Sistema de deteção de intrusões para a Internet das Coisas

• Main Author: Santos, Leonel Filipe Simões
• Publication Date: 2020
• Language: por
• Source: Repositórios Científicos de Acesso Aberto de Portugal (RCAAP)
• Download full: http://hdl.handle.net/10348/9770
• topic: Internet das coisas; Sistemas de deteção de intrusão

A aplicação da Internet das Coisas em domínios tão diversos como a automação industrial e de edifícios, os cuidados de saúde, a monitorização ambiental ou a gestão de transportes e logística, tem contribuído para uma maior adoção deste tipo de sistemas originando a interligação de mais dispositivos à Internet. Esses dispositivos são responsáveis pela recolha de dados acerca do ambiente físico que os rodeia ou recebem comandos externos, por forma a gerar uma ação no meio físico. Muitas das vezes, a recolha de dados ou a receção de comandos externos são efetuados através de ligações à Internet que, na maioria das vezes, é efetuada através de uma ligação insegura, expondo em muitas ocasiões dados confidenciais ou originando ações indevidas no meio físico envolvente, tornando estes sistemas mais expostos a ataques e intrusões. Estas e outras situações invocam novos desafios de privacidade e segurança dos dispositivos, das comunicações e dos dados transmitidos neste tipo de sistemas. A utilização de mecanismos de contramedidas de segurança convencionais como as firewall, a deteção e prevenção de intrusões, a cifragem dos dados e comunicações, autenticação e autorização dos intervenientes ou até auditorias, nem sempre são viáveis ou estão adequados às características apresentadas pelos sistemas IoT, visto que não são suficientemente flexíveis para o ecossistema IoT. Um dos mecanismos de contramedida que pode ser integrado numa solução global de segurança em sistemas IoT são os sistemas de deteção de intrusões. Tal como os restantes, estes têm que ser desenvolvidos especificamente para este tipo de sistemas devido à arquitetura IoT; à escalabilidade; à heterogeneidade dos dispositivos e tipos de comunicação; à integração com o mundo físico; às restrições dos recursos computacionais; à privacidade; à grande escala; à gestão da confiança e a uma menor preparação para a segurança dos dispositivos utilizados. As soluções existentes, desenvolvidas especificamente para sistemas IoT, ainda apresentam muitas limitações, pelo que é imperativo melhorar e diversificar as abordagens, nomeadamente no que concerne a metodologias de deteção utilizadas, à quantidade de intrusões detetadas e em diferentes camadas IoT e à interoperabilidade e extensibilidade. De forma a minorar estas limitações, esta tese propõe uma framework para a deteção de intrusões em sistemas IoT com o objetivo de detetar em tempo útil intrusões com origem interna ou externa que afetem todas as camadas da arquitetura IoT, tendo por base a análise de registos de fluxos de tráfego. Esta framework, baseada em quatro componentes - (i) observação de pacotes de rede, (ii) agregação e exportação de fluxos, (iii) recolha, descodificação e armazenamento de fluxos e (iv) análise de fluxos - distribuídos pelos dois módulos do IDS (sonda e módulo central), permite recolher e agregar as informações acerca das comunicações IoT na sonda e, posteriormente, analisá-las de forma a detetar anomalias e intrusões que possam estar a ocorrer a cada instante no módulo central. Esta análise é efetuada através de uma solução que utiliza uma localizada híbrida, com base numa recolha de dados distribuídos e numa análise centralizada que recorre à metodologia de deteção baseada em especificações de tráfego normal. Para proceder à validação desta framework foi desenvolvido um protótipo, posteriormente analisado e avaliado mediante os resultados da implementação de um plano de testes, da framework de avaliação da metodologia DSR e dos quatro princípios propostos por Österle. Desta feita, foi possível validar a framework relativamente à sua capacidade, a fim de detetar intrusões e anomalias a que estão sujeitos os sistemas IoT nas suas diferentes camadas, ao seu desempenho e escalabilidade em relação ao consumo de recursos computacionais para a operação da sonda e módulo central do IDS e à segurança das comunicações internas efetuadas entre os módulos e componentes do IDS.