Rilevazione precoce di attacchi botnet nelle reti IoT

L'aumento dei dispositivi Internet of Things (IoT) ha portato molti vantaggi, come case intelligenti e sistemi industriali migliorati. Tuttavia, questa crescita ha anche creato nuovi problemi di sicurezza. Una delle sfide più grandi che affrontiamo sono gli attacchi Botnet. Una botnet è un gruppo di dispositivi infetti che un hacker controlla per creare problemi, come negare il servizio agli utenti. Questi attacchi possono interrompere i servizi, come visto in incidenti noti come l'attacco Mirai.

Rapporti recenti mostrano un aumento significativo delle minacce legate alle botnet, principalmente a causa dell'aumento del numero di dispositivi IoT connessi a internet. Ad esempio, il numero di dispositivi IoT compromessi è passato da 200.000 a 1 milione in un solo anno. Questo aumento di dispositivi connessi rende più facile per gli attaccanti lanciare attacchi botnet, che spesso si basano su misure di sicurezza deboli in questi dispositivi.

Gli attacchi botnet di solito avvengono in fasi: scansione dei dispositivi vulnerabili, infezione, assunzione di controllo e infine esecuzione dell'attacco. Durante la fase di scansione, gli attaccanti cercano dispositivi con impostazioni di sicurezza deboli. Una volta trovati questi dispositivi, passano all'infezione. Dopo aver preso il controllo, l'attaccante può comandare questi dispositivi per lanciare attacchi.

Rilevare questi attacchi precocemente è cruciale. Prima riusciamo a individuare le minacce potenziali, meglio possiamo proteggere i nostri dispositivi e reti. I metodi tradizionali di Rilevamento di questi attacchi spesso arrivano troppo tardi, concentrandosi su come fermare gli attacchi dopo che sono iniziati.

#La Necessità di una Rilevazione Precoce

Uno degli obiettivi principali della cybersecurity è trovare e fermare le minacce prima che causino danni. Molti studi si sono concentrati sul rilevamento degli attacchi una volta che si verificano, ma questo approccio reattivo non è sufficiente. Dobbiamo concentrarci sull'identificazione delle minacce precocemente per prevenire potenziali danni.

Ridurre il tempo necessario per rilevare un attacco è essenziale. Una rilevazione rapida può minimizzare i danni causati da un'infezione e prevenire la diffusione del malware attraverso una rete. Sfortunatamente, pochi studi hanno esplorato modi per accelerare il rilevamento.

La maggior parte dei metodi di rilevamento esistenti utilizza tecniche di apprendimento supervisionato, che richiedono molti dati da attacchi noti per allenarsi. Tuttavia, questi dati di allenamento sono spesso scarsi o sbilanciati, rendendo difficile individuare nuovi tipi di attacchi. Pertanto, questo studio esplora strategie di Apprendimento semi-supervisionato che possono funzionare anche con dati limitati provenienti da attacchi.

#Metodologia

Questo studio propone un metodo per analizzare il Traffico di rete al fine di identificare potenziali attività di botnet. L'analisi tiene conto di diversi tipi di flussi di dati-sia unidirezionali che bidirezionali-così come dei formati dei pacchetti.

#Rappresentazione del Traffico di Rete

Per rilevare le botnet, analizziamo il traffico di rete in due modi principali: attraverso singoli pacchetti e attraverso flussi aggregati di dati. Raccogliamo alcune informazioni dai pacchetti di dati, assicurandoci di mantenere la privacy degli utenti. Per ogni flusso di dati, calcoliamo varie caratteristiche, come la quantità di dati trasferiti e i tempi delle trasmissioni.

Cataloghiamo queste caratteristiche in quattro tipi principali:

1. Caratteristiche Basate sui Pacchetti: Queste si concentrano sui dettagli dei singoli pacchetti, come quanti sono stati inviati e le loro velocità di trasmissione.

2. Caratteristiche Basate sui Byte: Questa esamina la dimensione complessiva dei dati trasmessi, fornendo informazioni sull'uso della rete.

3. Caratteristiche Basate sul Tempo: Queste catturano quanto durano i flussi di dati e il timing delle trasmissioni dei pacchetti, aiutando a trovare schemi insoliti.

4. Caratteristiche Basate sui Protocolli: Queste derivano da informazioni specifiche relative ai protocolli di comunicazione utilizzati.

