Abordagem baseada em Árvores de Decisão para detecção e identificação de intrusões em ambientes da Internet das Coisas baseados em Computação em Nevoeiro

Abstract

A Internet of Things é um paradigma que está em grande ascensão nos últimos anos. O grande numero de dispositivos e as suas limitações de recursos, desafiam pesquisadores e desenvolvedores na área de segurança da informação. Ataques a dispositivos conectados se tornaram comuns ultimamente. Desse modo, contramedidas devem ser tomadas para oferecer uma camada de segurança na comunicação. Os Intrusion Detection Systems são sistemas que buscam detectar entidades maliciosas que tentam controlar e/ou indisponibilizar uma rede de dispositivos. Muitos dos trabalhos atuais nessa área de pesquisa focam em métodos de anomalias para detecção binária, que simplesmente detecta se um tráfego específico é ataque ou não, mas não é capaz de identificar o tipo de ataque. Adicionalmente, os datasets de treinamento e teste comumente utilizados na área da pesquisa, são criados de forma sintética, tendo um conjunto de features próprios. Essa diferença de features entre os datasets limita a avaliação dos estudos realizados, pois conhecidamente a qualidade das features são importantes para o desempenho do modelo. Recentemente foi disponibilizado um dataset que possui features baseadas no protocolo NetFlow v9, amplamente utilizado por provedores de serviço. Esse dataset proporciona um conjunto de features padrão, ou seja, representando fluxos de pacotes de uma rede Internet of Things "real". Portanto, neste trabalho é proposto métodos de detecção multiclasse, utilizando algoritmos de aprendizado supervisionado, comumente utilizados por pesquisas do estado da arte em detecção de intrusão. A maior contribuição deste trabalho é a utilização de um dataset recente, gerado a partir de uma fusão de outros datasets bastante utilizados na área de pesquisa em detecção de intrusão para ambientes Internet of Things. Através dos experimentos verificou-se que todas as abordagens avaliadas apresentaram taxas de detecção satisfatórias, apresentando baixas taxas de falsos negativos e falsos positivos.

The Internet of Things is a paradigm that has been on the rise in recent years. The large number of devices and their resource limitations challenge researchers and developers in the area of information security. Attacks on connected devices have become common lately. Thus, countermeasures must be taken to provide a layer of security in communication. Intrusion Detection Systems are systems that seek to detect malicious entities that try to control and/or make a network of devices unavailable. Much of the current work in this area of research focuses on anomaly methods for binary detection, which simply detect whether a specific traffic is an attack or not, but is not able to identify the type of attack. Additionally, the training and test datasets commonly used in the research area are synthetically created, having a set of their own features. This difference in features between the datasets limits the evaluation of the studies carried out, since the quality of the features is known to be important for the performance of the model. Recently, a dataset was made available that has features based on the NetFlow v9 protocol, widely used by service providers. This dataset provides a set of standard features, that is, representing packet flows from a "real" Internet of Things network. Therefore, in this work, multiclass detection methods are proposed, using supervised learning algorithms, commonly used by state-of-the-art research in intrusion detection. The main contribution of this work is the use of a recent dataset, generated from a fusion of other datasets widely used in the area of intrusion detection research for Internet of Things environments. Through the experiments it was found that all approaches evaluated presented satisfactory detection rates, with low rates of false negatives and false positives.