmo é mais apta a mapear as regras condicionais que separam acessos legítimos de atividades maliciosas. A acurácia da Árvore de Decisão nos conjuntos de treino e teste foi de 0,8987 e 0,8816, respectivamente, evidenciando um bom desempenho e capacidade de generalização. Essa melhoria se deve à capacidade das árvores de decisão de capturar interações não lineares entre as variáveis, o que é crucial em cenários de cibersegurança.

O algoritmo Gradient Boosting (GB) consolidou-se como a solução de maior performance, alcançando uma acurácia de 0,887 no conjunto de teste e superando os demais modelos em todas as métricas de avaliação. A superioridade do Gradient Boosting é atribuída à sua natureza de Ensemble Learning, que combina múltiplas árvores de decisão fracas para formar um classificador robusto. Essa abordagem é capaz de mapear interações não lineares complexas entre as variáveis, como a correlação entre falhas de login e reputação de IP, que são difíceis de serem capturadas por modelos lineares. Enquanto modelos lineares falham em zonas de incerteza onde o tráfego legítimo e as intrusões se sobrepõem, o GB demonstrou eficácia superior na captura dessas nuances comportamentais, garantindo uma detecção mais resiliente contra ataques furtivos.

Análise de Métricas, Matriz de Confusão e AUC-ROC

A análise detalhada das métricas de desempenho para o modelo final de Gradient Boosting revelou um equilíbrio estatístico ideal para operações de cibersegurança. O modelo alcançou um ROC-AUC de 0,878 no conjunto de teste, o que indica uma alta capacidade discriminatória entre o tráfego legítimo e as tentativas de intrusão. No contexto de detecção de ameaças, essa métrica comprova que o algoritmo mantém uma performance elevada independentemente do limiar de classificação adotado, minimizando a área de incerteza em diagnósticos de rede. O ROC-AUC nos conjuntos de treino, validação e teste foi de 0,963, 0,885 e 0,878, respectivamente, demonstrando consistência e alta capacidade discriminatória.

O F1-Score de 0,884 no conjunto de teste consolidou a robustez do classificador ao equilibrar uma precisão de 0,906 com uma sensibilidade (recall) de 0,887. O F1-Score nos conjuntos de treino, validação e teste foi de 0,899, 0,898 e 0,884, respectivamente, evidenciando um bom equilíbrio entre a detecção de ataques e a confiabilidade das previsões. A precisão do modelo nos conjuntos de treino, validação e teste foi de 0,916, 0,913 e 0,906, respectivamente, indicando a proporção de verdadeiros positivos entre todas as previsões positivas. O recall do modelo nos conjuntos de treino, validação e teste foi de 0,901, 0,900 e 0,887, respectivamente, mostrando a capacidade do modelo de identificar corretamente todas as instâncias de ataque.

A análise da matriz de confusão do modelo Gradient Boosting no conjunto de teste permitiu uma visualização prática desses resultados. O modelo identificou corretamente 1.053 acessos legítimos (verdadeiros negativos) e 640 instâncias de ataque (verdadeiros positivos). Apenas 2 acessos legítimos foram classificados erroneamente como ataques (falsos positivos), e 213 instâncias de ataque foram classificadas incorretamente como legítimas (falsos negativos). Para a segurança da informação, a sensibilidade alcançada é um indicador crítico, pois reflete a eficácia do sistema em não permitir que atividades maliciosas passem despercebidas, que representam o maior risco para a integridade dos dados organizacionais. A baixa taxa de falsos positivos e falsos negativos demonstra a robustez do modelo.

Adicionalmente, a robustez do modelo foi refinada por meio da otimização de hiperparâmetros via Grid Search com validação cruzada (5-fold), o que permitiu testar 96 combinações distintas para maximizar o F1-Score. A configuração otimizada para o Gradient Boosting — composta por uma taxa de aprendizado de 0,05, profundidade máxima de 6 e 100 estimadores — alcançou um F1-Score médio de 0,8934 na etapa de validação. No conjunto de teste, o modelo otimizado manteve um desempenho sólido com precisão de 0,9057 e acurácia de 0,8863. A análise de overfitting revelou uma diferença de apenas 0,0120 entre o F1-Score de treino e teste, o que comprova a alta capacidade de generalização do algoritmo e sua estabilidade frente a novos dados. Esse processo de ajuste fino consolidou a confiabilidade do classificador, tornando-o apto para operações críticas de monitoramento de segurança em tempo real.

