لایب سان

Data Mining Techniques for Intrusion Detection on the Internet of Things Field Marco Carrat`u, Francesco Colace, Angelo Lorusso, Antonio Pietrosanto, Domenico Santaniello, and Carmine Valentino(B) DIIn, University of Salerno, Fisciano, SA, Italy {mcarratu,fcolace,alorusso,pietrosanto,dsantaniello,cvalentino}@unisa.it Abstract. Over the years, the Internet of Things (IoT) paradigm has acquired great importance due to various application possibilities. The need for Intrusion Detection System (IDS) arises related to the widespread of smart tools connected to each other. This paper aims to present a methodology based on data mining techniques to improve the protection of the connection in an Internet of Things application. In particular, this paper exploits machine learning techniques and Rec- ommender Systems. The K-Nearest Neighbor method and a Context- Aware Recommender System allow the identification of attacks. A mul- ticlassification module based on binary perceptron classifiers with a one- versus-one strategy allows the identification of the attack typology. The obtained numerical results are promising. Keywords: Internet of Things · Intrusion detection system · Data mining · Machine learning · Classification · Recommender Systems 1 Introduction Over the years, the Internet of things (IoT) [1,2] paradigm has empowered people to improve their daily life and develop a lot of new possibilities. The acronym IoT refers to a set of connected smart tools able to exchange information with each other. This information allows providing services to users that can interact with them. The services and the interaction allow applying IoT to various fields such as smart cities [3], smart buildings [4], smart homes [5], Industry 4.0 [6], or cultural heritage fields [7,8]. The possibility of managing smart sensors through a central device connected to the Internet and of being able to transfer sensitive information introduces a security problem. The cyber-security [9–12] issue arose with the diffusion of the Internet to the public and implied the rise of cyber crimes, which consist of illicit activity to achieve criminal purposes through a computer or a computing device. Cyber crimes can be classified into various categories, such as cyberstalk- ing, cyber terrorism, phishing, and cybersquatting, and are achieved through a cyber attack, indeed the attempt of non-authorized access. The cyber attack, strictly related to cyber crimes, can be divided into two typologies: insider or c© The Author(s), under exclusive license to Springer Nature Switzerland AG 2023 N. Nedjah et al. (Eds.): ICSPN 2021, LNNS 599, pp. 1–10, 2023. https://doi.org/10.1007/978-3-031-22018-0_1 2 M. Carrat`u et al. external attack. Moreover, cyber-attacks can be performed by an organization with specific objectives, such as money or cyber-espionage, or they can be per- formed by an individual that aims for revenge or recognition. Cyber-attacks exploit malware (malicious software) [13–17] that can assume various forms, such as adware, spyware, virus, worms, and trojan horse. The evolution of malware increases the network vulnerability and raises the security requirement on the Internet of Things paradigm to guarantee sensitive data protection [18]. The introduction of Intrusion Detection Systems aims to identify data traffic anomalies and illicit activities through the network [19]. Because of the evolution of malware and its variety, there are four main Intrusion Detection techniques [20–22]: – Signature-based approaches [23] require a dataset that collects the main fea- tures of attacks to identify patterns and similarities with the possible new attacks. These approaches return a low level of false alarms. On the other hand, the principal limit of these approaches consists of the inability to rec- ognize new attack typologies that the database does not include. – Anomaly-based approaches [23] exploit every change of the usual behaviors in the network to identify possible attacks. The principal limit of anomaly-based techniques consists of the high percentage of false alarms caused by identifying anomalies even in new behaviors that are not illegal. These approaches can be further divided into: • Statistical-based approaches [20]; • Knowledge-based approaches [20]; • Anomaly-based approaches through machine learning techniques [20]. – Specification-based approaches, similar to anomaly-based ones, aim to iden- tify behaviors that are different from usual ones. But the main difference with anomaly-based approaches consists of using roles and thresholds determined by experts. Indeed, the ability to identify attacks does not exploit automatic techniques but the knowledge of humans that allows the system to understand behavior changes. – Hybrid approaches take advantage of Signature-based, anomaly-based, and specification-based techniques to improve the limits of the singular method and identify attacks. Developing reliable detection techniques allows for protecting sensitive data in the Internet of Things paradigm. In particular, this paper aims to create a detection technique based on two data mining methods: K-Nearest Neighbor, Context-Aware Recommender Systems (CARSs), and the Perceptron [24] algo- rithm for multiclassification. The K-Nearest Neighbor (KNN) [25] represents an instance-based machine learning technique that exploits similarity measures to make predictions. It falls into the classification algorithms and takes advantage of a straightforward imple- mentation phase. The similarity measure, that KNN exploits, is the Minkowski distance [26]: Data Mining Techniques for Intrusion Detection 3 dp(x, y) = (∑n i=1 |xi − yi|p) 1 p x, y ∈ Rn () This distance becomes the Manhattan distance when p = 1, and the Euclidean one when p = 2. Recommender Systems (RSs) [27–29], instead, are data filtering and analysis tools able to provide suggestions to users according to their preferences. In par- ticular, CARSs [30] exploit context [31,32] to improve the provided forecasts, where the context is defined as any information able to influence system entities (users and items) and their interaction with the system. These two tools will be exploited to develop an intrusion detection [35] method in an Internet of Things application. Instead, the multiclassification through the Perceptron algorithm allows identifying the attack typology. In par- ticular, this paper is structured as follows: Sect. 2 contains the related works, Sect. 3 describes the proposed approach and presents the related architecture, Sect. 4 introduces the experimental results, and, finally, Sect. 5 contains conclu- sions and future improvements.

