Cybersegurança em IoT

Fase I - Estudo

O crescimento acelerado de aplicações e dispositivos para a Internet das coisas (IoT) significa excelentes comodidades para pessoas em diversas áreas, como casas inteligentes, automação industrial, saúde, controle de eletricidade, cidades e redes inteligentes. No entanto, a implementação de aplicações IoT em diferentes cenários também pode introduzir ameaças à segurança. Um exemplo é o botnet Mirai, identificado pela primeira vez em agosto de 2016 por um grupo de pesquisa de segurança chamado MalwareMustDie. Mirai vasculha a Web em busca de dispositivos domésticos inteligentes que tenham nomes de usuário e senhas padrão e, em seguida, inscreve os dispositivos em ataques que lançam tráfego indesejado em um alvo online.

A segurança da IoT também é afetada por restrições de software e hardware nesses dispositivos. Por exemplo, implementar mecanismos de criptografia e autenticação nesses dispositivos pode ser um desafio. Outro problema é que as aplicações IoT podem depender das informações pessoais dos usuários para fornecer serviços. No entanto, coletar, transferir e usar essas informações aumenta o risco de danificar a privacidade dos usuários. Assim, um dos desafios de pesquisa mais proeminentes para a comunidade de redes e segurança é fornecer um equilíbrio econômico entre o uso de dados confidenciais e a privacidade.

Título da Idéia

Sistema de detecção de intrusão baseado em anomalias

Objetivos

Criação um modelo de machine learning para detectar trafego maligno em dispositivos IOT em tempo real e dando suporte a tomada de decisões dos colaboradores. ​

Conceito

Os ambientes domésticos inteligentes estão repletos de informações pessoais tratadas por dispositivos, protocolos e serviços para proporcionar conveniência ao usuário. Devido à sensibilidade das informações privadas, os requisitos de segurança tornam-se cada vez mais necessários neste cenário. No entanto, a gestão dos controlos de segurança nestes ambientes heterogêneos é um desafio significativo. Segundo Bugeja et al. As questões de segurança podem ser divididas em três camadas diferentes da arquitetura genérica de IoT:

• Problemas de dispositivos: os dispositivos em cenários de IoT têm restrições de desempenho, como CPUs com baixas taxas de clock, pouca memória e baixo rendimento. Essas limitações de hardware dificultam a implementação de mecanismos de segurança, como a criptografia, que consomem muita computação. Muitos dispositivos não possuem interface de gerenciamento, dificultando a criação de mecanismos de segurança como autenticação. Por esse motivo, os usuários precisam confiar em sites ou smartphones para gerenciar seus dispositivos e informações. Outra questão crítica é que os objetos em uma casa inteligente são fisicamente acessíveis e podem estar sujeitos a ataques físicos, como adulteração por um visitante na casa ou mesmo pela família para reduzir a cobrança de algum serviço que depende de medidores inteligentes.

• Problemas de comunicação: para interconectar muitos dispositivos diferentes em uma casa inteligente, são necessárias múltiplas pontes, hubs ou gateways e muitos protocolos de comunicação, o que dificulta a implementação de mecanismos de segurança adequados. O ambiente doméstico inteligente é altamente dinâmico, onde um dispositivo pode entrar ou sair da rede a qualquer momento, reforçando a ideia de desenvolver mecanismos de segurança resilientes que possam lidar com o gerenciamento de ativos. Inúmeros protocolos existentes e as capacidades restritas de cada dispositivo tornam os mecanismos de segurança tradicionais inadequados para o ambiente doméstico inteligente.

Problemas de serviço: para reduzir o número de vulnerabilidades, correções de patch precisam ser instaladas periodicamente. No entanto, executar este processo em todos os dispositivos pode ser problemático, uma vez que o firmware desses dispositivos e protocolos pode não suportar essas atualizações de segurança dinamicamente.

Observando essa constante evolução no cenário de dispositivos IoT, e acompanhando tendencias de mercado, chegamos a conclusão que um sistema de detecção de intrusão baseado em anomalias treinado com dados da Algar Telecom seria a melhor opção, já que pode apresentar um ótimo resultado com um baixo índice de falsos positivos além de ser leve de baixo custo e apresentar ótimos resultados com ataque desconhecidos.

