NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

Nella casa moderna, una rivoluzione silenziosa ha avuto luogo. Dispositivi che un tempo eseguivano semplicemente un singolo compito ora si connettono a internet, dai termostati intelligenti che imparano i nostri programmi alle telecamere che sorvegliano le nostre porte. Questa rete di oggetti connessi, nota come Internet delle Cose, offre comodità ma introduce anche una complessa sfida di sicurezza. Poiché questi dispositivi sono così vari e spesso funzionano con una potenza di calcolo limitata, possono essere difficili da gestire e ancora più facili da dirottare. Quando un hacker prende il controllo di un gruppo di questi dispositivi, può trasformarli in un enorme, invisibile esercito capace di travolgere le reti o rubare dati. Per fermare questo, gli esperti di sicurezza devono sapere esattamente che tipo di dispositivo sta comunicando su una rete e se si sta comportando normalmente. Tuttavia, identificare questi dispositivi è complicato. Il loro comportamento cambia a seconda di ciò che stanno facendo in un dato momento: una telecamera potrebbe apparire completamente diversa sulla rete quando viene accesa per la prima volta, quando è inattiva e quando sta registrando attivamente un video.

I ricercatori della Dalhousie University e di Solana Networks si sono posti l'obiettivo di risolvere questo problema creando un nuovo sistema chiamato NIMSAFE. Invece di cercare di forzare tutti i dispositivi in una singola categoria rigida, il loro approccio presta grande attenzione allo stato attuale del dispositivo. Hanno osservato nove diversi tipi di moderni dispositivi intelligenti, inclusi caffettiere, campanelli e telecamere di sicurezza, e hanno registrato il loro traffico di rete in tre modalità distinte: il momento in cui si accendono, quando sono inattivi e quando vengono utilizzati attivamente. Analizzando le impronte digitali lasciate da questi dispositivi mentre comunicano, il team ha costruito un modello di apprendimento automatico capace di identificare non solo il tipo di dispositivo, ma anche se sta agendo normalmente o se è stato compromesso da una botnet o da un attacco denial-of-service.

I ricercatori hanno scoperto che lo stato del dispositivo contava enormemente. Quando hanno addestrato il loro sistema utilizzando dati provenienti da dispositivi che venivano utilizzati attivamente, il modello ha performato significativamente meglio rispetto a quando è stato addestrato su dati provenienti da dispositivi che stavano appena iniziando l'avvio o che erano inattivi. Ciò suggerisce che i pattern di comunicazione più complessi e unici avvengono quando un dispositivo sta svolgendo il suo vero lavoro. Per garantire che il loro sistema fosse robusto, lo hanno testato contro una vasta gamma di algoritmi di apprendimento automatico. Hanno scoperto che un metodo noto come Random Forest, che funziona combinando le decisioni di molti semplici alberi decisionali, era di gran lunga superiore ad altre tecniche comuni. Mentre altri modelli faticavano a distinguere tra diversi dispositivi o non riuscivano a riconoscere interamente certi tipi di hardware, l'approccio Random Forest manteneva un'alta precisione attraverso tutti i diversi tipi di dispositivi e stati operativi.

Un grande ostacolo in questo campo è la mancanza di dati etichettati. Per addestrare un computer a riconoscere una minaccia, gli esperti devono solitamente etichettare manualmente migliaia di esempi di traffico normale e malevolo, un processo lento e costoso. Il sistema NIMSAFE affronta questo problema utilizzando una tecnica chiamata auto-addestramento (self-training). I ricercatori sono partiti con una piccola quantità di dati etichettati, solo il 20 percento della loro collezione totale, e hanno lasciato che il modello insegnasse a se stesso utilizzando i restanti dati non etichettati. Sorprendentemente, il sistema addestrato su questa piccola frazione di esempi noti ha performato quasi quanto un sistema addestrato sull'intero dataset. Questa scoperta suggerisce che i sistemi di sicurezza potrebbero essere implementati efficacemente anche quando gli esperti hanno pochissimo tempo per etichettare i dati, poiché il modello può imparare il resto da solo con un'alta affidabilità.

Il team voleva anche capire perché il loro sistema commetteva talvolta errori, quindi ha utilizzato strumenti progettati per spiegare come l'intelligenza artificiale prenda le decisioni. Guardando dentro il modello, hanno scoperto che il sistema faceva affidamento pesantemente su dettagli specifici riguardanti il modo in cui i pacchetti di dati si muovevano, come la dimensione dei dati inviati, la tempistica delle connessioni e le impostazioni specifiche utilizzate dai protocolli di comunicazione sottostanti. Questi approfondimenti li hanno aiutati a vedere che il sistema non stava indovinando casualmente, ma stava prendendo decisioni basate su caratteristiche concrete e misurabili del traffico di rete. In un test finale, hanno sfidato il sistema a distinguere tra l'attività normale del dispositivo e attacchi sofisticati, inclusi i botnet che imitano il traffico legittimo per nascondersi in piena vista. Il sistema ha avuto successo con una precisione di quasi il 99,9 percento, identificando correttamente la stragrande maggioranza delle minacce. La minuscola frazione di errori che si sono verificati non è stata dovuta al fallimento del modello, ma al fatto che alcuni traffici malevoli erano così simili al comportamento normale del dispositivo che persino gli strumenti più avanzati li trovavano quasi indistinguibili.

Questo lavoro dimostra che per mettere in sicurezza l'Internet delle Cose, dobbiamo guardare ai dispositivi non come oggetti statici, ma come sistemi dinamici che cambiano costantemente il proprio comportamento. Concentrandosi su come i dispositivi agiscono quando vengono accesi, inattivi o attivi, e utilizzando tecniche di apprendimento intelligente che richiedono meno supervisione umana, è possibile costruire un sistema di sicurezza che sia sia accurato che pratico. I risultati suggeriscono che i futuri strumenti di sicurezza dovranno essere abbastanza flessibili da adattarsi allo stato mutevole dei dispositivi che proteggono, utilizzando proprio i pattern del comportamento normale per individuare i segni sottili di un attacco.