Limitações do Estudo e Implicações Práticas

Apesar dos resultados expressivos obtidos, este estudo apresenta algumas limitações que devem ser consideradas. Primeiramente, a base de dados utilizada possui tamanho relativamente reduzido, com 9.357 registros, e uma distribuição de classes mais equilibrada do que cenários reais de cibersegurança. Em ambientes produtivos, ataques são eventos raros, e essa diferença pode superestimar o desempenho dos modelos. Além disso, os dados analisados são derivados de logs simulados ou controlados, o que pode não refletir completamente a complexidade e variabilidade de ataques reais, especialmente aqueles adaptativos ou do tipo zero-day, que são intrusões inéditas e difíceis de prever.

Outra limitação refere-se à ausência de validação externa com bases de dados independentes, o que restringe a generalização dos resultados para outros contextos. A validação externa é crucial para confirmar a robustez e a aplicabilidade do modelo em diferentes cenários operacionais. Por fim, não foram explorados aspectos de deploy em tempo real, como latência, custo computacional e integração com sistemas de monitoramento existentes. Esses são fatores críticos para a aplicação prática em ambientes corporativos, e sua ausência impede uma avaliação completa da viabilidade operacional do modelo em um ambiente de produção.

Comparação com a Literatura

Os resultados obtidos nesta pesquisa demonstram que o modelo desenvolvido atingiu um patamar de excelência comparável aos principais benchmarks da literatura científica em segurança da informação. O modelo de Gradient Boosting, ao alcançar uma acurácia de 0,887 no conjunto de teste, apresenta um desempenho estatístico similar a estudos consolidados que utilizam, por exemplo, a base de dados KDD’99, cujas taxas de acerto para detecção de intrusão situam-se rotineiramente em torno de 89% (Stolfo, 2000). Essa convergência com os resultados da literatura científica confirma que a integração entre a análise de sinais comportamentais e algoritmos de ensemble constitui uma estratégia altamente eficaz para a detecção de anomalias em ambientes virtuais.

É relevante ressaltar que, enquanto muitos trabalhos acadêmicos fundamentam-se em bases de dados históricas, este estudo aplicou algoritmos de aprendizado de máquina em um conjunto de logs comportamentais modernos. A obtenção de métricas elevadas, como o ROC-AUC de 0,878 e o F1-Score de 0,884, em dados que refletem padrões contemporâneos de tráfego, valida a robustez do classificador para aplicações em cenários reais. A análise de sinais comportamentais, como falhas de login e reputação de IP, combinada com a capacidade de processamento de interações não lineares dos algoritmos de ensemble, oferece uma abordagem promissora para a detecção de intrusões, alinhando-se às necessidades atuais de cibersegurança (Alsheri, 2023; Shewale e Deshpande, 2021; Souza e Arima, 2024).

Em síntese, os resultados da pesquisa demonstram que a aplicação de ferramentas de Machine Learning, particularmente o Gradient Boosting, é uma estratégia altamente eficaz para a detecção de ataques cibernéticos baseados em eventos de hábitos de usuários. O modelo final apresentou um elevado patamar de assertividade e uma robusta capacidade discriminatória entre o tráfego legítimo e as tentativas de intrusão, validando sua aplicabilidade para monitoramento de segurança em tempo real. A integração de sinais comportamentais com algoritmos de ensemble mostrou-se uma abordagem promissora para construir camadas de defesa mais resilientes contra táticas furtivas de evasão no cenário contemporâneo de cibersegurança.