Características 

Um sistema baseado em anomalia é um sistema que monitora as ações que ocorrem numa rede e, através de técnicas de inteligência computacional (como, por exemplo, redes neurais e classificadores estatísticos), aprende o comportamento padrão do sistema.— Uma anomalia é um desvio de um comportamento conhecido, e os perfis representam os comportamentos normais ou esperados derivados do monitoramento de atividades regulares, conexões de rede, hosts ou usuários durante um período de tempo​.

Prós e contas de um IDS baseado em anomalias.

Prós:

• Este método usa o aprendizado de máquina para criar e refinar continuamente um modelo de linha de base da atividade normal da rede​
• Eficaz para detectar vulnerabilidades novas e imprevistas.​
• Menos dependente do sistema operacional.​
• Facilite detecções de abuso de privilégios.​

Contras:

• Precisão de perfis fraca devido a eventos observados serem constantemente alterados.​
• Indisponível durante a reconstrução de perfis de comportamento.​
• Difícil acionar alertas na hora certa.

Fase II - Ensino

Conteúdo

Desenvolva um conteúdo que possa transmitir o conhecimento adquirido para outros
Crie um material (Wiki, PDF, PPT, ...) que possa ser armazenado e facilmente atualizável

Apresentação

Apresente ao grupo (reunião, EAD, Blog, ...)
Publique aqui

Metodologia

Desenvolvimento e métodos de trabalho

Utilizamos como base uma metodologia ágil chamada que é líder do segmento de trabalhos de ciência de dados. O CRoss Industry Standard Process for Data Mining ( CRISP - DM ) é um modelo de processo que serve como base para um processo de ciência de dados. Possui seis fases sequenciais:

1. Entendimento do negócio – O que a empresa precisa?

2. Compreensão dos dados – Quais dados temos/precisamos? Está limpo?

3. Preparação de dados – Como organizamos os dados para modelagem?

4. Modelagem – Que técnicas de modelagem devemos aplicar?

5. Avaliação – Qual modelo atende melhor aos objetivos de negócio?

6. Implantação – Como as partes interessadas acessam os resultados?

Usamos ela para apresentar as sínteses de atividades, observações e análises, bem como possíveis comentários:

Compreensão do Negócio (Business Understanding)

Nesta fase inicial da metodologia CRISP-DM, buscamos intender o contexto e os objetivos do projeto de segurança em IoT. Isso incluiu uma análise detalhada das necessidades do cliente e do ambiente IoT específico.

• Síntese das Atividades: Realizamos reuniões com as partes interessadas além de estudos para identificar as principais preocupações de segurança e os objetivos do projeto.
• Observações e Análises: Observamos que a falta de padrões claros de segurança e a diversidade dos dispositivos IoT são as principais preocupações.

Compreensão dos Dados (Data Understanding)

Nesta etapa, coletamos, analisamos e intendemos os dados disponíveis relacionados à segurança em IoT. Isso envolveu a identificação de fontes de dados relevantes.

• Síntese das Atividades: Obtivemos dados de tráfego IoT em uma parceria com o \href{https://www.unb.ca/cic/datasets/iotdataset-2023.html}{CIC} (Canadian Institute for Cybersecurity) e \href{https://www.stratosphereips.org/}{stratosphere} (Stratosphere Research Laboratory), com registro de dados de trafego benigno e maligno, os dispositivos e tipos de ataques podem ser observados nas figuras seguintes.

• Observações e Análises: Observamos que os dados eram variados em termos tipos de ataque e tamanho, o que exigiu um esforço significativo de pré-processamento.

Preparação dos Dados (Data Preparation)

Na fase de preparação dos dados, trabalhamos na limpeza, transformação e integração dos dados para garantir que estivessem prontos para a análise.

• Síntese das Atividades: Limpamos dados inconsistentes, tratamos valores ausentes e padronizamos os dados.
• Observações e Análises: A qualidade dos dados era fundamental para a eficácia da análise de segurança em IoT.

Modelagem (Modeling)

Nesta fase, aplicamos técnicas de aprendizado de máquina para desenvolver o modelo de detecção de ataques em tempo real.

• Síntese das Atividades: Utilizamos algoritmos de aprendizado de máquina para treinar o modelo de detecção de ataques.
• Observações e Análises: Observamos que a abordagem baseada em aprendizado de máquina ofereceu uma melhoria significativa na detecção de ameaças em comparação com métodos tradicionais.

Avaliação (Evaluation)

Na fase de avaliação, testamos o modelo de detecção de ataques para determinar sua eficácia e precisão.

