Utilizando métricas operacionais e de rede para detecção cooperativa de intrusão para a Internet das Coisas.

• Ano de defesa: 2025
• Autor(a) principal: Carrer, Alexandre Marques
• Tipo de documento: Dissertação
• Tipo de acesso: Acesso aberto
• Idioma: por
• Instituição de defesa: Biblioteca Digitais de Teses e Dissertações da USP
• Palavras-chave em Português: Aprendizado computacional; Internet das Coisas; Internet of Things; Intrusion detection system; Machine learning; Sistemas de detecção de intrusão
• Link de acesso: https://www.teses.usp.br/teses/disponiveis/3/3141/tde-10122025-083046/

Embora dispositivos IoT sejam comumente explorados como vetores de ataque em campanhas DDoS de larga escala, ataques DoS direcionados principalmente a redes IoT estão se tornando mais comuns. Em cenários onde IoT é o alvo, como agricultura de precisão, atacantes visam dispositivos com recursos limitados e Redes de Baixa Potência e com Perdas (LLNs) para prejudicar seu desempenho. A literatura apresenta Sistemas de Detecção de Intrusão (IDSs) como uma opção de segurança viável para detectar ataques DoS em LLNs. IDSs analisam métricas escolhidas para detectar comportamento irregular, pacotes de rede com uma abordagem baseada em rede, ou métricas operacionais do dispositivo, com uma abordagem baseada em host. Soluções IDS centralizadas alimentadas por Aprendizado de Máquina são exploradas em ambientes LLN, onde elas usam principalmente métricas baseadas em rede para inferência. A literatura em segurança IoT relata ataques DoS impactando diretamente métricas baseadas em host em dispositivos IoT, com mudanças súbitas em métricas de múltiplos hosts frequentemente correlacionando-se a um ataque DoS na rede. Apesar de comprovadamente conter informações valiosas para detecção de ataques de rede, métricas baseadas em host ainda são subutilizadas em IDS para detectar cenários DoS. A literatura correlaciona principalmente o sucesso em implementações de IDS IoT a uma simples alta taxa de detecção de ataque (DR), e apesar dos avanços na pesquisa de IDS para IoT, essas abordagens existentes frequentemente: (i) falham em equilibrar precisão de detecção com eficiência de recursos; (ii) sofrem de um único ponto de falha em cenários DoS; e (iii) carecem de cooperação de rede para localizar corretamente a posição do atacante. Nosso objetivo de pesquisa é demonstrar a viabilidade de usar métricas de rede e operacionais para aprimorar a detecção de intrusão leve em IoT. Para isso, apresentamos um Sistema de Detecção de Intrusão Cooperativo que combina classificação de aprendizado de máquina centralizada com análise de ponto de mudança distribuída para detecção de intrusão leve em redes IoT com recursos limitados. A viabilidade é demonstrada através de uma análise de taxa de detecção individual para os componentes centralizados e distribuídos do IDS, e uma avaliação das informações extras do status da rede que podemos extrair quando ambos os componentes cooperam. Nossa abordagem centralizada utiliza tanto tráfego de rede quanto métricas operacionais coletadas de dispositivos individuais, com classificação XGBoost alcançando 97.07% de precisão na identificação de ataques blackhole, greyhole e flooding. O componente distribuído emprega detecção de ponto de mudança baseada em CUSUM leve diretamente nos nós IoT. Nosso mecanismo cooperativo agrega detecções distribuídas para alcançar mais de 92% de taxas de detecção de nós individuais enquanto reduz falsos positivos para aproximadamente 0.4%. Isso permite detecção com sobrecarga mínima de 8.2% de uso de RAM e 0.6% de aumento em ciclos de CPU por segundo. Isso fornece resistência contra ataques de Negação de Serviço, elimina o único ponto de falha em abordagens apenas centralizadas. Ao mesmo tempo, mantém alta precisão de detecção e eficiência de recursos, e reduz a sobrecarga de comunicação comparado a abordagens puramente centralizadas ou distribuídas