Red neuronal para detectar ataques: entrenamiento con datos reales

Con Suricata y su propia utilidad, session_analyzer, los autores del estudio comprobaron si es posible entrenar un IDS de ML con tráfico corporativo real y no con ataques de laboratorio. Funcionó: con un etiquetado cuidadoso y una buena selección de reglas, la F1 puede llegar a 0,98. El método tiene límites claros, sin embargo: firmas ruidosas, desfase de marcas de tiempo, NAT y la necesidad de reentrenar el modelo con regularidad.