Detección de botnets en escenarios de IoT mediante técnicas de inteligencia artificial

Rodríguez García, María
García Moros, José (dir.) ; Alesanco Iglesias, Álvaro (dir.)

Universidad de Zaragoza, EINA, 2024
Departamento de Ingeniería Electrónica y Comunicaciones, Área de Ingeniería Telemática

Máster Universitario en Ingeniería de Telecomunicación

Resumen: El objetivo del Trabajo Fin de Máster (TFM) es evaluar la efectividad de diversos algoritmos de clasificación en la detección de tráfico malicioso en el entorno de Internet de las Cosas (IoT) utilizando conjuntos de datos específicos que incluyen tanto tráfico benigno como diversos tipos de ataques. Además, este trabajo muestra y discute el análisis multi-base de datos y examina cómo la heterogeneidad de estas bases afecta los resultados conjuntos complicando su aplicabilidad final. En este trabajo fin de máster se ha analizado el entorno IoT actual, abarcando desde los dispositivos más utilizados hasta los más atacados, así como las amenazas más comunes, con un enfoque especial en la botnet Mirai y sus ataques típicos. Se han estudiado diversos conjuntos de datos IoT, seleccionando IoTD20, IoT-23 y CIC-IoT-2023, que incluyen tráfico benigno y ataques como DDoS, fuerza bruta y escaneo de puertos. Se ha propuesto un exhaustivo banco de pruebas para evaluar nueve algoritmos de clasificación (Decision Tree, Gaussian Naive Bayes, Bernouilli Naive Bayes, Stochastic Gradient Descent, Random Forest, Bagging con Decision Tree, AdaBoost con Decision Tree, NearestCentroid y Multilayer Perceptron) que permitan diferenciar entre tráfico benigno y malicioso. Se utilizó la herramienta Zeek para extraer y etiquetar la información de los flujos de tráfico. Las librerías Scikit-learn, Pandas y Dask se emplean para el preprocesado y análisis de datos. Las pruebas se han realizado en clasificación binaria y multiclase, demostrando que los algoritmos basados en árboles de decisión (Decision Tree, Random Forest, Boosting Tree y Bagging Tree) resultaron ser los más eficientes, alcanzando valores F1 superiores a 0.99 en la evaluación individual de los datasets y a 0.9 en la mayoría de las pruebas de evaluación con datasets combinados. Los resultados indican que los modelos entrenados con datos distintos al conjunto de evaluación son subóptimos, resaltando la necesidad de incluir datos y ataques variados para obtener resultados más realistas y eficientes en la detección de botnets. Los resultados obtenidos en este trabajo subrayan la importancia de usar datasets adecuados para evaluar la efectividad de los modelos de Machine Learning en la detección de botnets, asegurando su aplicabilidad en entornos reales y diversos.

Tipo de Trabajo Académico: Trabajo Fin de Master