Distributed attacks detection and mitigation for the Internet of Things

The term Internet of Things (IoT) refers to the increasing number of devices that are connected to communication networks and are able to exchange data autonomously. The proliferation of such devices of various types (refrigerator, sensor, television, camera, etc.) with permanent access to the Internet has led to new security problems. In fact, their large number and the lack of state-of-the-art protection mechanisms have made IoT devices interesting targets of cyber-attacks. An early example was the Mirai malware that infected poorly protected IoT devices and misused them for powerful attacks against other Internet hosts. In order to understand the nature of attacks related to the Internet of Things, the thesis starts with a study of the current IoT threat landscape. To this end, we have collected and studied data from a network telescope and various honeypots for IoT-specific application protocols. Our analysis has shown that although most attackers still target the unsecured telnet protocol, attempts against newer IoT protocols can be also observed. To help network operators to discover IoT devices in their networks, we have developed a new scan algorithm tailored to resource-constrained networks. We have shown that our approach reduces the time required to scan an IPv6 network by more than 35%, while maintaining a discovery rate of more than 95%. Finally, we have developed an intrusion detection and protection system in the form of a distributed architecture that detects abnormal behaviour and limits machine-to-machine communication according to policies defined by the device owners. In particular, our solution enables to stop attacks at their sources thanks to a hierarchical organization of inter-connected middleboxes. Traditional Internet services such as web servers are also protected against attacks originating from the monitored IoT devices.Le terme "Internet des objets" (IoT) fait référence aux nombres croissants d’appareils connectés à des réseaux de communication et capables d’échanger des informations de manière autonome. La prolifération de ces appareils de divers types (réfrigérateur, capteur, télévision, caméra, etc.) ayant en prime l’accès à l’internet a entraîné de nouveaux problèmes de sécurité. En effet, vu leur grand nombre couplée à l’absence de mécanismes de protection, ces appareils connectés sont devenus la cible favorite pour les cyber-attaques. Un exemple récent est le malware Mirai qui a infecté beaucoup appareils connectés mal protégés et les a utilisés pour commettre de puissantes attaques contre d’autres hôtes sur Internet. Afin de comprendre la nature des attaques liées à l’internet des objets, nous avons commencé notre thèse par une étude des menaces actuelles liées aux appareils connectés. Nous avons à cette fin recueilli et étudié les données d’un télescope rśeau couplé à divers honeypots utilisant des protocoles applications spécifiques aux IoT. Notre analyse a montré que malgré que les attaquants ciblent encore en majorité le protocole non sécurisé telnet, des tentatives contre les nouveaux protocoles de l’IoT sont tout de même présentes. Dans le but d’aider les opérateurs de réseau à découvrir les appareils connectés dans leurs réseaux, nous avons ensuite mis au point un nouvel algorithme d’analyse adapté aux réseaux à ressources limitées. Nous avons montré que notre approche réduit de plus de 35% le temps nécessaire pour l’analyse d’un réseau IPv6, tout en maintenant un taux de découverte de plus de 95% des appareils présents. Enfin, nous avons développé un système de détection et de protection contre les intrusions sous la forme d’architecture distribuée de middleboxes qui détecte les comportements anormaux et qui limite les communications de machine à machine selon des politiques prédéfinies par les propriétaires d’appareils connectés. Notre solution permet notamment de stopper les attaques depuis leurs sources grâce à une organisation hiérarchique de middleboxes. Notre système permet également de protéger les services Internet traditionnels, tels que les serveurs web contre les attaques provenant des appareils connectés surveillés.(FSA - Sciences de l'ingénieur) -- UCL, 202