A Crowdsensing Intrusion Detection Dataset For Decentralized Federated Learning Models

Resumo Técnico: Dataset de Detecção de Intrusão para Crowdsensing em Aprendizado Federado Descentralizado

1. Problema e Contexto

O Internet das Coisas (IoT) e, especificamente, o cenário de crowdsensing (onde dispositivos heterogêneos colaboram para coletar dados ambientais), enfrentam desafios críticos de segurança. Dispositivos IoT são alvos frequentes de malware e ataques de intrusão, o que compromete a integridade e disponibilidade do sistema.

As abordagens tradicionais de detecção baseadas em Machine Learning (ML) exigem a centralização dos dados em um servidor, o que levanta sérias preocupações de privacidade e cria um ponto único de falha. O Aprendizado Federado Centralizado (CFL) mitiga a privacidade, mas ainda depende de um servidor coordenador, introduzindo gargalos de escalabilidade e vulnerabilidades.

O Aprendizado Federado Descentralizado (DFL) surge como uma alternativa robusta, eliminando a hierarquia cliente-servidor em favor de topologias peer-to-peer. No entanto, a pesquisa em DFL para IoT é impedida pela falta de conjuntos de dados (benchmarks) realistas que capturem a heterogeneidade dos dispositivos, a distribuição descentralizada dos dados e os padrões de comportamento de malware específicos de IoT. Conjuntos de dados existentes (como NSL-KDD, CICIDS2017, Bot-IoT) são geralmente desatualizados, sintéticos ou focados em cenários centralizados.

2. Metodologia

Os autores desenvolveram um pipeline completo, desde a coleta de dados até a validação experimental, focado em simular um ambiente de crowdsensing IoT descentralizado.

• Ambiente Experimental:

  • Hardware: 8 dispositivos (6 Raspberry Pi 3 e 2 Raspberry Pi 4) atuando como nós de sensores heterogêneos.
  • Plataforma: Utilização da plataforma ElectroSense para monitoramento.
  • Cenários: Coleta de dados em estado benigno e sob 8 cenários de ataque distintos, cobrindo 5 famílias de malware: Botnets (Bashlite), Backdoors (HttpBackdoor, Backdoor, TheTick), Rootkits (Beurk, Bdvl), Ransomware (Ransomware-PoC) e Coinminers (XMRig).
  • Duração: 288 horas de monitoramento contínuo.

• Monitoramento Comportamental (6 Dimensões):
  Para capturar a complexidade dos ataques, foram monitorados seis vetores de comportamento:

  1. Uso de Recursos (CPU, memória, I/O).
  2. Eventos do Kernel.
  3. Chamadas de Sistema (System Calls).
  4. Atividade de Rede.
  5. Operações de Entrada/Saída (I/O).
  6. Acesso ao Sistema de Arquivos.

• Processamento de Dados:

  • Coleta Bruta: 21.582.484 registros brutos.
  • Limpeza: Remoção de metadados irrelevantes, imputação de valores faltantes (zeros) e eliminação de características constantes.
  • Agregação Temporal: Os logs foram agregados em janelas de 30 segundos para equilibrar resolução temporal e estabilidade estatística.
  • Extração de Características:
    • Inicialmente, gerou-se um espaço de 687 características.
    • Aplicou-se seleção de características baseada em testes estatísticos (Chi-quadrado, ANOVA F-value, Informação Mútua).
    • Resultado Final: Um conjunto reduzido e otimizado de 32 características representativas, normalizadas (Min-Max), formando o dataset final com 342.106 registros.

• Validação Experimental:

  • Framework: Utilização do Nebular para simular ambientes DFL.
  • Modelo: Um Perceptron Multicamadas (MLP) leve (32×128×9).
  • Comparação: Avaliação de ML Tradicional, CFL e DFL.
  • Variáveis: Testes com diferentes topologias de rede (totalmente conectada, anel, estrela), números de nós (4 a 32) e distribuições de dados (IID e Não-IID simulado via distribuição Dirichlet).

3. Principais Contribuições

1. Novo Dataset de Referência: Criação do primeiro dataset de crowdsensing IoT especificamente projetado para avaliar modelos de DFL, contendo dados reais de chamadas de sistema, eventos de kernel e tráfego de rede sob ataques variados.
2. Análise de Dimensões Comportamentais: Identificação e validação de que a combinação de seis dimensões de monitoramento é essencial para detectar a diversidade de ameaças em IoT, superando a dependência exclusiva de tráfego de rede.
3. Pipeline de Engenharia de Características: Desenvolvimento de um processo robusto de limpeza, agregação e seleção de características, resultando em um conjunto de dados leve (32 features) adequado para dispositivos com recursos limitados, sem perder poder discriminativo.
4. Benchmarking de DFL: Estabelecimento de uma linha de base experimental comparando ML, CFL e DFL, fornecendo métricas de desempenho e sobrecarga de comunicação sob diversas condições de rede e distribuição de dados.

4. Resultados

• Desempenho do Modelo:
  • O ML Centralizado obteve o melhor desempenho (Acurácia ~0.96), servindo como limite superior.
  • O DFL demonstrou desempenho competitivo, superando o CFL na maioria das configurações. Por exemplo, com 4 nós em topologia totalmente conectada, o DFL atingiu um F1-score de ~0.95, enquanto o CFL foi inferior.
  • O DFL preservou a privacidade (dados locais) com uma queda marginal de desempenho em relação ao ML centralizado, mas com maior robustez e escalabilidade.
• Impacto da Topologia e Nós:
  • O aumento do número de nós (de 4 para 32) reduziu o desempenho devido à fragmentação dos dados (menos dados por nó).
  • A escolha da topologia (Anel, Estrela, Totalmente Conectada) teve impacto mínimo no desempenho do modelo, mas afetou significativamente a sobrecarga de comunicação. Topologias densas geram mais tráfego de dados.
• Heterogeneidade de Dados (Não-IID):
  • Sob distribuições moderadamente não-IID ($\alpha=1$), o desempenho manteve-se estável (~0.93).
  • Sob alta heterogeneidade ($\alpha=0.1$), o desempenho caiu (Acurácia ~0.81), mas o AUC permaneceu alto (0.986), indicando que a estrutura discriminativa do dataset ainda é válida mesmo com dados desbalanceados.
• Robustez a Ataques:
  • O sistema DFL tolerou até 25% de nós adversários (ataque de label flipping) mantendo desempenho aceitável.
  • Acima de 50% de nós maliciosos, o desempenho degradou drasticamente, evidenciando a necessidade de mecanismos de defesa adicionais em cenários extremos.
• Confusão entre Classes: A matriz de confusão mostrou alta precisão na detecção de Rootkits e Coinminers, mas alguma confusão entre Backdoors e Botnets, sugerindo sobreposição de padrões comportamentais em janelas de tempo agregadas.

5. Significância e Impacto

Este trabalho preenche uma lacuna crítica na pesquisa de segurança cibernética para IoT. Ao fornecer um dataset realista e validado para Aprendizado Federado Descentralizado, os autores permitem que a comunidade científica:

• Desenvolva e teste algoritmos de detecção de intrusão que respeitem a privacidade e a descentralização inerentes ao crowdsensing.
• Estude a robustez de modelos distribuídos contra heterogeneidade de dados e ataques adversariais.
• Otimize a troca de informações em redes IoT com recursos limitados, equilibrando precisão e sobrecarga de comunicação.

O dataset e os scripts de código estão disponíveis publicamente, servindo como um padrão de referência para futuras investigações em segurança de IoT, aprendizado federado e detecção de malware comportamental.