Detección de intrusiones en redes IoT mediante modelos ligeros de aprendizaje automático: revisión técnico-aplicada y propuesta de validación experimental para Esmeraldas, Ecuador

Intrusion detection in IoT networks using lightweight machine-learning models: a technical-applied review and experimental validation proposal for Esmeraldas, Ecuador

Resumen

El crecimiento del Internet de las Cosas (IoT) amplía la superficie de ataque de redes formadas por dispositivos con recursos limitados, heterogeneidad de protocolos y ciclos de actualización reducidos. El objetivo de este estudio fue analizar enfoques de detección de intrusiones basados en aprendizaje automático y formular una arquitectura ligera, reproducible y evaluable para entornos IoT con conectividad y capacidad computacional restringidas. Se realizó una revisión técnico-aplicada de sistemas de detección de intrusiones, selección de características, algoritmos clásicos y profundos, métricas de evaluación, conjuntos de datos IoT y criterios de despliegue en edge/fog. La evidencia muestra que Random Forest, árboles de decisión, SVM, k-NN y modelos de boosting mantienen alta capacidad de detección cuando se combinan con selección de atributos, mientras que arquitecturas profundas ofrecen ventajas en extracción automática de características a costa de mayor memoria, latencia y consumo. Se analizaron N-BaIoT, TON_IoT y CICIoT2023 como referencias experimentales: N-BaIoT incorpora tráfico de nueve dispositivos IoT infectados con Mirai y BASHLITE; TON_IoT integra tráfico de red, telemetría y sistemas operativos en una arquitectura edge-fog-cloud; y CICIoT2023 reúne 33 ataques organizados en siete categorías sobre una topología de 105 dispositivos. Se propone validar modelos ligeros mediante una metodología que separe entrenamiento, validación y prueba por sesiones o dispositivos, evitando fuga de información, y que mida no solo accuracy y F1-score, sino también tasa de falsos positivos, tiempo de inferencia, memoria, uso de CPU y estabilidad frente a cambios de dominio. Como línea aplicada para Esmeraldas, se plantea desplegar el detector en un gateway local y evaluar su funcionamiento aun cuando la conexión hacia servicios remotos sea intermitente. Se concluye que la utilidad de un IDS ligero depende de equilibrar capacidad de detección, costo computacional, explicabilidad y generalización a tráfico no observado.