[論文レビュー] CIoTA: Collaborative IoT Anomaly Detection via Blockchain

Tomer Golomb, Yisroel Mirsky+1 more|arXiv (Cornell University)|Mar 10, 2018

Network Security and Intrusion Detection参考文献 21被引用数 43

ひとこと要約

CIoTAは、リソース制約のあるIoTデバイス上での分散協調異常検知のための軽量なブロックチェーンベースのフレームワークで、Extensible Markov Modelsと peer consensus を用いて信頼モデルを更新します。評価は48ノードの Raspberry Pi IoT テストベッドで行われました。

ABSTRACT

Due to their rapid growth and deployment, Internet of things (IoT) devices have become a central aspect of our daily lives. However, they tend to have many vulnerabilities which can be exploited by an attacker. Unsupervised techniques, such as anomaly detection, can help us secure the IoT devices. However, an anomaly detection model must be trained for a long time in order to capture all benign behaviors. This approach is vulnerable to adversarial attacks since all observations are assumed to be benign while training the anomaly detection model. In this paper, we propose CIoTA, a lightweight framework that utilizes the blockchain concept to perform distributed and collaborative anomaly detection for devices with limited resources. CIoTA uses blockchain to incrementally update a trusted anomaly detection model via self-attestation and consensus among IoT devices. We evaluate CIoTA on our own distributed IoT simulation platform, which consists of 48 Raspberry Pis, to demonstrate CIoTA's ability to enhance the security of each device and the security of the network as a whole.

研究の動機と目的

• トレーニングおよびデプロイメント段階における教師なし異常検知システム（IDS）の脆弱性に対処する。
• デバイスの制約を維持しつつ、協調的なモデル更新を通じて検知性能を向上させる、拡張性のある分散型フレームワークを提案する。
• ローカルに訓練されたモデルを信頼できるグローバルモデルへ段階的に統合するために、ブロックチェーンベースの合意を活用する。
• 敵対的攻撃に対するロバスト性を評価し、IoTハードウェア上の軽量な運用オーバーヘッドを測定する。

提案手法

• Extensible Markov Model (EMM) を用いて、制御フローの挙動をメモリ領域と遷移として表現する。
• ローカルに訓練されたモデルをブロックとチェーンに組織化する。ブロックは L 件の報告を含み、合意によって検証されると閉じられる。
• 複数のEMMをCombined Modelにマージする。合意ルール pc と各遷移に対するマージ式 M = nij/ni を用いる。
• ローカルモデルと比較してマージ済みモデルを検証するため、距離ベースの基準 α (VerifyML) を用いる。
• 署名とTrustZoneベースの対称鍵アプローチにより、デバイス間通信とブロックの完全性を保護する（PKIは任意）。
• 事前に定義されたパラメータ (T, L, pc, α, pthr) を用いて、48-device IoTシミュレーションプラットフォーム（Raspberry Pi）上でスケーラビリティとセキュリティを評価する。

実験結果

リサーチクエスチョン

• RQ1 多数のIoTデバイス間の協力は、孤立したモデルと比べて異常検知性能をどの程度改善できるか。
• RQ2 ローカルモデルの敵対的操作に対してCIoTAは耐性を示し、グローバルチェーンのセキュリティと信頼を維持できるか。
• RQ3 リソース制約のあるデバイス上でのCIoTAのオンボード計算量とメモリオーバーヘッドはどれくらいか。
• RQ4 ブロック内で毒性のあるまたは不正なモデルを受け入れを、ブロックチェーンベースの合意は信頼性高く防げるか。
• RQ5 ブロックサイズと合意閾値が検知遅延と偽陽性率に与える影響は何か？

主な発見

• 共同で形成されたCombined Modelsは単一モデルより収束が速く、より強力な異常検知を提供し、L = 20 で低い偽陽性で明確なマルウェア検知を実現する。
• 悪意のコードがアプリケーションと異なる場合は、Combined Modelの合意フィルタリングにより拒否される。
• 攻撃されたモデルが正当な制御フローに似ている場合でも、モデルの pc が侵害されない限り、合意機構は感染したモデルの広範な受け入れを防ぐ。
• CIoTAのIoTデバイス上の実行時オーバーヘッドは控えめで、約6.5% CPU、約60 KB メモリ、約260 KB 実行ファイルサイズ。
• 48台のRaspberry Piデバイスでの評価は、CIoTAがローカル攻撃を検知し、敵対的操作に耐性を示す能力を実証している。
• このフレームワークは大規模な産業環境やスマートシティに適しており、各IoTモデル/ファームウェアが独自のチェーンを維持している。