چکیده فارسی

تکنیک های داده کاوی برای تشخیص نفوذ در زمینه اینترنت اشیا Marco Carrat`u، Francesco Colace، Angelo Lorusso، Antonio Pietrosanto، Domenico Santaniello و Carmine Valentino(B) DIIN، دانشگاه سالرنو، Fisciano، SA، ایتالیا { mcarratu,fcolace,alorusso,pietrosanto,dsantaniello,cvalentino}@unisa.it چکیده. در طول سال ها، پارادایم اینترنت اشیا (IoT) به دلیل امکانات کاربردی مختلف اهمیت زیادی پیدا کرده است. نیاز به سیستم تشخیص نفوذ (IDS) مربوط به گسترش گسترده ابزارهای هوشمند متصل به یکدیگر است. هدف این مقاله ارائه یک روش مبتنی بر تکنیک های داده کاوی برای بهبود حفاظت از اتصال در یک برنامه اینترنت اشیا است. به طور خاص، این مقاله از تکنیک‌های یادگیری ماشین و سیستم‌های توصیه‌کننده بهره‌برداری می‌کند. روش K-Nearest Neighbor و یک سیستم توصیه‌کننده Context-Aware امکان شناسایی حملات را می‌دهد. یک ماژول چند طبقه بندی بر اساس طبقه بندی کننده های پرسپترون باینری با استراتژی یک در مقابل یک امکان شناسایی نوع شناسی حمله را فراهم می کند. نتایج عددی به دست آمده امیدوارکننده است. کلمات کلیدی: اینترنت اشیا · سیستم تشخیص نفوذ · داده کاوی · یادگیری ماشینی · طبقه بندی · سیستم های توصیه کننده 1 مقدمه در طول سال ها، الگوی اینترنت اشیا (IoT) [1,2] مردم را قادر ساخته است تا زندگی روزمره خود را بهبود بخشند و توسعه دهند. بسیاری از امکانات جدید مخفف اینترنت اشیا به مجموعه ای از ابزارهای هوشمند متصل که قادر به تبادل اطلاعات با یکدیگر هستند اشاره دارد. این اطلاعات به کاربران امکان می دهد خدماتی ارائه دهند که بتوانند با آنها تعامل داشته باشند. این خدمات و تعامل امکان اعمال IoT را در زمینه های مختلف مانند شهرهای هوشمند [3]، ساختمان های هوشمند [4]، خانه های هوشمند [5]، صنعت 4.0 [6] یا زمینه های میراث فرهنگی [7،8] می دهد. امکان مدیریت حسگرهای هوشمند از طریق یک دستگاه مرکزی متصل به اینترنت و امکان انتقال اطلاعات حساس یک مشکل امنیتی را ایجاد می کند. موضوع امنیت سایبری [9-12] با انتشار اینترنت به عموم مردم پدید آمد و حاکی از افزایش جرایم سایبری بود که شامل فعالیت غیرقانونی برای دستیابی به اهداف مجرمانه از طریق رایانه یا دستگاه محاسباتی است. جرایم سایبری را می‌توان به دسته‌های مختلفی از جمله جعل سایبری، تروریسم سایبری، فیشینگ و اسکواتینگ سایبری طبقه‌بندی کرد و از طریق حمله سایبری، در واقع تلاش برای دسترسی غیرمجاز، به دست می‌آید. حمله سایبری، که به شدت با جرایم سایبری مرتبط است، می تواند به دو نوع تقسیم شود: خودی یا c© The Author(s)، تحت مجوز انحصاری Springer Nature Switzerland AG 2023 N. Nedjah et al. (ویرایش): ICSPN 2021, LNNS 599, pp. 1-10, 2023. https://doi.org/10.1007/978-3-031-22018-0_1 2 M. Carrat`u et al. حمله خارجی علاوه بر این، حملات سایبری می تواند توسط یک سازمان با اهداف خاص مانند پول یا جاسوسی سایبری انجام شود، یا می تواند توسط فردی انجام شود که هدف آن انتقام یا شناسایی است. حملات سایبری از بدافزارها (نرم افزارهای مخرب) [13-17] سوء استفاده می کنند که می توانند اشکال مختلفی مانند ابزارهای تبلیغاتی مزاحم، جاسوس افزارها، ویروس ها، کرم ها و اسب تروجان را به خود بگیرند. تکامل بدافزار آسیب‌پذیری شبکه را افزایش می‌دهد و الزامات امنیتی در پارادایم اینترنت اشیاء را برای تضمین حفاظت از داده‌های حساس افزایش می‌دهد [18]. هدف معرفی سیستم‌های تشخیص نفوذ شناسایی ناهنجاری‌های ترافیک داده و فعالیت‌های