RPL Tabanlı Nesnelerin İnterneti için Katmanlar Arası Saldırı Tespit Sistemi

Internet of Things (IoT) is a heterogeneous network of constrained devices connected both to each other and to the Internet. Since the significance of the IoT has risen remarkably in recent years, a considerable amount of research has been conducted in this area, and especially on, new mechanisms and protocols suited to such complex systems. Routing Procotol for Low-Power and Lossy Networks (RPL) is one of the accepted routing protocols for the IoT. It provides for multi-hop routing and is mainly proposed for multipoint-to-point (MP2P) communication as well as supporting point-to-point (P2P) and point-to-multipoint (P2MP) communication. However RPL, as with many protocols proposed for the IoT, was not purposefully designed with security in mind;hence, certain solutions for securing RPL have been developed in the literature. Intrusion detection systems known as IDSs, which monitor activities in systems and detect intrusions, have become an inevitable part of such security systems, since prevention mechanisms alone are never enough. In this thesis study, a new IDS is proposed for these types of low-power and lossy networks. The IoT exists in a variety of fields such as smart homes, medical care and smart vehicles and with each having different security requirements. Devices in the IoT are interconnected to each other over lossy communication links, but with limited resources, they are also susceptible to attacks. Moreover, since the communication of such devices is provided by RPL, the protocol could also be targeted by internal attackers. In this thesis study, specific attacks against RPL, namely version number attack, worst parent attack and hello flood attack were deeply analyzed. Then, an IDS based on neural networks was proposed in order to detect such attacks. Here, the effects of features taken both from the routing layer and the link layer, were explored, and both binary classification and multi-class classification applied. The proposed system was then evaluated on simulated networks using different percentages of attackers (2%, 6%, 10%, 20%). The study's results showed that the proposed system was able to detect the attacks effectively with a 96.88% detection rate, a 0.13% false positive rate for binary classification, and a 97.52% rate of accuracy for multi-class detection. More specifically, the detection rate was shown to be 93.2% for version number attack, 98.17% for worst parent attack and 99.96% for hello flood attack. Also, with the usage of features related to the link layer in training, the false positive rate was shown to decrease from 0.61% to 0.13%. The positive effect of the link layer's features was especially noted in the detection of version number attacks. To the best of the author's knowledge, this study presents the first cross-layer IDS in the literature.“Nesnelerin İnterneti” (IoT), hem birbirine hem de İnternet'e bağlı kısıtlanmış cihazlardan oluşan heterojen bir ağdır. IoT'nin önemi son yıllarda önemli ölçüde arttığı için, bu alanda, özellikle bu tür karmaşık sistemlere uygun yeni mekanizmalar ve protokoller geliştirilmesi konusunda birçok araştırma yapılmaktadır. “Düşük Güç ve Kayıplı Ağlar için IPv6 Yönlendirme Protokolü” (RPL), IoT için kabul edilen yönlendirme protokollerinden biridir. Birden çok noktaya yönlendirme sağlar ve temel olarak “çok noktadan tek noktaya” (MP2P) iletişimin yanı sıra “noktadan noktaya” (P2P) ve “tek noktadan çok noktaya” (P2MP) iletişimi de destekler. Ancak, RPL, IoT için önerilen birçok protokolde olduğu gibi, ağ güvenliği ön planda tutularak tasarlanmamıştır. Bu nedenle literatürde RPL'nin güvenliğini sağlamak için bazı çözümler geliştirilmiştir. Ağdaki hareketleri izleyen ve izinsiz girişleri tespit eden “Saldırı Tespit Sistemleri” (IDS'ler), bu tür güvenlik sistemlerinin gerekli bir parçası haline gelmiştir, çünkü önleme mekanizmaları tek başına yeterli değildir. Bu tez çalışmasında, bu tür düşük güç kullanan kayıplı ağlar için yeni bir IDS önerilmiştir. IoT, akıllı evler, akıllı araçlar ve tıbbi bakım gibi çeşitli uygulama alanlarında kullanılır ve her bir uygulama farklı güvenlik gereksinimlerine ihtiyaç duyar. IoT'deki cihazlar kayıplı iletişim ağları ile birbirine bağlanır ve sınırlı kaynaklarla bağlantılı olduğundan saldırılara açıktırlar. Ayrıca, bu tür cihazların iletişimi RPL tarafından sağlandığından, iç saldırganların hedefi haline gelebilirler. Bu tez çalışmasında, RPL'ye yönelik versiyon numarası saldırısı, en kötü ebeveyn saldırısı ve merhaba sel saldırısı gibi RPL'e özgü saldırılar detaylıca analiz edilmiştir. Ayrıca bu tür saldırıları tespit etmek için yapay sinir ağı tabanlı bir saldırı tespit sistemi önerilmiştir. Bu aşamada yönlendirme ve bağlantı katmanından alınan özniteliklerin etkileri araştırılmış ve hem ikili sınıflandırma hem de çoklu sınıflandırma uygulanmıştır. Önerilen sistem daha sonra farklı saldırı yüzdeleri (%2, %6, %10 ve %20) kullanılarak da değerlendirilmiştir. Çalışmanın sonuçları, önerilen sistemin ikili sınıflandırma için %96,88 tespit oranı, %0,13 yanlış pozitif oranı ve çoklu sınıflandırma için %97,52 doğruluk oranı ile saldırıları etkili bir şekilde tespit edebildiğini göstermiştir. Daha spesifik olarak, tespit oranının versiyon numarası saldırısı için % 93,2, en kötü ebeveyn saldırısı için % 98,17 ve merhaba sel saldırısı için %99,96 olduğu gösterilmiştir. Ayrıca, yapay sinir ağı eğitiminde bağlantı katmanıyla ilgili özniteliklerin kullanılmasıyla, yanlış pozitif oranın %0.61'den % 0.13'e düştüğü gösterilmiştir. Bağlantı katmanınından alınan özniteliklerin olumlu etkisi özellikle versiyon numarası saldırısının tespitinde gözlenmiştir. Bildiğimiz kadarıyla, bu çalışma literatürdeki ilk katmanlar arası saldırı tespit sistemini sunmaktadır