Optimization of intrusion detection systems in wireless sensor networks

RNDr. Martin Stehlík, Ph.D.

Doctoral thesis

Abstract:

Bezdrátové senzorové sítě (Wireless Sensor Networks - WSN) jsou typicky distribuované ad-hoc sítě, které se skládají z desítek až tisíců nízkonákladových výpočetních a komunikačních zařízení – tzv. senzorových uzlů. Senzorový uzel monitoruje prostředí a zasílá měření směrem k základní stanici. WSN jsou zranitelné různými útoky, a proto byla v poslední dekádě navržena celá řada systémů pro detekci průniku (Intrusion Detection System – IDS). Řada útoků může být efektivně detekována distribuovaným IDS, který je nasazen přímo v senzorových uzlech. To ale přináší dodatečné nároky na senzorové uzly. Vzhledem ke skutečnosti, že senzorové uzly jsou jednoduchá zařízení s limitovanými zdroji (mikroprocesor, paměť, energie atd.), způsob použití IDS je potřeba důkladně zvážit. Hlavním cílem této dizertační práce je optimalizace IDS pro WSN. Součástí práce je nová implementace a rozšíření optimalizačního „framework“, který byl navržen dříve. „Framework“ se skládá ze simulátoru, optimalizačního nástroje a podpory pro distribuované výpočty. Přesto, že „framework“ používáme převážně pro IDS, považujeme za reálné, že může být použit k řešení různých optimalizačních úloh ve WSN. V našem případě uvažujeme roli síťového administrátora, který konfiguruje cílovou WSN. Síťový administrátor je schopen poskytnout topologii sítě, způsob směrování v síti, parametry prostředí, použitý hardware a síťové protokoly včetně aplikační vrstvy. Optimalizační „framework“ poskytuje optimalizované nastavení IDS vzhledem k přesnosti IDS a spotřeby zdrojů senzorových uzlů. Simulátory, které jsou součásti i našeho „framework“, jsou velmi často používané ve výzkumu v oboru WSN. Většina experimentů může být jen stěží vyhodnocena na skutečném hardware vzhledem k uvažovanému množství senzorových uzlů a velikosti monitorovaného prostoru. Simulace jsou levné a mohou být realizované jednodušeji a rychleji. Součástí práce je demonstrace, že dostatečně přesný a kalibrovaný simulátor je důležitým předpokladem pro vyhodnocení WSN, zejména bezdrátové komunikace. Práce poskytuje srovnání čtyř široce používaných simulátorů se skutečnou WSN, poukazujeme na jejich výhody a nevýhody a důležitost kalibrace modelů podle cílové WSN a prostředí, ve kterém síť operuje. Klademe důraz na všechny komponenty – model bezdrátového kanálu včetně šumu a interferencí, spotřebu energie a fyzickou, linkovou a síťovou vrstvu komunikačního protokolu. Dizertační práce využívá výsledky předchozí práce, kde byl IDS detekující útok selektivního přeposílání (Selective Forwarding Attack – SFA) optimalizován pomocí evolučních algoritmů. Účelové funkce byly typicky protichůdné (přesnost IDS versus spotřeba zdrojů senzorových uzlů). Kompromis musel být řešen administrátorem ještě před optimalizací pomocí vah přidělených každé účelové funkci. Výsledkem optimalizace bylo jedno nastavení IDS a v případě nevhodnosti tohoto nastavení se musel celý optimalizační proces spouštět znovu. V práci ukazujeme, jak tento problém může být překonán pomocí multikriteriálních evolučních algoritmů (Multi-Objective Evolutionary Algorithms – MOEA). Tento přístup posouvá řešení kompromisu až po vlastní optimalizaci. Výstupem je množina optimalizovaných nastavení IDS, která si navzájem nedominují s ohledem na všechny účelové funkce. Administrátor může měnit nastavení IDS v rámci této množiny kdykoli podle potřeb a zohlednit tak nároky na přesnost IDS nebo zachování zdrojů. Porovnali jsme dva rozšířené MOEA (NSGA-II a SPEA2) s ohledem na konvergenci, diverzitu výstupu a časovou náročnost. Oba algoritmy jsme porovnali ve

Abstract:

48 různých nastaveních. Kolaborace mezi senzorovými uzly může poskytnout přesnější výsledky IDS – každý senzorový uzel má ze své pozice jiný pohled na WSN a komunikaci, která v ní probíhá. V práci ukazujeme výhody kolaborativního IDS oproti nekolaborativnímu a navrhujeme detekční techniku pro detekci útoku zpožďovaní paketů (Delay Attack – DA), který v rámci výzkumné komunity nebyl dosud příliš diskutován. Kolaborativní detekční techniky pro SFA a DA jsou optimalizovány v našem optimalizačním „framework“ pomocí distribuovaných výpočtů. Vyhodnocujeme rovněž různé strategie útočníka pro SFA a DA a poskytujeme doporučení, jak jim bránit. Závěrem analyzujeme vliv změn ve strategii útočníka na přesnost IDS. Na základě těchto analýz vyhodnocujeme robustnost nalezených nastavení IDS (optimalizovaných pro specifickou útočníkovu strategii) v případě použití jiné strategie.