غیرقانونی از طریق شبکه است [19]. به دلیل تکامل بدافزار و تنوع آن، چهار تکنیک اصلی تشخیص نفوذ وجود دارد [20-22]: - رویکردهای مبتنی بر امضا [23] به مجموعه داده ای نیاز دارند که ویژگی های اصلی حملات را برای شناسایی الگوها و شباهت ها با حملات جمع آوری می کند. حملات جدید احتمالی این رویکردها سطح پایینی از آلارم های کاذب را برمی گرداند. از سوی دیگر، محدودیت اصلی این رویکردها شامل ناتوانی در تشخیص انواع حملات جدید است که پایگاه داده شامل نمی شود. - رویکردهای مبتنی بر ناهنجاری [23] از هر تغییر رفتارهای معمول در شبکه برای شناسایی حملات احتمالی سوء استفاده می کنند. محدودیت اصلی تکنیک های مبتنی بر ناهنجاری شامل درصد بالای هشدارهای کاذب ناشی از شناسایی ناهنجاری ها حتی در رفتارهای جدید غیرقانونی است. این رویکردها را می توان بیشتر به موارد زیر تقسیم کرد: • رویکردهای مبتنی بر آمار [20]; • رویکردهای دانش محور [20]; • رویکردهای مبتنی بر ناهنجاری از طریق تکنیک های یادگیری ماشین [20]. - رویکردهای مبتنی بر مشخصات، مشابه رویکردهای مبتنی بر ناهنجاری، با هدف شناسایی رفتارهایی متفاوت از رفتارهای معمولی هستند. اما تفاوت اصلی با رویکردهای مبتنی بر ناهنجاری، استفاده از نقش ها و آستانه های تعیین شده توسط متخصصان است. در واقع، توانایی شناسایی حملات از تکنیک‌های خودکار بهره‌برداری نمی‌کند، بلکه از دانش انسان‌ها استفاده می‌کند که به سیستم اجازه می‌دهد تا تغییرات رفتار را درک کند. - رویکردهای ترکیبی از تکنیک‌های مبتنی بر امضا، مبتنی بر ناهنجاری و مبتنی بر مشخصات برای بهبود محدودیت‌های روش منفرد و شناسایی حملات بهره می‌برند. توسعه تکنیک‌های تشخیص قابل اعتماد امکان محافظت از داده‌های حساس در الگوی اینترنت اشیاء را فراهم می‌کند. به طور خاص، هدف این مقاله ایجاد یک تکنیک تشخیص مبتنی بر دو روش داده کاوی است: K-نزدیکترین همسایه، سیستم‌های توصیه‌کننده آگاه از زمینه (CARS)، و الگوریتم Perceptron [24] برای چند طبقه‌بندی. K-Nearest Neighbor (KNN) [25] یک تکنیک یادگیری ماشینی مبتنی بر نمونه را نشان می دهد که از معیارهای شباهت برای پیش بینی استفاده می کند. در الگوریتم‌های طبقه‌بندی قرار می‌گیرد و از یک مرحله پیاده‌سازی ساده بهره می‌برد. معیار تشابه، که KNN از آن بهره برداری می کند، فاصله مینکوفسکی است [26]: تکنیک های داده کاوی برای تشخیص نفوذ 3 dp(x, y) = (∑n i=1 |xi − yi|p) 1 p x, y ∈ Rn () این فاصله زمانی که p = 1 به فاصله منهتن تبدیل می شود و زمانی که p = 2 به یک فاصله اقلیدسی تبدیل می شود. سیستم های توصیه کننده (RSs) [27-29]، در عوض، ابزارهایی برای فیلتر کردن و تجزیه و تحلیل داده ها هستند که قادر به ارائه پیشنهادات به کاربران بر اساس ترجیحات آنها هستند. به طور خاص، CARS ها [30] از زمینه [31،32] برای بهبود پیش بینی های ارائه شده بهره برداری می کنند، جایی که زمینه به عنوان هر اطلاعاتی که می تواند بر موجودیت های سیستم (کاربران و آیتم ها) و تعامل آنها با سیستم تأثیر بگذارد تعریف می شود. این دو ابزار برای توسعه یک روش تشخیص نفوذ [35] در یک برنامه اینترنت اشیا مورد سوء استفاده قرار خواهند گرفت. در عوض، چند طبقه بندی از طریق الگوریتم پرسپترون امکان شناسایی نوع شناسی حمله را فراهم می کند. به ویژه ساختار این مقاله به شرح زیر است: بخش. 2 شامل آثار مرتبط، بخش. 3 رویکرد پیشنهادی را تشریح می کند و معماری مربوطه را ارائه می دهد، بخش. 4 نتایج تجربی را معرفی می کند و در نهایت بخش. 5 حاوی نتیجه گیری و پیشرفت های آینده است.