An Edge-Based Framework for Wireless Intrusion Detection and Real-Time Unauthorized Device Identification Using ESP32

Resumen Técnico: Un Marco Basado en el Borde para la Detección de Intrusiones Inalámbricas e Identificación de Dispositivos No Autorizados en Tiempo Real Mediante ESP32

Planteamiento del Problema
La proliferación de las comunicaciones inalámbricas en hogares, instituciones educativas y pequeñas empresas ha introducido vulnerabilidades de seguridad significativas. Si bien las redes inalámbricas facilitan las aplicaciones de IoT, su inherente apertura las hace susceptibles al acceso no autorizado, el robo de ancho de banda y los ataques maliciosos. Los Sistemas de Detección de Intrusiones (IDS) tradicionales, como Snort y Suricata, dependen de la inspección de paquetes y la coincidencia de firmas, pero a menudo resultan impracticables para despliegues a pequeña escala debido a sus altos requisitos computacionales, dependencias de hardware costoso y dependencia de la infraestructura en la nube. Además, las soluciones de monitoreo de bajo costo existentes suelen carecer de capacidades de alerta en tiempo real, centrándose en su lugar en el registro de datos. Existe una necesidad distintiva de una solución rentable, de bajo consumo y autónoma que pueda detectar dispositivos no autorizados sin comprometer la privacidad de los datos mediante la dependencia de la nube.

Metodología y Arquitectura del Sistema
La solución propuesta es un sistema de alerta de intrusión WiFi de bajo costo basado en principios de computación en el borde (edge computing), utilizando el microcontrolador ESP32 como unidad central de procesamiento. El sistema opera independientemente de los servicios en la nube, lo que garantiza la privacidad de los datos y reduce la latencia. La arquitectura se estructura en cuatro capas distintas:

1. Capa de Monitoreo de Red: El ESP32 se conecta a la red inalámbrica objetivo y escanea continuamente en busca de dispositivos activos, capturando información de identificación (específicamente direcciones MAC).
2. Capa de Verificación de Dispositivos: Los identificadores de dispositivos detectados se cotejan con una lista blanca predefinida de direcciones MAC autorizadas. Cualquier dispositivo que no coincida con la lista blanca es marcado como sospechoso.
3. Capa de Análisis de Intrusión: Este bloque de toma de decisiones localizado evalúa la legitimidad de los dispositivos. Si se confirma un dispositivo no autorizado, el sistema activa un evento de intrusión. Esta capa opera enteramente en el ESP32, minimizando el tiempo de respuesta.
4. Capa de Generación de Alertas: Tras la detección de una intrusión, el sistema activa inmediatamente mecanismos de alerta duales: un indicador visual (LED rojo) y una alerta sonora generada mediante un módulo DFPlayer Mini y un altavoz. Un LED verde indica el estado normal.

El flujo de trabajo implica que el ESP3 even se asocia con la red, monitorea continuamente los paquetes de datos y compara los dispositivos detectados contra la lista blanca. Si se identifica un dispositivo no autorizado, el sistema activa las alertas y continúa el monitoreo hasta que la amenaza es eliminada, momento en el cual se reinicia automáticamente. La lógica de detección está definida matemáticamente donde un valor de '1' indica una intrusión que requiere la activación de la alerta.

Contribuciones Clave
El artículo describe cinco contribuciones primarias al campo de la seguridad embebida:

1. El diseño de un marco de bajo costo para la detección de intrusiones WiFi.
2. La implementación de la identificación en tiempo real de dispositivos no autorizados.
3. La integración de mecanismos de alerta tanto visuales como auditivos para la notificación inmediata al usuario.
4. El establecimiento de un modelo de procesamiento basado en el borde que elimina la dependencia de los servicios en la nube.
5. Una estrategia de despliegue escalable adecuada para entornos con recursos limitados como hogares y laboratorios educativos.

Resultados Experimentales
El sistema fue validado mediante experimentos controlados que involucraron dispositivos autorizados, dispositivos no autorizados y escenarios mixtos.

• Acceso Autorizado: Cuando solo se conectaron dispositivos de la lista blanca, el sistema los identificó correctamente como autorizados y no generó falsas alertas.
• Acceso No Autorizado: Cuando un dispositivo no autorizado se conectó a la red, el ESP32 lo identificó con éxito, lo clasificó como sospechoso y activó tanto las alertas visuales como las auditivas.
• Eliminación de la Amenaza: Al desconectar el dispositivo no autorizado, el sistema despejó automáticamente la advertencia y reanudó el monitoreo sin intervención manual.
• Desempeño: El sistema demostró un perfil de bajo procesamiento y bajo consumo de energía. La detección ocurrió en pocos segundos, determinado principalmente por el intervalo de escaneo de la red. El marco operó dentro de los límites de memoria del ESP32 sin impactar la calidad del servicio.

El análisis comparativo indica que, si bien los IDS empresariales y los servicios de seguridad en la nube ofrecen altas capacidades, estos conllevan costos elevados y dependencias de la nube. El sistema propuesto basado en ESP32 ofrece una alternativa de bajo costo con alertas en tiempo real, lo que lo hace excepcionalmente adecuado para entornos residenciales y educativos donde los presupuestos son limitados.

Significancia y Reivindicaciones
Los autores sostienen que este trabajo proporciona una alternativa viable y de bajo costo a los sistemas de detección de intrusiones comerciales costosos. Al aprovechar las capacidades integradas de WiFi y el bajo consumo del ESP32, el sistema ofrece una solución de seguridad "autónoma" que mejora la privacidad de los datos al evitar las dependencias de servidores externos. El artículo enfatiza que el sistema es particularmente efectivo para redes de pequeña escala donde las opciones de ciberseguridad avanzada son financieramente inviables.

Los autores mantienen un alcance modesto respecto a las capacidades actuales del sistema, reconociendo que depende de la verificación de direcciones MAC, la cual es vulnerable a la suplantación (spoofing), y no realiza una Inspección Profunda de Paquetes (DPI) para analizar el contenido de la carga útil. Sin embargo, postulan que el marco demuestra con éxito la viabilidad del uso de plataformas de computación embebida para la detección de intrusiones inalámbricas, proporcionando una base para futuros sistemas de seguridad más inteligentes.