#Selezione delle Caratteristiche

Una parte importante del processo di rilevamento è scegliere le giuste caratteristiche su cui concentrarsi. Dato che spesso abbiamo accesso a dati di traffico normali e pochi o nessun dato maligno, abbiamo bisogno di tecniche che possano selezionare caratteristiche importanti basandosi solo su dati normali.

Utilizziamo un metodo specifico di selezione delle caratteristiche che valuta e classifica le caratteristiche in base alla loro rilevanza. Questo processo di selezione ci aiuta a restringere le caratteristiche che contano di più nell'identificare comportamenti anomali nel traffico di rete.

#Rilevamento del Traffico Botnet

Il metodo proposto mira a modellare il comportamento normale della rete per i dispositivi IoT. Quando il sistema rileva deviazioni dalla norma, le segnala come potenziali minacce. Questo studio valuta cinque diverse tecniche di apprendimento semi-supervisionato per la loro efficacia nel identificare schemi di traffico normale in rete e anomalie.

I metodi includono:

• Isolation Forest: Questo metodo cerca punti dati insoliti in base a quanto facilmente possono essere isolati dagli altri.

• Elliptic Envelope: Questa tecnica crea un confine attorno ai punti dati e identifica valori anomali in base alla loro distanza dalla media.

• Local Outlier Factor: Questo metodo confronta la densità dei punti in un'area per trovare valori anomali.

• One-Class SVM: Questa tecnica separa i dati normali dalle anomalie in uno spazio ad alta dimensione.

• Deep Autoencoders: Questi utilizzano reti neurali per rilevare schemi insoliti in base agli errori di ricostruzione.

#Dataset ed Esperimenti

Per questo studio, abbiamo utilizzato il dataset Aposemat IoT-23, che include vari scenari di traffico IoT, alcuni con infezioni da malware reali. A causa delle dimensioni del dataset, non siamo riusciti ad analizzarlo completamente e ci siamo invece concentrati su campioni rappresentativi per catturare la diversità del malware bot.

Abbiamo impiegato diversi strumenti per elaborare i flussi di rete e creato tre dataset: uno per flussi bidirezionali, uno per flussi unidirezionali e uno per dati a livello di pacchetto.

#Valutazione delle Prestazioni

Per valutare la nostra metodologia di rilevamento, abbiamo implementato vari metriche, come il tasso di falsi positivi e l'area sotto la curva ROC, per valutare diversi classificatori. I nostri risultati hanno mostrato che One-Class SVM ha fornito la migliore prestazione nel rilevare il traffico botnet attraverso diversi formati. In particolare, il rilevamento basato sui pacchetti ha raggiunto un tasso di rilevamento perfetto con pochi falsi allarmi, mentre il rilevamento del flusso unidirezionale ha anche performato bene.

#Risultati e Discussione

I risultati indicano che la nostra metodologia modella in modo efficace il traffico di rete normale e può rilevare deviazioni indicative di comportamento botnet. Le tecniche di apprendimento semi-supervisionato, specialmente One-Class SVM e Deep Autoencoders, si sono dimostrate efficaci nell'identificare segni precoci di attività botnet, inclusi comunicazioni furtive come scansione e traffico di comando e controllo.

Abbiamo ottenuto ritardi di rilevamento inferiori a un secondo per il traffico basato sui pacchetti, con un tasso di rilevamento perfetto e un tasso di falsi positivi sotto il 2%. Per il rilevamento del flusso unidirezionale, abbiamo raggiunto un ritardo di rilevamento di circa un secondo, con un tasso di rilevamento del 98%. Anche se i metodi di rilevamento basati su flusso sono comuni, il nostro studio ha evidenziato che gli approcci basati sui pacchetti hanno prodotto risultati migliori, soprattutto per rilevare il traffico di comando e controllo.

#Conclusione

Questo studio ha dimostrato che è possibile modellare in modo efficace il traffico di rete dei dispositivi IoT normali. Analizzando diversi formati di traffico e utilizzando tecniche di apprendimento semi-supervisionato, possiamo rilevare presto le attività di botnet, inclusi schemi di traffico nascosti. La capacità di ottenere tempi di rilevamento rapidi è fondamentale per minimizzare i danni dai minacce informatiche. In generale, la ricerca mostra buone prospettive per migliorare le capacità di rilevamento precoce, essenziali nel mondo sempre più connesso di oggi.