Impacto de malwares reais em sistemas industriais com classificação supervisionada usando aprendizado de máquina

Abstract

Os Sistemas de Controle Industrial (ICS) são responsáveis pelo controle de infraestru turas críticas que, por sua acuidade, são frequentemente alvos de ataques cibernéticos motivados por interesses políticos, militares ou financeiros. Os sistemas Supervisórios de Controle e Aquisição de Dados (SCADA) estão entre os principais integrantes dos ICS, e constituem sistemas altamente interconectados que empregam soluções comuns à sistemas computacionais convencionais. Os malwares estão entre as principais ameaças cibernéticas a esses sistemas. Existem dificuldades, bem como impossibilidades, para se testar a resiliência cibernética de um ICS real, sendo necessárias plataformas de testes, testbeds, que consistem em verificar o comportamento nocivo dessas ameaças sem colocar em risco o sistema original. Cumulativamente, uma vez que as ferramentas convencionais de detecção, particularmente as baseadas em assinatura, ficam cada vez mais ineficientes devido à evolução das técnicas evasivas, cresce a necessidade da pesquisa e desenvolvimento de ferramentas automatizadas e dinâmicas para detecção de malwares. Este trabalho apresenta o testbed MalDomE , desenvolvido para a análise e detecção de malwares em sistemas industriais, com verificação de impacto e utilizando técnicas de aprendizado de máquina em dados textuais. O sistema implementado foi ofuscado para evitar técnicas anti-análise e comparado com outros sistemas não adaptados, comprovando ser 60% mais eficiente quanto à ocultação de atributos que o denunciem como um sistema de análise. Conjuntamente, foi realizado um experimento para análise do impacto de um ataque com malwares reais e constatado falhas na comunicação ModBus entre cliente e servidor, resultando em 2,6 vezes mais valores atípicos entre pacotes de requisição e resposta nas amostras de malwares comparadas a amostras de aplicações benignas. Por fim, foi aplicada uma técnica de mineração de textos com dados da memória volátil, submetidos a diversos algoritmos de classificação supervisionada para definição de amostras como malignas ou benignas, nos quais foi obtido como melhor resultado um F-1 de 96,9% com o classificador AdaBoost.