• Observações e Análises: Observamos que o modelo demonstrou alta precisão na detecção de ameaças e uma taxa de falsos positivos baixa.
• Síntese das Atividades: Realizamos testes e avaliações do modelo usando conjuntos de dados de teste e validação.

Implantação (Deployment)

A fase final envolve a simulamos uma implementação do modelo de detecção de ataques em um ambiente residencial.

• Síntese das Atividades: Implantamos o modelo em um ambiente IoT real para monitoramento contínuo.
• Observações e Análises: Observamos que a integração com o MITRE ATT&CK proporcionou uma visão abrangente das táticas, técnicas e procedimentos usados em possíveis ataques.

A metodologia CRISP-DM proporcionou uma estrutura sólida para o projeto de segurança em IoT, permitindo a compreensão dos desafios, a coleta e preparação de dados, o desenvolvimento de um modelo de detecção de ataques eficaz e a implantação bem-sucedida em um ambiente real. O aprendizado de máquina e a integração com o MITRE ATT&CK se mostraram abordagens poderosas para a segurança em IoT. Esses esforços contribuem para um ecossistema de IoT mais seguro e confiável, garantindo a proteção de dispositivos e dados na era da Internet das Coisas.

Hipóteses

Na nossa POC Buscamos provar que é possível desenvolver uma solução de IDS baseado em anomalias que consiga detectar trafego anômalo em tempo real e que seja de baixo custo e fácil de implantar. Como resultado, buscamos uma taxa de acerto (acurácia) acima de 90%, a fim de demostrar a eficiência da solução e como ela pode ajudar a algar Telecom a aumentar o nível de segurança de seus dispositivos.

Fase III - Exemplo de Caso de Negócio

Product Backlog

Para rodar esse projeto necessário:

• Python 3.10 ou superior.
• Sistema operacional Linux 18.04 ou superior, Windows 7 ou superior.
• Como hardware na arquitetura FamilyGuard foi provado que é possível rodar a solução em um dispositivo Raspberry Pi 3

Benefícios para quem for oferecer esta solução

    Descrever em tópicos os benefícios que uma pessoa ou uma empresa podem obter: ganhos, receitas, novos negócios, novos produtos, novas parcerias

Benefícios para o usuário

    Descrever em tópicos os benefícios para os usuários desta solução.
    Pode se inspirar no Canvas.

Direcionadores chave para esta iniciativa

    Descrever em tópicos o que esta iniciativa pode proporcionar

Possíveis modelos de negócios

    Descrever em tópicos os possíveis modelos de negócios

Business Case

    Descrever um exemplo de negócio que permita avaliar a solução comercialmente

Alinhamento com Lei do Bem

• Projeto possui algum elemento tecnologicamente novo ou inovador?

Elemento tecnologicamente novo ou inovador pode ser entendimento como o avanço tecnológico pretendido pelo projeto, ou a hipótese que está sendo testada

• Projeto possui barreira ou desafio tecnológico superável?

Barreira ou desafio tecnológico superável pode ser entendido como aquilo que dificulta o atingimento do avanço tecnológico pretendido, ou dificulta a comprovação da hipótese

• Projeto utiliza metodologia/método para superação da barreira ou desafio tecnológico?

Metodologia/método para superação da barreira ou desafio tecnológico pode ser entendido como aqueles atividades que foram realizadas para superação da barreira ou do desafio tecnológico existente no projeto

• Projeto é desenvolvido em parceira com alguma instituição acadêmica, ICT ou startup?

Se sim, o desenvolvimento tecnológico é executado por associado ou por alguma empresa terceira? qual o nome da empresa? 
Anexar cópia do contrato

Fase IV - Protótipo orientado ao Negócio

Escopo

Explique o escopo deste protótipo

Limitações

Informe sobre as limitações técnicas, comerciais, operacionais, recursos, etc.

PoC

Desenvolva um PoC (Proof of Concept)

Privacidade (LGPD)

• Avaliar condições referentes à Lei Geral de Proteção de Dados

Detalhamento Técnico

Descreva especificamente os aspectos técnicos desta pesquisa

Histórico

• 04/12/2023: Encontro com César para solicitar apoio ao Maycon na conclusão do BC
• 05/12/2023: Definição com Maycon da entrega da apresentação final da pesquisa

Pesquisadores

• Maycon Douglas Batista
• Rodrigo Santana Soares
• Ramiro - Algar Telecom