Internet of Things (IoT) devices have become increasingly widespread. Despite their potential of improving multiple application domains, these devices have poor security, which can be explored by attackers to build large-scale botnets. In this work, we propose a host-based approach to detect botnets in IoT devices, named IoTDS (Internet of Things Detection System). It relies on one-class classifiers, which model only the legitimate device behaviour for further detection of deviations, avoiding the manual labelling process. The proposed solution is underpinned by a novel agent-manager architecture based on HTTPS, which prevents the IoT device from being overloaded by the training activities. To analyse the device’s behaviour, the approach extracts features from the device’s CPU utilisation and temperature, memory consumption, and number of running tasks, meaning that it does not make use of network traffic data. To test our approach, we used an experimental IoT setup containing a device compromised by bot malware. Multiple scenarios were made, including three different IoT device profiles and seven botnets. Four one-class algorithms (Elliptic Envelope, Isolation Forest, Local Outlier Factor, and One-class Support Vector Machine) were evaluated. The results show the proposed system has a good predictive performance for different botnets, achieving a mean F1-score of 94% for the best performing algorithm, the Local Outlier Factor. The system also presented a low impact on the device’s energy consumption, and CPU and memory utilisation.

A partir da análise de dados espaço-temporais pode-se identificar padrões de movimentação de grupos de objetos, como o padrão flock. Este padrão pode ser definido como um número mínimo de entidades dentro de um espaço delimitado por um disco de diâmetro definido que se deslocam juntos por um certo intervalo de tempo. No entanto, enquanto as trajetórias dos diferentes objetos são coletadas, elas podem apresentar irregularidades por problemas, como falha de sistema, falha por passagem em túneis, etc., gerando perdas nas trajetórias coletadas. Uma solução para este problema é a interpolação de pontos, técnica que geometricamente gera pontos correspondentes a pontos faltantes a partir de dados já coletados. Nesse sentido, o objetivo deste trabalho é incluir técnicas de interpolação em algoritmos on-line para o padrão flock para o tratamento de streams de dados espaço-temporais com perdas com tamanho configurável de memória temporária. A abordagem proposta permite utilizar diferentes métodos de interpolação com baixo overhead e bons resultados em termos de precisão. Comparando os resultados utilizando as streams originais e as streams interpoladas, os experimentos mostraram bons resultados na busca por padrões flock, atingindo até 80% de recuperação de respostas perdidas, sem impactar significativamente no custo de execução dos algoritmos.