An Edge-Based Framework for Wireless Intrusion Detection and Real-Time Unauthorized Device Identification Using ESP32

Resumo Técnico: Uma Estrutura Baseada em Edge para Detecção de Intrusão Sem Fio e Identificação de Dispositivos Não Autorizados em Tempo Real Usando ESP32

Declaração do Problema
A proliferação das comunicações sem fio em residências, instituições de ensino e pequenas empresas introduziu vulnerabilidades de segurança significativas. Embora as redes sem fio facilitem aplicações de IoT, sua abertura inerente as torna suscetíveis ao acesso não autorizado, roubo de largura de banda e ataques maliciosos. Os Sistemas de Detecção de Intrusão (IDS) tradicionais, como Snort e Suricata, baseiam-se na inspeção de pacotes e correspondência de assinaturas, mas são frequentemente impraticáveis para implantações de pequena escala devido aos seus altos requisitos computacionais, dependências de hardware dispendiosas e dependência de infraestrutura em nuvem. Além disso, as soluções de monitoramento de baixo custo existentes muitas vezes carecem de capacidades de alerta em tempo real, concentrando-se, em vez disso, no registro de dados. Há uma necessidade distinta de uma solução de baixo custo, baixo consumo de energia e independente, que possa detectar dispositivos não autorizados sem comprometer a privacidade dos dados através da dependência da nuvem.

Metodologia e Arquitetura do Sistema
A solução proposta é um sistema de alerta de intrusão WiFi de baixo custo construído sobre princípios de computação de borda (edge computing), utilizando o microcontrolador ESP32 como a unidade central de processamento. O sistema opera independentemente de serviços em nuvem, garantindo a privacidade dos dados e reduzindo a latência. A arquitetura é estruturada em quatro camadas distintas:

1. Camada de Monitoramento de Rede: O ESP32 conecta-se à rede sem fio alvo e varre continuamente dispositivos ativos, capturando informações de identificação (especificamente endereços MAC).
2. Camada de Verificação de Dispositivo: Os identificadores de dispositivos detectados são confrontados com uma lista branca (whitelist) pré-definida de endereços MAC autorizados. Qualquer dispositivo que não corresponda à lista branca é sinalizado como suspeito.
3. Camada de Análise de Intrusão: Este bloco de tomada de decisão localizada avalia a legitimidade dos dispositivos. Se um dispositivo não autorizado for confirmado, o sistema aciona um evento de intrusão. Esta camada opera inteiramente no ESP32, minimizando o tempo de resposta.
4. Camada de Geração de Alerta: Ao detectar uma intrusão, o sistema ativa imediatamente mecanismos de alerta duplos: um indicador visual (LED Vermelho) e um alerta sonoro gerado por um módulo DFPlayer Mini e um alto-falante. Um LED Verde indica o status normal.

O fluxo de trabalho envolve a associação do ESP32 com a rede, o monitoramento contínuo de pacotes de dados e a comparação dos dispositivos detectados com a lista branca. Se um dispositivo não autorizado for identificado, o sistema aciona os alertas e continua o monitoramento até que a ameaça seja removida, ponto no qual ele se reinicia automaticamente. A lógica de detecção é matematicamente definida onde um valor de '1' indica uma intrusão que requer a ativação do alerta.

Principais Contribuições
O artigo descreve cinco contribuições primárias para o campo da segurança embarcada:

1. O design de uma estrutura de baixo custo para detecção de intrusão WiFi.
2. A implementação da identificação em tempo real de dispositivos não autorizados.
3. A integração de mecanismos de alerta visual e sonoro para notificação imediata do usuário.
4. O estabelecimento de um modelo de processamento baseado em edge que elimina a dependência de serviços em nuvem.
5. Uma estratégia de implantação escalável adequada para ambientes com recursos limitados, como residências e laboratórios educacionais.

Resultos Experimentais
O sistema foi validado através de experimentos controlados envolvendo dispositivos autorizados, dispositivos não autorizados e cenários mistos.

• Acesso Autorizado: Quando apenas dispositivos da lista branca estavam conectados, o sistema os identificou corretamente como autorizados e não gerou alertas falsos.
• Acesso Não Autorizado: Quando um dispositivo não autorizado se conectou à rede, o ESP32 o identificou com sucesso, classificou-o como suspeito e acionou os alertas visuais e sonoros.
• Remoção da Ameaça: Ao desconectar o dispositivo não autorizado, o sistema limpou automaticamente o aviso e retomou o monitoramento sem intervenção manual.
• Desempenho: O sistema demonstrou um perfil de baixo processamento e baixo consumo de energia. A detecção ocorreu em poucos segundos, determinada principalmente pelo intervalo de varredura da rede. A estrutura operou dentro dos limites de memória do ESP32 sem impactar a qualidade do serviço.

A análise comparativa indica que, embora os IDS empresariais e os serviços de segurança em nuvem ofereçam altas capacidades, eles trazem custos elevados e dependências de nuvem. O sistema ESP32 proposto oferece uma alternativa de baixo custo com alerta em tempo real, tornando-o unicamente adequado para ambientes residenciais e educacionais onde os orçamentos são limitados.

Significância e Alegações
Os autores alegam que este trabalho fornece uma alternativa viável e de baixo custo aos sistemas comerciais de detecção de intrusão caros. Ao aproveitar as capacidades integradas de WiFi e baixo consumo de energia do ESP32, o sistema oferece uma solução de segurança "independente" (standalone) que aumenta a privacidade dos dados ao evitar dependências de servidores externos. O artigo enfatiza que o sistema é particularmente eficaz para redes de pequena escala onde opções de cibersegurança avançadas são financeiramente inviáveis.

Os autores mantêm um escopo modesto em relação às capacidades atuais do sistema, reconhecendo que ele depende da verificação de endereço MAC, que é vulnerável a spoofing, e não realiza Inspeção de Pacotes Profunda (DPI) para analisar o conteúdo da carga útil (payload). No entanto, eles postulam que a estrutura demonstra com sucesso a viabilidade do uso de plataformas de computação embarcada para detecção de intrusão sem fio, fornecendo uma base para futuros sistemas de segurança mais inteligentes.