NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

Dans la maison moderne, une révolution silencieuse a eu lieu. Des appareils qui ne réalisaient autrefois qu'une seule tâche se connectent désormais à Internet, des thermostats intelligents qui apprennent nos programmes aux caméras qui surveillent nos portes. Ce réseau d'objets connectés, connu sous le nom d'Internet des Objets, offre de la commodité mais introduit également un défi de sécurité complexe. Parce que ces appareils sont si variés et fonctionnent souvent avec une puissance de calcul limitée, ils peuvent être difficiles à gérer et encore plus faciles à détourner. Lorsqu'un pirate prend le contrôle d'un groupe de ces appareils, il peut les transformer en une armée massive et invisible capable de submerger les réseaux ou de voler des données. Pour arrêter cela, les experts en sécurité doivent savoir exactement quel type d'appareil communique sur un réseau et s'il se comporte normalement. Cependant, identifier ces appareils est délicat. Leur comportement change en fonction de ce qu'ils font à un instant donné : une caméra peut paraître complètement différente sur le réseau lorsqu'elle est mise sous tension pour la première fois, lorsqu'elle est en mode veille et lorsqu'elle enregistre activement une vidéo.

Des chercheurs de l'Université Dalhousie et de Solana Networks ont entrepris de résoudre ce problème en créant un nouveau système appelé NIMSAFE. Au lieu d'essayer de forcer tous les appareils dans une catégorie unique et rigide, leur approche prête une attention particulière à l'état actuel de l'appareil. Ils ont observé neuf types différents d'appareils intelligents modernes, incluant des cafetières, des sonnettes et des caméras de sécurité, et ont enregistré leur trafic réseau dans trois modes distincts : le moment de leur mise sous tension, lorsqu'ils sont en veille et lorsqu'ils sont activement utilisés. En analysant les empreintes numériques laissées par ces appareils lorsqu'ils communiquent, l'équipe a construit un modèle d'apprentissage automatique capable d'identifier non seulement le type d'appareil, mais aussi s'il agit normalement ou s'il a été compromis par un botnet ou une attaque par déni de service.

Les chercheurs ont constaté que l'état de l'appareil importait énormément. Lorsqu'ils ont entraîné leur système à partir de données provenant d'appareils en cours d'utilisation active, le modèle était nettement plus performant que lorsqu'il était entraîné sur des données provenant d'appareils qui démarrent ou qui sont en mode veille. Cela suggère que les schémas de communication les plus complexes et uniques se produisent lorsque l'appareil accomplit sa tâche réelle. Pour s'assurer que leur système soit robuste, ils l'ont testé contre une grande variété d'algorithmes d'apprentissage automatique. Ils ont découvert qu'une méthode appelée Forêt Aléatoire (Random Forest), qui fonctionne en combinant les décisions de nombreux arbres de décision simples, était bien supérieure aux autres techniques courantes. Alors que d'autres modèles peinaient à distinguer les différents appareils ou échouaient à reconnaître certains types de matériel, l'approche par Forêt Aléatoire maintenait une haute précision à travers tous les différents types d'appareils et états opérationnels.

Un obstacle majeur dans ce domaine est le manque de données étiquetées. Pour entraîner un ordinateur à reconnaître une menace, les experts doivent généralement étiqueter manuellement des milliers d'exemples de trafic normal et malveillant, un processus lent et coûteux. Le système NIMSAFE répond à cela en utilisant une technique appelée auto-apprentissage (self-training). Les chercheurs ont commencé avec une petite quantité de données étiquetées, seulement 20 % de leur collection totale, et ont laissé le modèle s'enseigner à lui-même en utilisant le reste des données non étiquetées. Remarquablement, le système entraîné sur cette petite fraction d'exemples connus a performé presque aussi bien qu'un système entraîné sur l'ensemble du jeu de données. Cette découverte suggère que les systèmes de sécurité pourraient être déployés efficacement même lorsque les experts ont très peu de temps pour étiqueter les données, car le modèle peut apprendre le reste de manière autonome avec une grande fiabilité.

L'équipe voulait également comprendre pourquoi son système faisait parfois des erreurs, elle a donc utilisé des outils conçus pour expliquer comment l'intelligence artificielle prend ses décisions. En scrutant l'intérieur du modèle, ils ont découvert que le système s'appuyait fortement sur des détails spécifiques concernant la circulation des paquets de données, tels que la taille des données envoyées, le séquençage des connexions et les paramètres spécifiques utilisés par les protocoles de communication sous-jacents. Ces informations les ont aidés à voir que le système ne devinait pas au hasard, mais prenait des décisions basées sur des caractéristiques concrètes et mesurables du trafic réseau. Dans un test final, ils ont mis le système au défi de distinguer l'activité normale des appareils des attaques sophistiquées, y compris des botnets qui imitent le trafic légitime pour se cacher à la vue de tous. Le système a réussi avec une précision de près de 99,9 %, identifiant correctement la vaste majorité des menaces. La infime fraction d'erreurs qui se sont produites n'était pas due à un échec du modèle, mais parce que certains trafics malveillants étaient si similaires au comportement normal des appareils qu'ils étaient presque impossibles à distinguer, même pour les outils les plus avancés.

Ce travail démontre que pour sécuriser l'Internet des Objets, nous devons considérer les appareils non pas comme des objets statiques, mais comme des systèmes dynamiques qui changent constamment de comportement. En se concentrant sur la façon dont les appareils agissent lorsqu'ils sont sous tension, en veille ou actifs, et en utilisant des techniques d'apprentissage intelligentes qui nécessitent moins de supervision humaine, il est possible de construire un système de sécurité qui soit à la fois précis et pratique. Les résultats suggèrent que les futurs outils de sécurité devront être assez flexibles pour s'adapter à l'état changeant des appareils qu'ils protègent, en utilisant les schémas mêmes du comportement normal pour détecter les signes subtils d'une attaque.