Abstract:

Wireless sensor networks (WSNs) are typically highly distributed ad-hoc networks consisting of tens to thousands of low-cost electronic communication devices called sensor nodes. The sensor nodes monitor environment and report measurements on hop-by-hop basis towards some central point, usually called base station (BS). As WSNs are vulnerable to various attacks, various intrusion detection systems (IDSs) for WSNs have been proposed during last decade. Several attacks can be effectively detected by distributed IDSs deployed directly on the sensor nodes. However, any IDS necessarily brings some computational overhead. Since sensor nodes are devices with very limited resources (microprocessor, memory, energy etc.), a usage of the IDS and its setting has to be considered carefully. Thus, the main focus of this PhD thesis is on an optimization of the IDSs for WSNs. We re-implement and extend an optimization framework proposed in previous work that consists of a simulator, an optimization engine and a support for distributed computation. In spite of the fact that we evaluate the optimization framework only for IDSs, we believe that it can be used to solve various optimization problems for WSNs. In our case, we assume the role of a network operator that configure the target WSN. The network operator provides an assumed or existing topology and routing of the WSN, parameters of the environment, the hardware, and all protocols including the application. As the result, the optimization framework optimizes the IDS with respect to the IDS accuracy and also resource consumption. Simulators of WSNs that we also incorporate into our framework are very often used by researchers in this field. Most of the experiments can hardly be evaluated with real hardware as hundreds of sensor nodes deployed in large spaces are considered. Simulations are inexpensive, can be realized easier and can also accelerate the experiments. We show that accurate and precisely calibrated simulator is an important assumption for evaluation of a WSN and especially of the wireless communication. We compare four widely used simulators with real WSN, show their benefits and drawbacks and especially point out crucial importance of proper calibration of their models according to the target WSN and environment the network would operate in. We lay emphasis on all components -- wireless channel models including noise and interferences, energy consumption, radio, medium access control and network layers. The thesis utilizes results of previous work where an IDS detecting selective forwarding attack was optimized using evolutionary algorithms. The objectives are usually contradictory (IDS accuracy vs. sensor nodes’ resource consumptions) and a trade-off has to be solved by the network operator in advance -- weights have to be given to each of the objectives. A single IDS solution was provided as an output of the optimization process. In case of being unsatisfied with the result, the whole optimization process had to run again. We show how this problem can be overcome by usage of multi objective evolutionary algorithms (MOEAs). This approach postpones the solving of the trade-off after the optimization process because several mutually non-dominated IDS solutions with respect to each of the objectives are provided. The network operator can easily select any of the IDS solutions at any time. We compared two widely used MOEAs (NSGA-II and SPEA2) for their convergence, diversification and time consumption with 48 different settings of each of them on selected attack detection problem. Collaboration among the sensor nodes with IDS can provide more accurate results -- each sensor node has different view of the network. We show the benefits of a collaborative detection technique compared to the non-collaborative detection technique. We also propose a novel detection technique for a delay attack that has not been discussed very much in the community. Collaborative detection techniques

Abstract:

for both selective forwarding and delay attacks are optimized in our optimization framework on distributed manner using BOINC distributed computation platform. We elaborate also on various attacker strategies of the selective forwarding and delay attacks and provide recommendations for setting up the optimization framework to avoid them. Finally, we analyze and evaluate impact of changes in attacker strategy or ratio of malicious nodes present in the WSN on the IDS performance. Based on this, we summarize robustness of each set of IDS solutions (optimized for a specific attacker strategy) in cases with different attacker strategy.

Keywords

wireless sensor network, intrusion detection system, optimization, evolutionary algorithm, simulator, bezdrátová senzorová síť, systém pro detekci průniku, optimalizace, evoluční algoritmus

Language used: English

Date on which the thesis was submitted / produced: 5. 9. 2016

Thesis defence

• Date of defence: 28. 3. 2017
• Supervisor: prof. RNDr. Václav Matyáš, M.Sc.
• Reader: Ing. Martin Rehák, Ph.D., Prof. Javier Lopez

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Informatics