Rethinking IoT Intrusion Detection: Augmenting Routing Metrics with Radio Features

Resumo Técnico: Repensando a Detecção de Intrusão em IoT com Recursos de Rádio

Declaração do Problema
Sistemas de Detecção de Intrusão (IDS) baseados em aprendizado de máquina para redes IoT baseadas em RPL têm dependido tradicionalmente exclusivamente de recursos da camada de roteamento (ex: estatísticas de mensagens de controle RPL como Rank, DIO, DIS e DAO). Os autores argumentam que essa visão centrada no roteamento fornece apenas uma representação parcial do comportamento da rede. Embora estudos anteriores tenham mostrado que ataques de negação de serviço orientados ao RPL impactam significamente o consumo de recursos e a atividade de rádio ao nível do dispositivo (sinais de transmissão/recepção, tempo de CPU, energia), os modelos de IDS existentes frequentemente falham em capturar esses indicadores de camada inferior. Consequentemente, o desempenho de detecção dos modelos atuais permanece sensível a tipos específicos de ataques, topologias e tamanhos de rede, podendo perder ataques sutis que manipulam decisões de roteamento sem alterar drasticamente os volumes de mensagens de controle.

Metodologia
O artigo propõe uma aumentação do conjunto de recursos padrão do RPL ao incorporar recursos de rádio de Transmissão (TX) e Recepção (RX) ao nível do nó. O estudo utiliza um classificador baseado em LSTM projetado para capturar dependências temporais em dados sequenciais de rede.

• Modelo de Sistema: O framework simula uma rede IoT baseada em RPL com um nó sumidouro (sink), nós normais formando um DODAG e um único atacante. O sumidouro agrega passivamente duas categorias de recursos:
  1. Recursos RPL (14 dimensões): Média e desvio padrão de sete estatísticas da camada de roteamento (Rank, DIS enviado/recebido, DIO enviado/recebido, DAO recebido e total de mensagens).
  2. Recursos de Rádio (4 dimensões): Média e desvio padrão das contagens de atividade de TX e RX.
• Aumentação de Recursos: O vetor base ($x^RPL_t$) é concatenado com recursos de rádio para formar um vetor aumentado ($x^{aug}_t$), aumentando a dimensão de entrada de 14 para 18.
• Configuração Experimental: Os autores estenderam scripts de simulação do Cooja/Contiki-NG para extrair logs de rádio. Eles avaliaram a abordagem através de:
  • Três Tipos de Ataque: DIS-Flooding, Local Repair e Worst Parent.
  • Três Variantes Comportamentais: Base, on-off e mudança gradual.
  • Quatro Tamanhos de Rede: 5, 10, 15 e 20 nós.
  • Total de Configurações: 36 configurações experimentais distintas (3 ataques × 3 variantes × 4 tamanhos).
• Arquitetura do Modelo: Um modelo LSTM de classificação binária (tamanho oculto 10, dropout 0.3) treinado com perda de entropia cruzada binária e o otimizador AdamW. Sequências de entrada foram geradas usando uma janela deslizante de tamanho 10.

Principais Contribuições

1. Expansão de Recursos: O trabalho estende o conjunto de recursos base do RPL integrando recursos de rádio de TX e RX, visando capturar o comportamento de comunicação ao nível do nó que é invisível para as estatísticas da camada de roteamento isoladamente.
2. Estudo de Ablação: Os autores comparam sistematicamente cinco configurações de recursos (apenas RPL, apenas TX+RX, RPL+TX, RPL+RX e Completo Aumentado) para isolar o poder discriminativo dos recursos de rádio.
3. Avaliação Abrangente: O estudo avalia o impacto desses recursos através de diversos comportamentos de ataque e escalas de rede, fornecendo uma visão granular de como as métricas de rádio influenciam o desempenho da detecção.

Resultados
A avaliação, medida pelo F1-score, revela que a incorporação de recursos de rádio geralmente melhora o desempenho da detecção, embora a magnitude da melhoria varie conforme o tipo de ataque:

• Desempenho Geral: A inclusão de recursos de TX e RX melhorou o desempenho geral de detecção em até aproximadamente 4% no F1-score em comparação ao uso apenas de recursos da camada de roteamento.
• Descobertas Específicas por Ataque:
  • DIS-Flooding: Todas as configurações performaram altamente (F1 > 0.98). A configuração apenas TX+RX alcançou a maior pontuação (0.990), sugerindo que o ataque induz mudanças fortes e consistentes tanto na atividade de roteamento quanto na de rádio.
  • Local Repair: A configuração apenas TX+RX superou significativamente a linha de base apenas RPL (0.999 vs. 0.980). O estudo observa que a remoção de RX causou uma queda de desempenho maior do que a remoção de TX, indicando que RX é o recurso mais crítico para detectar o surto de mensagens de controle gerado pelos ciclos de reconstrução do DODAG.
  • Worst Parent: Este ataque mostrou o ganho mais notável com recursos de rádio. A linha de base apenas RPL rendeu um F1-score baixo de 0.957, enquanto a configuração apenas TX+RX alcançou 0.998. O conjunto completo de 18 recursos (0.970) performou pior do que o conjunto de apenas rádio, sugerindo que, para este ataque específico, os recursos RPL podem introduzir redundância ou que o impacto do ataque é visível primariamente na atividade de rádio em vez de nas estatísticas de mensagens de controle.
• Separabilidade de Recursos: Estatísticas de Kolmogorov–Smirnov (KS) confirmaram que os recursos de média de RX alcançaram separação perfeita (KS = 1.000) entre as distribuições de normal e ataque em todos os tipos de ataque, enquanto os recursos de média de TX também mostraram forte separação (KS 0.837–0.896).

Significância e Alegações
O artigo alega que confiar apenas em recursos da camada de roteamento fornece uma visão incompleta do impacto do ataque, particularmente para ataques como "Worst Parent" que manipulam sutilmente as decisões de roteamento. Ao demonstrar que os recursos de TX e RX fornecem sinais discriminativos não capturados pelas estatísticas de RPL, os autores argumentam que abordagens de camadas cruzadas (cross-layer) são essenciais para um IDS robusto em ambientes IoT com restrições.

Especificamente, os resultados indicam que a atividade de comunicação do lado do receptor (RX) é um sinal mais discriminativo do que a atividade de transmissão (TX) para a detecção de ataques baseados em RPL. Os autores concluem modestamente que, embora sua abordagem melhore o desempenho, trabalhos futuros são necessários para incorporar métricas adicionais (RSSI, LQI), realizar uma análise formal de importância de recursos e avaliar a generalização entre ataques dos modelos treinados. O trabalho não pretende resolver todos os desafios de detecção, mas destaca o valor tangível de aumentar as métricas de roteamento com recursos de rádio no pipeline experimental atual.