[dreyvinixz]

Objetivo

Obter intervalos de atividade associados aos ataques da Week 2 de 1999 com proveniência, sem fabricar ground truth binário.

Pesquisa e catálogo

A dissertação de Charles R. Haag (AFIT, 2007), Tabela 4 e Apêndice B, analisou os pacotes INSIDE e estimou intervalos para 16 dos 43 ataques. Fonte secundária: https://www.researchgate.net/publication/221506722_An_Artificial_Immune_System-Inspired_Multiobjective_Evolutionary_Algorithm_with_Application_to_the_Detection_of_Distributed_Computer_Network_Intrusions.

• Registro de 15 intervalos com status candidate, convertidos de EST histórico para UTC, fim exclusivo aproximado à granularidade do segundo e URL do estudo, em data/ground_truth/week2_intervals_review.csv.
• Catálogo documental em data/ground_truth/week2_literature_candidates.csv.
• ID 25 excluído devido à contradição entre o ID/horário da dissertação e a tabela MIT (cerca de 09h33 vs 10h50), evitando associar duração errada a outro ataque.
• Nenhum candidato vira verified; a avaliação continua com TP/FP/FN/TN = indisponível, pois não há rótulos benignos comprovados da Week 2.

Verificação adicional de PCAPs

Adicionado python -m anomaly_detection.verify_week2_pcap e workflow verify-week2-literature-pcap.yml. A auditoria dos dias quarta/quinta/sexta baixa os INSIDE, verifica SHA-256 e contagens da série versionada, examina metadados TCP SYN sem ACK nos pares origem/destino descritos pela literatura e já triados na Stage 5 para IDs 17/26/36, e exporta contagens, primeiros e últimos horários e diversidade de portas. Esses metadados somente corroboram o comportamento; não comprovam atribuição maliciosa exclusiva nem duração exata.

O MIT declara apenas Week 1 e Week 3 livres de ataques, podendo servir como controle negativo separado; nenhum minuto da Week 2 é automaticamente classificado benigno.

Reprodutibilidade

python -m pip install -e .
python -m unittest discover -s tests -v
darpa-anomaly ground-truth-week2
darpa-anomaly evaluate-confusion-week2
# para checagem de PCAP (requer Tshark, gzip e os PCAPs originais):
python -m anomaly_detection.verify_week2_pcap --pcaps data/raw

Método, riscos e etapas de revisão: docs/WEEK2_INTERVAL_LITERATURE_AUDIT.md.

[dreyvinixz]

Referência institucional e checagem cruzada adicional

A fonte primária de catalogação acadêmica da dissertação de Charles R. Haag (2007) é o repositório oficial do Air Force Institute of Technology: https://scholar.afit.edu/etd/3111/ (AFIT/GCS/ENG/07-05). A tabela de horários e o Apêndice B consultados estão no texto integral hospedado no ResearchGate, já vinculado aos candidatos. Esses horários se referem à atividade de pacotes inferida pelo autor, não à duração completa garantida pelo MIT.

A auditoria Stage 5 preexistente no repositório mostra contagens de SYN sem ACK ao destino em janelas de 6 minutos próximas ao início para os eventos 17/26/36 de 10.463 / 10.242 / 10.270 pacotes. A dissertação relata respectivamente 10.504 / 10.401 / 10.381 pacotes associados a essas atividades. As contagens têm definições e filtros diferentes (e.g., pares origem/destino vs. todos os SYN ao alvo), portanto a semelhança é corroboração preliminar, não confirmação independente de limites ou proveniência de cada pacote.

Referências do repositório: reports/week2-1999/stage5-packet-evidence/README.md, four_attack_event_evidence.csv. Necessário auditar o novo workflow e obter verificação de sessão/protocolo/tempo antes de marcar qualquer intervalo verified. Além disso, nenhum minuto benigno da Week 2 foi demonstrado.