Σχεδίαση και αξιολόγηση απομακρυσμένου συστήματος ανίχνευσης εισβολών στο IEEE 802.11 με χρήση τεχνικών μηχανικής μάθησης

Abstract

Παρά την ευρεία υιοθέτηση του Διαδικτύου των Πραγμάτων, η ασφάλεια των ενσωματωμένων συσκευών παραμένει ακόμη ένα επείγον θέμα. Οι επιτιθέμενοι συνήθως βρίσκουν τρόπους να εκμεταλλευτούν αυτές τις πτωχά προστατευμένες συσκευές και να φέρουν εις πέρας ακόμη μεγαλύτερες επιθέσεις. Συγκεκριμένα, οι οικιακοί δρομολογητές είναι συνήθως ασθενώς ρυθμισμένοι και στερούνται ασφάλειας λόγω απαρχαιωμένου λογισμικού και αδύναμων διαπιστευτηρίων αυθεντικοποίησης. Σε αυτή τη διατριβή, αναλύουμε την αποτελεσματικότητα και την αποδοτικότητα ενός ασύρματου συστήματος ανίχνευσης εισβολών για σημεία πρόσβασης, βασισμένα στο πρότυπο ΙΕΕΕ 802.11, χρησιμοποιώντας πληροφορίες που αφορούν κλήσεις συναρτήσεων συστήματος. Δεδομένου των περιορισμών του υλικού των σημείων πρόσβασης, επεξηγούμε μία μέθοδο για την υλοποίηση ενός ελάχιστα απαιτητικού συστήματος ανίχνευσης εισβολών εκτελώντας τη διαδικασία της ανίχνευσης στην συσκευή του τελικού χρήστη. Επίσης, δείχνουμε έναν τρόπο για τη μετάδοση πληροφορίας, σχετικής με το σύστημα ανίχνευσης, από το σημείο πρόσβασης στον τελικό χρήστη χωρίς τη συσχέτισή τους. Αυτό γίνεται μέσω του επιπέδου ελέγχου πρόσβασης μέσου του 802.11. Τέλος, αξιολογούμε τη μεθοδολογία μας και καταφέρνουμε να ενιχνεύσουμε το Μιράι, ένα πραγματικό κακόβουλο λογισμικό, με ένα σχετικά μικρό λόγο λανθασμένων συναγερμών. Επίσης, αναφερόμαστε σε κανόνες που βασίζονται στις κλήσεις συναρτήσεων συστήματος και τους λαμβάνουμε υπ' όψιν μας ως ένα επιπρόσθετο μέσω για την ανίχνευση άγνωστου κακόβουλου λογισμικού.

Despite the wide adoption of Internet of Things (IoT), the security of embedded devices still remains am urgent issue. Attackers usually find ways to exploit these - in many cases poorly protected devices - and bring off even bigger attacks. Specifically, home routers are usually weakly configured and they lack security due to outdated firmware of weak authentication credentials. In this thesis, we analyze the effectiveness and the efficiency of a Wireless IDS (WIDS) for IEEE 802.11 access points based on system call information. Given the hardware limitations of access points, we detail on a method for implementing a lightweight IDS by executing the detection task in the end-user's device. We also demonstrate a way to transmit IDS-related data from the access point to an end-user without associating. This is done by means of MAC layer of 802.11. Finally, we evaluate our methodology and we manage to detect Mirai, a real-world malwarem, with a relatively low false positive rate. Also, we elaborate on syscall-based rules and we consider them as an additional functionality for detecting unknown malware.