Detecção Precoce de Ataques de Botnet em Redes de IoT

A chegada dos dispositivos da Internet das Coisas (IoT) trouxe várias vantagens, tipo casas inteligentes e sistemas industriais mais eficientes. Mas essa expansão também gerou novas questões de segurança. Um dos maiores desafios que enfrentamos são os ataques de Botnets. Uma botnet é um conjunto de dispositivos infectados que um hacker controla para causar problemas, como negar acesso aos usuários. Esses ataques podem interromper serviços, como vimos em incidentes marcantes, tipo o ataque Mirai.

Relatórios recentes mostram um aumento significativo nas ameaças relacionadas a botnets, principalmente por causa do crescimento do número de dispositivos IoT conectados à internet. Por exemplo, o número de dispositivos IoT comprometidos pulou de 200.000 para 1 milhão em apenas um ano. Esse aumento de dispositivos conectados facilita o trabalho dos atacantes para lançar ataques de botnets, que geralmente dependem de medidas de segurança fracas nesses dispositivos.

Os ataques de botnets costumam acontecer em etapas: escaneamento de dispositivos vulneráveis, infecção, controle e, finalmente, execução do ataque. Durante a fase de escaneamento, os atacantes procuram dispositivos com configurações de segurança fracas. Assim que encontram esses dispositivos, partem para infectá-los. Depois de assumir o controle, o hacker pode comandar esses dispositivos para lançar os ataques.

Detectar esses ataques cedo é crucial. Quanto mais rápido conseguirmos identificar ameaças potenciais, melhor conseguiremos proteger nossos dispositivos e redes. Métodos tradicionais de Detecção costumam chegar tarde demais, focando em parar os ataques depois que eles começam.

#A Necessidade de Detecção Certa

Um dos principais objetivos da cibersegurança é encontrar e parar ameaças antes que elas causem danos. Muitos estudos se concentraram em detectar ataques depois que eles acontecem, mas essa abordagem reativa não é suficiente. Precisamos focar em identificar ameaças cedo para evitar danos potenciais.

Reduzir o tempo para detectar um ataque é essencial. A detecção rápida pode minimizar os danos causados por uma infecção e prevenir que o malware se espalhe por uma rede. Infelizmente, poucos estudos exploraram maneiras de acelerar a detecção.

A maioria dos métodos de detecção existentes usa técnicas de aprendizado supervisionado, que precisam de muitos dados de ataques conhecidos para treinamento. No entanto, esses dados de treinamento costumam ser escassos ou desbalanceados, dificultando a identificação de novos tipos de ataques. Portanto, esse estudo investiga estratégias de Aprendizado semi-supervisionado que podem funcionar mesmo com dados limitados de ataques.

#Metodologia

Esse estudo propõe um método para analisar o Tráfego de Rede a fim de identificar atividades potenciais de botnets. A análise considera diferentes tipos de fluxos de dados - tanto unidirecionais quanto bidirecionais - e formatos de pacotes.

#Representação do Tráfego da Rede

Para detectar botnets, analisamos o tráfego da rede de duas maneiras principais: através de pacotes individuais e através de fluxos de dados agregados. Coletamos certas informações dos pacotes de dados, garantindo ao mesmo tempo a privacidade do usuário. Para cada fluxo de dados, calculamos várias características, como a quantidade de dados transferidos e o tempo das transmissões.

Categoramos essas características em quatro tipos principais:

1. Características Baseadas em Pacotes: Focam nos detalhes dos pacotes individuais, como quantos foram enviados e suas taxas de transmissão.

2. Características Baseadas em Bytes: Examinam o tamanho total dos dados transmitidos, dando uma visão do uso da rede.

3. Características Baseadas em Tempo: Capturam quanto tempo os fluxos de dados duram e o tempo das transmissões de pacotes, ajudando a encontrar padrões incomuns.

4. Características Baseadas em Protocólos: Derivadas de informações específicas relacionadas aos protocolos de comunicação usados.

