[論文レビュー] A framework for mitigating zero-day attacks in IoT

Vishal Sharma, Jiyoon Kim+4 more|arXiv (Cornell University)|Apr 16, 2018

Network Security and Intrusion Detection参考文献 8被引用数 19

ひとこと要約

本論文は、中央診断システム（CDS）と局所診断システム（LDS）を備えた二重診断システムと、信頼関係の再確立に用いる重要なデータ共有プロトコルを用いて、IoTネットワークにおけるゼロデイ攻撃の検出および緩和を目的とした分散型、文脈グラフベースのフレームワークを提案する。中央集権的アプローチと比較して、運用コストを33%低減し、通信オーバーヘッドを21%削減した。

ABSTRACT

Internet of Things (IoT) aims at providing connectivity between every computing entity. However, this facilitation is also leading to more cyber threats which may exploit the presence of a vulnerability of a period of time. One such vulnerability is the zero-day threat that may lead to zero-day attacks which are detrimental to an enterprise as well as the network security. In this article, a study is presented on the zero-day threats for IoT networks and a context graph-based framework is presented to provide a strategy for mitigating these attacks. The proposed approach uses a distributed diagnosis system for classifying the context at the central service provider as well as at the local user site. Once a potential zero-day attack is identified, a critical data sharing protocol is used to transmit alert messages and reestablish the trust between the network entities and the IoT devices. The results show that the distributed approach is capable of mitigating the zero-day threats efficiently with 33% and 21% improvements in terms of cost of operation and communication overheads, respectively, in comparison with the centralized diagnosis system.

研究の動機と目的

• ゼロデイ脆弱性の増加する脅威に対処すること。これは、パッチ適用の遅延とリアルタイム検出の欠如により、広範な侵害を引き起こす可能性がある。
• 分散型ノードにおける文脈に配慮した分析により、ゼロデイ脅威の早期検出を可能にすることで、脆弱性の開きを短縮すること。
• 脅威検出後の迅速なアラート伝播と自動的信頼再確立を可能にすることで、IoTネットワークにおける信頼性とレジリエンスを高めること。
• 中央集権的診断モデルと比較して、運用効率を向上させ、通信オーバーヘッドを低減すること。

提案手法

• フレームワークは、局所（LDS）および中央（CDS）レベルでのIoTデバイスの行動状態を表現する文脈グラフモデルを採用し、文脈に依存する異常検出を可能にする。
• 局所サイトに配置された局所診断システム（LDS）と、サービスプロバイダに配置された中央診断システム（CDS）を備えた分散型診断システム（DDS）を実装し、並列な文脈分類を可能にする。
• CDSは戦略的文脈グラフを用いて、保存済みのデバイス状態と下位機器およびデバイスからのリアルタイム文脈データを比較し、ゼロデイ脅威を示す不一致を検出するために、相互排他ルールを適用する。
• 脅威が検出されると、重要なデータ共有プロトコルが起動され、アラートの送信、パッチの配布、HGWおよびIoTデバイスを含むネットワークエントリ間での信頼関係の再確立が行われる。
• 信頼状態の更新を管理し、診断レイヤー間の一貫性を保証するために、カウンタメカニズムとランダム整数値が使用される。
• 本フレームワークは、500台のセンサーを含むシミュレーテッドIoT環境で評価され、分散型（CDS、LDS、SDS）と中央集権型（CDSのみ）の診断モードが比較された。

実験結果

リサーチクエスチョン

• RQ1 分散型診断システムは、中央集権型と比較して、運用コストと通信オーバーヘッドの観点でどのような影響を及ぼすか？
• RQ2 中央集権的診断モデルと比較して、運用コストと通信オーバーヘッドの観点で、分散型診断システムの性能にどのような影響があるか？
• RQ3 重要なデータ共有プロトコルは、デバイスの除去を伴わずに、信頼関係の再確立とゼロデイ脅威の緩和にどの程度効果的か？
• RQ4 文脈グラフベースのモデリングは、動的変化が激しいIoT環境において、誤検出をどの程度低減し、検出精度を向上させることができるか？

主な発見

• 分散型診断システムは、中央集権的診断システムと比較して、運用コストを33%低減した。これは、脅威検出における効率性の向上を示している。
• 分散モデルでは通信オーバーヘッドが21%削減された。これは、スケーラビリティの向上とネットワーク負荷の低減を示している。
• 重要なデータ共有プロトコルは、損傷を受けたデバイスを除去することなく、アラート伝播と信頼関係の再確立を成功裏に実現した。これにより、サービスの中断が最小限に抑えられた。
• 保存済み状態と受信済み状態の間の相互排他ルールを用いた文脈グラフの不一致検出により、フレームワークは効果的にゼロデイ脅威を同定した。
• 戦略的文脈グラフモデルは、デプロイ時および実行時におけるAPやゲートウェイを含むネットワークレイヤー全体でのデバイス行動の追跡に効果的であることが実証された。