Rethinking IoT Intrusion Detection: Augmenting Routing Metrics with Radio Features

Resumen Técnico: Replanteando la Detección de Intrusiones en IoT con Características de Radio

Planteamiento del Problema
Los Sistemas de Detección de Intrusiones (IDS) basados en aprendizaje automático para redes IoT con protocolo RPL se han basado tradicionalmente de forma exclusiva en características de la capa de enrutamiento (por ejemplo, estadísticas de mensajes de control de RPL como Rank, DIO, DIS y DAO). Los autores argumentan que esta visión centrada en el enrutamiento proporciona una representación solo parcial del comportamiento de la red. Si bien estudios previos han demostrado que los ataques de denegación de servicio orientados a RPL impactan significativamente el consumo de recursos y la actividad de radio a nivel de dispositivo (señales de transmisión/recepción, tiempo de CPU, potencia), los modelos de IDS existentes a menudo no logran capturar estos indicadores de capas inferiores. En consecuencia, el rendimiento de detección de los modelos actuales sigue siendo sensible a tipos de ataque, topologías y tamaños de red específicos, pudiendo omitir ataques sutiles que manipulan las decisiones de enrutamiento sin alterar drásticamente los volúmenes de mensajes de control.

Metodología
El artículo propone una aumentación del conjunto de características estándar de RPL mediante la incorporación de características de radio de transmisión (TX) y recepción (RX) a nivel de nodo. El estudio utiliza un clasificador basado en LSTM diseñado para capturar dependencias temporales en datos de red secuenciales.

• Modelo de Sistema: El marco simula una red IoT basada en RPL con un nodo sumidero (sink), nodos normales que forman un DODAG y un único atacante. El sumidero agrega pasivamente dos categorías de características:
  1. Características de RPL (14 dimensiones): Media y desviación estándar de siete estadísticas de la capa de enrutamiento (Rank, DIS enviado/recibido, DIO enviado/recibido, DAO recibido y total de mensajes).
  2. Características de Radio (4 dimensiones): Media y desviación estándar de los conteos de actividad de TX y RX.
• Aumentación de Características: El vector base ($x^RPL_t$) se concatena con las características de radio para formar un vector aumentado ($x^{aug}_t$), incrementando la dimensión de entrada de 14 a 18.
• Configuración Experimental: Los autores extendieron los scripts de simulación de Cooja/Contiki-NG para extraer registros de radio. Evaluaron el enfoque a través de:
  • Tres Tipos de Ataque: DIS-Flooding, Local Repair y Worst Parent.
  • Tres Variantes de Comportamiento: Base, on-off y cambio gradual.
  • Cuatro Tamaños de Red: 5, 10, 15 y 20 nodos.
  • Total de Configuraciones: 36 configuraciones experimentales distintas (3 ataques × 3 variantes × 4 tamaños).
• Arquitectura del Modelo: Un modelo LSTM de clasificación binaria (tamaño oculto 10, dropout 0.3) entrenado con pérdida de entropía cruzada binaria y el optimizador AdamW. Las secuencias de entrada se generaron utilizando una ventana deslizante de tamaño 10.

Contribuciones Clave

1. Expansión de Características: El trabajo extiende el conjunto de características base de RPL integrando las características de radio TX y RX, con el objetivo de capturar el comportamiento de comunicación a nivel de nodo que es invisible para las estadísticas de la capa de enrutamiento por sí solas.
2. Estudio de Ablación: Los autores comparan sistemáticamente cinco configuraciones de características (solo RPL, solo TX+RX, RPL+TX, RPL+RX y Completa Aumentada) para aislar el poder discriminativo de las características de radio.
3. Evaluación Exhaustiva: El estudio evalúa el impacto de estas características a través de diversos comportamientos de ataque y escalas de red, proporcionando una visión granular de cómo las métricas de radio influyen en el rendimiento de la detección.

Resultados
La evaluación, medida por la puntuación F1, revela que la incorporación de características de radio generalmente mejora el rendimiento de detección, aunque la magnitud de la mejora varía según el tipo de ataque:

• Rendimiento General: La inclusión de las características TX y RX mejoró el rendimiento general de detección en aproximadamente un 4% en la puntuación F1 en comparación con el uso exclusivo de características de la capa de enrutamiento.
• Hallazgos Específicos por Ataque:
  • DIS-Flooding: Todas las configuraciones funcionaron con alto desempeño (F1 > 0.98). La configuración TX+RX-only logró la puntuación más alta (0.990), lo que sugiere que el ataque induce cambios fuertes y consistentes tanto en la actividad de enrutamiento como en la de radio.
  • Local Repair: La configuración TX+RX-only superó significativamente al baseline de solo RPL (0.999 vs. 0.980). El estudio observa que eliminar RX causó una caída de rendimiento mayor que eliminar TX, lo que indica que RX es la característica más crítica para detectar la ráfaga de mensajes de control generada por los ciclos de reconstrucción de DODAG.
  • Worst Parent: Este ataque mostró la ganancia más notable de las características de radio. El baseline de solo RPL arrojó una puntuación F1 baja de 0.957, mientras que la configuración TX+RX-only alcanzó 0.998. El conjunto completo de 18 características (0.970) funcionó peor que el conjunto de solo radio, sugando que para este ataque específico, las características de RPL pueden introducir redundancia o que el impacto del ataque es visible principalmente en la actividad de radio en lugar de en las estadísticas de mensajes de control.
• Separabilidad de Características: Las estadísticas de Kolmogorov–Smirnov (KS) confirmaron que las características de la media de RX lograron una separación perfecta (KS = 1.000) entre las distribuciones normales y de ataque en todos los tipos de ataque, mientras que las características de la media de TX también mostraron una fuerte separación (KS 0.837–0.896).

Significancia y Reivindicaciones
El artículo sostiene que confiar únicamente en las características de la capa de enrutamiento proporciona una visión incompleta del impacto de los ataques, particularmente para ataques como "Worst Parent" que manipulan sutilmente las decisiones de enrutamiento. Al demostrar que las características TX y RX proporcionan señales discriminativas no capturadas por las estadísticas de RPL, los autores argumentan que los enfoques de capas cruzadas son esenciales para un IDS robusto en entornos IoT con restricciones de recursos.

Específamente, los resultados indican que la actividad de comunicación del lado del receptor (RX) es una señal más discriminativa que la actividad de transmisión (TX) para la detección de ataques basados en RPL. Los autores concluyen modestamente que, si bien su enfoque mejora el rendimiento, se requiere trabajo futuro para incorporar métricas adicionales (RSSI, LQI), realizar un análisis formal de importancia de características y evaluar la generalizabilidad trans-ataque de los modelos entrenados. El trabajo no pretende resolver todos los desafíos de detección, sino resaltar el valor tangible de aumentar las métricas de enrutamiento con características de radio en el flujo experimental actual.