#Seleção de Características

Uma parte importante do processo de detecção é escolher as características certas para focar. Dado que muitas vezes temos acesso a dados de tráfego normais e pouco ou nenhum dado malicioso, precisamos de técnicas que possam selecionar características importantes com base apenas em dados normais.

Usamos um método específico de seleção de características que avalia e classifica as características com base em sua relevância. Esse processo de seleção nos ajuda a restringir as características que mais importam na identificação de comportamentos anormais no tráfego da rede.

#Detectando Tráfego de Botnet

O método proposto visa modelar o comportamento normal da rede para dispositivos IoT. Quando o sistema detecta desvios do normal, ele os sinaliza como potenciais ameaças. Este estudo avalia cinco técnicas diferentes de aprendizado semi-supervisionado quanto à sua eficácia em identificar padrões normais de tráfego de rede e anomalias.

As técnicas incluem:

• Isolation Forest: Esse método procura por pontos de dados incomuns com base em quão facilmente podem ser isolados dos outros.

• Elliptic Envelope: Essa técnica cria uma fronteira em torno dos pontos de dados e identifica outliers com base na distância deles da média.

• Local Outlier Factor: Esse método compara a densidade de pontos em um bairro para encontrar outliers.

• One-Class SVM: Essa técnica separa dados normais de anomalias em um espaço de alta dimensão.

• Deep Autoencoders: Usam redes neurais para detectar padrões incomuns com base em erros de reconstrução.

#Conjunto de Dados e Experimentos

Para este estudo, utilizamos o conjunto de dados Aposemat IoT-23, que inclui vários cenários de tráfego IoT, alguns com infecções reais de malware. Devido ao tamanho do conjunto de dados, não conseguimos analisá-lo completamente e, em vez disso, focamos em amostras representativas para capturar a diversidade de malware bot.

Empregamos diferentes ferramentas para processar fluxos de rede e criamos três conjuntos de dados: um para fluxos bidirecionais, um para fluxos unidirecionais e um para dados em nível de pacote.

#Avaliação de Desempenho

Para avaliar nossa metodologia de detecção, implementamos várias métricas, como taxa de falsos positivos e área sob a curva ROC, para avaliar diferentes classificadores. Nossas descobertas mostraram que o One-Class SVM teve o melhor desempenho na detecção de tráfego de botnet em vários formatos. Especialmente, a detecção baseada em pacotes alcançou uma taxa de detecção perfeita com poucos falsos alarmes, enquanto a detecção de fluxo unidirecional também teve um bom desempenho.

#Resultados e Discussão

Os resultados indicam que nossa metodologia modela efetivamente o tráfego normal da rede e pode detectar desvios que indicam comportamento de botnet. As técnicas de aprendizado semi-supervisionado, especialmente One-Class SVM e Deep Autoencoders, se mostraram eficazes na identificação de sinais iniciais de atividade de botnet, incluindo comunicações furtivas como escaneamento e tráfego de comando e controle.

Conseguimos atrasos de detecção de menos de um segundo para tráfego baseado em pacotes, com uma taxa de detecção perfeita e uma taxa de falsos positivos abaixo de 2%. Para a detecção de fluxo unidirecional, alcançamos um atraso de detecção de cerca de um segundo, com uma taxa de detecção de 98%. Embora métodos de detecção baseados em fluxo sejam comuns, nosso estudo destacou que abordagens baseadas em pacotes resultaram em melhores resultados, especialmente para detectar tráfego de comando e controle.

#Conclusão

Esse estudo mostrou que é possível modelar efetivamente o tráfego de rede de dispositivos IoT normais. Analisando diferentes formatos de tráfego e utilizando técnicas de aprendizado semi-supervisionado, podemos detectar atividades de botnet cedo, incluindo padrões de tráfego ocultos. A capacidade de alcançar tempos de detecção rápidos é crucial para minimizar danos de ameaças cibernéticas. No geral, a pesquisa mostra promessas em melhorar as capacidades de detecção precoce, o que é essencial no mundo cada vez mais conectado de hoje.