Proteção contra malwares e reputação em ambiente de computação em névoa

A segurança da informação é um dos grandes desafios para a computação em névoa, e isso acontece porque:

• Não basta apenas proteger os blocos/nós, mas também é necessário orquestrar todas as diversidades de mecanismos de segurança do sistema — o que exige integração e interoperabilidade das técnicas empregadas;
• O surgimento de novas aplicações e modelos de computação em névoa e IdC traz consigo modificações na superfície de ataque, e novas ameaças surgem de acordo com as peculiaridades do sistema;
• Considerando o nível de pervasividade que os dispositivos de IdC e computação em névoa, a coleta de dados pessoais frequentes exige uma maior preocupação com a proteção e privacidade dos dados.

O McAfee Labs indica que há uma quantidade significativa de ataques baseados em dispositivos de Internet das Coisas, especialmente com botnets para ataques de negação de serviço. Os ataques ocorrem devido, principalmente, ao pouco cuidado com segurança nesses dispositivos e ao alto valor agregado dos dados coletados.

De forma ilustrativa, as sub-seções a seguir discutem a questão de proteção contra malwares como uma das táticas de defesa a ataques externos, e a criação de mecanismo de reputação como uma das táticas de defesa a ataques internos.

Proteção contra malwares

Uma das possíveis táticas de combate a ataques por malware é através da abordagem de detecção de assinatura (entre outras abordagens, como heurísticas, comportamento ou uma mistura das três — mais comum). Nessa abordagem, a assinatura de um malware corresponde a uma estrutura imutável do algoritmo (e.g., um trecho de código), que pode ser detectável em um estado inicial de propagação através de arquivos em disco ou diretamente da memória RAM. Há dois principais modelos de anti-malware baseados em detecção de assinatura, de acordo com o estado da arte da tecnologia: modelo de segurança baseado no dispositivo (através da instalação de agentes de proteção no dispositivo) e modelo de segurança na nuvem (quando a segurança é fornecida através de serviços externos ao dispositivo).

Em relação aos modelos de segurança baseados no dispositivo, um dos seus grandes reveses para ambientes de IdC é o alto consumo de recursos, principalmente porque (i) como o dispositivo precisa receber frequentemente novas assinaturas, há consumo grande de armazenamento e processamento; (ii) o processo de matching das assinaturas armazenadas e dos arquivos analisados depende de um bom nível de desempenho do dispositivo; e (iii) a frequência de atualização pode gerar mais oportunidades de ataques externos. Em relação aos modelos de segurança na nuvem, parte dos problemas com restrição de recursos pode ser resolvido, entretanto a comunicação entre os servidores da nuvem e os dispositivos acaba sendo elevada. A razão é que os dispositivos precisam fazer uploads frequentes de informações, enquanto os provedores precisam munir os dispositivos com algumas informações de assinatura e respostas das análises, de acordo com a estratégia do serviço.

Para resolver essas situações uma das propostas do estado da arte em Computação em Névoa é o CloudEyes [Sun et al, 2017]. Este modelo de segurança é um anti-malware baseado em nuvem, que presta serviços de segurança, proteção de dados e privacidade para dispositivos com restrições de recursos, considerando os seguintes aspectos [Sun et al, 2017]:

• No nível do servidor, há um mecanismo de detecção de assinatura chamado de suspicious bucket cross-filtering (SBCF), que é baseado em estrutura de “rascunho reversível” (reversible sketch). Esse mecanismos é capaz de prover orientações a respeito de fragmentos de softwares maliciosos, reduzindo o tempo computacional dos algoritmos de matching;
• No nível do cliente, implementar agentes “leves” capazes de identificar conteúdos suspeitos de arquivos de acordo com o resumo (digest) do rascunho reversível;
• No nível do mecanismo de interação balanceada entre servidor e cliente, o objetivo é garantir a proteção de dados e privacidade do servidor e do cliente, ao mesmo tempo em que se diminui o consumo de comunicação. Nesse caso, o procedimento envolve o envio para a nuvem, por parte do cliente, de rascunhos de informações de fragmentos dos arquivos suspeitos, ao invés do todo o documento. A partir do servidor da nuvem, são enviados hashes de fragmentos de assinatura de volta para o cliente, em vez de toda a base de dados.

A arquitetura do CloudEyes pode ser verificada na figura abaixo:

Avaliação da reputação de nós da rede

Considerando a utilização de diversos dispositivos geodistribuídos e móveis, recomenda-se a utilização de modelos de reputação em ambientes de computação em névoa para garantir maior confiança nos nós e conexões. O OpenFog Consortium [2017] define que os atributos de confiança de um nó devem ser baseados em comportamento de acordo com o histórico e o nível de hierarquia. Já em [Zhou et al, 2017] é proposto um modelo baseado em duas partes: uma nota atribuída pelos usuários e outra parte referente ao valor básico do provedor de nuvem ou nó. O cálculo de reputação pode ser visto na seguinte equação [adaptada de Zhou et al, 2017]:

Nessa equação, i é o momento que está sendo analisado, u é a identificação do usuário/dispositivo, p(u) corresponde ao peso (rating) daquele usuário no sistema e n(u) é a nota que aquele usuário atribuiu ao serviço fornecido pelo nó e/ou provedor de nuvem. O cálculo do peso de cada usuário na rede pode ser calculado da seguinte forma [Zhou et al, 2017]:

Nessa equação, u(i — 1) é a avaliação do mês anterior (considerando pesos de reputação mensais) e é um parâmetro para feedbacks negativos de acordo com o comportamento que este nó possui na rede. Um exemplo de feedbacks é mostrado na tabela abaixo:

O valor básico da fórmula de reputação , conforme proposto por [Zhou et al, 2017], deve ser baseado numa perspectiva objetiva, utilizar métricas da indústria (como tecnologia de armazenamento, preço e desempenho) e deve ser equivalente a 70–80% do valor da reputação.