Come si difendono le reti di sensori dagli attacchi invisibili?

Le reti di sensori wireless (WSN) sono il cervello di molte applicazioni: agricoltura di precisione, città intelligenti, case connessi e monitoraggio ambientale. Però, proprio perché operano in modo autonomo, sono vulnerabili a due attacchi subdoli: il wormhole e il sinkhole. Il wormhole crea un tunnel fantasma che fa credere ai nodi di essere più vicini di quanto non siano, riducendo il numero di hop e facendo arrivare i dati più velocemente, ma in realtà li devia verso l’attaccante. Il sinkhole, invece, attira tutto il traffico verso un nodo malevolo, sovraccaricandolo e rompendo l’equilibrio della rete.

Un team di ricercatori ha costruito un banco di prova reale usando ZigBee e GSM/GPRS per simulare questi attacchi. Hanno osservato che, durante un wormhole, il conteggio degli hop è sceso da 4 a 3, il ritardo è aumentato del 40 % e più del 30 % dei dati era falsificato. Con il sinkhole, il traffico verso il nodo compromesso è cresciuto del 27 %, creando congestione.

Per contrastare il problema, hanno ideato una metodologia a più fasi: raccolta dati, pre‑elaborazione, rilevamento anomalie con la regola dei 3‑sigma e decisione basata sul rischio. I risultati mostrano che il sistema individua in tempo reale accorciamenti di percorso, perdite di pacchetti e manipolazioni dei dati, permettendo una risposta rapida. In pratica, combinare l’anomalia‑based detection con le tecnologie ZigBee e GSM/GPRS rende le reti più robuste e pronte a difendersi da minacce emergenti.

Le reti di sensori wireless (WSN) sono tipicamente costituite da nodi a bassa potenza che comunicano tramite protocolli di tipo mesh, come ZigBee (IEEE 802.15.4). La topologia dinamica rende la rete flessibile ma anche sensibile a manipolazioni a livello di routing. L’attacco wormhole sfrutta la capacità di due nodi collusori di creare un canale di comunicazione a bassa latenza (spesso via cavo o radio a lungo raggio) che collega due punti distanti della rete. I pacchetti inviati attraverso questo tunnel sembrano percorrere un percorso più breve, inducendo i protocolli di routing a preferire il percorso compromesso. Dal punto di vista matematico, il wormhole altera la matrice di adiacenza del grafo di rete, riducendo il valore medio dei cammini più brevi (average shortest path) e aumentando la centralità di betweenness dei nodi attaccanti.

Il sinkhole, invece, si basa su un nodo che annuncia falsamente metriche ottimali (ad esempio, energia residua elevata o distanza minima dal sink) per attirare il traffico. Questo porta a una concentrazione di flusso (traffic concentration) verso il nodo malevolo, incrementando la probabilità di perdita di pacchetti (packet loss) e di ritardi (delay jitter). L’effetto è una degradazione della load balancing e una violazione dell’integrità del percorso (route integrity).

La metodologia proposta combina una pipeline di analisi in tempo reale. Dopo la raccolta dei dati di routing (hop count, RSSI, timestamp), si applica una normalizzazione seguita da un filtro statistico basato sulla regola dei 3‑sigma: ogni valore che si discosta di più di tre deviazioni standard dalla media è segnalato come anomalo. Questo approccio è particolarmente efficace per rilevare variazioni improvvise di hop count o di ritardo, tipiche dei wormhole. Per il sinkhole, si monitorano metriche di flusso (traffic volume per nodo) e si calcolano indici di concentrazione (ad esempio, l’indice di Gini) per identificare squilibri.

Infine, il modulo decisionale utilizza una matrice di rischio che pondera la gravità dell’anomalia (es. % di pacchetti persi) e la probabilità di attacco (frequenza delle occorrenze). In caso di soglia superata, il sistema può attivare contromisure, come il re‑routing dinamico o l’isolamento del nodo sospetto, garantendo così la resilienza della WSN in scenari critici.