4. Conclusão

O presente estudo buscou desenvolver e validar modelos de Machine Learning de alta performance para a detecção assertiva de ataques cibernéticos, com foco na análise de padrões comportamentais e hábitos digitais de usuários em sites. Verificou-se que variáveis comportamentais, como falhas de login e tentativas de acesso, juntamente com a reputação do endereço de IP e o tipo de navegador, apresentaram significância estatística robusta para discriminar entre tráfego legítimo e malicioso. Após o tratamento e normalização dos dados, algoritmos de classificação foram treinados e avaliados. O modelo de Gradient Boosting consolidou-se como o mais eficaz, alcançando uma acurácia de 0,887 e um ROC-AUC de 0,878 no conjunto de teste. Este classificador demonstrou um equilíbrio ideal entre precisão e sensibilidade, identificando corretamente 640 instâncias de ataque e minimizando dois falsos positivos. A principal contribuição reside na validação de que a integração de sinais comportamentais com algoritmos de ensemble constitui uma estratégia altamente eficaz para a detecção de anomalias em ambientes virtuais, oferecendo uma robusta capacidade de generalização e estabilidade para monitoramento de segurança em tempo real.

Contudo, o estudo possui limitações, como o tamanho relativamente reduzido da base de dados e sua natureza simulada ou controlada, que pode não capturar a complexidade de ataques zero-day. A ausência de validação externa com bases de dados independentes restringe a generalização dos resultados, e aspectos de deploy em tempo real, como latência e custo computacional, não foram explorados. Para estudos futuros, recomenda-se a realização de uma análise de cutoff para otimizar o limiar de probabilidade de classificação, visando refinar ainda mais o desempenho do modelo. Sugere-se também avaliar o impacto desse ajuste na redução de falsos negativos em protocolos de comunicação com maior incidência de tráfego malicioso, como o TCP, a fim de aprimorar a resiliência do sistema contra táticas de evasão.

Referências Bibliográficas

ALSHEHRI, A. Cyberattack detection framework using machine learning and user behavior analytics. Computer Systems Science and Engineering, v. 44, n. 2, p. 1679-1689, 2023.

INTERNATIONAL BUSINESS MACHINES [IBM]. Relatório do custo das violações de dados 2025. Disponível em: https://www.ibm.com/br-pt/reports/data-breach. Acesso em: 22 set. 2025.

LINS, B. F. E. A evolução da Internet: uma perspectiva histórica. Cadernos Aslegis, n. 48, p. 11-46, 2013. Disponível em: https://www.aslegis.org.br/todas-as-edicoes-artigos/106-caderno-aslegis-48. Acesso em: 13 out. 2025.

MENDONÇA, C. M. C.; ANDRADE, A. M. V.; SOUSA NETO, M. V. Uso da IoT, Big Data e Inteligência Artificial nas capacidades dinâmicas. Revista Pensamento Contemporâneo em Administração, v. 12, n. 1, p. 131-151, 2018.

MIRANDA, J. C. A World Wide Web como uma tecnologia de propósitos gerais. Revista Multiface Online, v. 11, n. 1, p. 25-42, 2024. Disponível em: https://revistas.face.ufmg.br/index.php/multiface/article/view/8625. Acesso em: 08 out. 2025.

SHEWALE, S.; DESHPANDE, L. Analytical study on IP reputation services & automation for traditional method. International Journal of Advanced Research in Computer and Communication Engineering, v. 10, n. 5, p. 114-117, 2021.

SOUZA, C. H. M.; ARIMA, C. H. Avaliação de algoritmos de machine learning para detecção de malware IoT no dataset IoT-23. Anais do Simpósio Brasileiro de Cibersegurança, p. 767-772, 2024.

SPEROTTO, A. An overview of IP flow-based intrusion detection. IEEE Communications Surveys & Tutorials, v. 12, n. 3, p. 343-356, 2010.

STOLFO, S. J. Cost-based modeling and evaluation for data mining with application to intrusion detection: results from the MIT Lincoln Labs classification evaluation. New York: Columbia University, 2000.

Artigo oriundo de Trabalho de Conclusão de Curso da Especialização em Data Science e Analytics do MBA USP/Esalq

Para saber mais sobre o curso, clique aqui e acesse a plataforma MBX Academy