[論文レビュー] Clustered Federated Learning Architecture for Network Anomaly Detection in Large Scale Heterogeneous IoT Networks

Xabier Sáez-de-Cámara, José Luis Flores+3 more|arXiv (Cornell University)|Mar 28, 2023

Network Security and Intrusion Detection被引用数 9

ひとこと要約

論文は、クラスタリング型連邦学習アーキテクチャを用い、FLパイプラインに無監視のデバイスクラスタリングを統合して、軽量オートエンコーダベースの異常検知モデルを大規模で異種なIoT/IIoTネットワークで訓練し、実脈脈の脅威を含むGothamテストベッドで評価している。

ABSTRACT

There is a growing trend of cyberattacks against Internet of Things (IoT) devices; moreover, the sophistication and motivation of those attacks is increasing. The vast scale of IoT, diverse hardware and software, and being typically placed in uncontrolled environments make traditional IT security mechanisms such as signature-based intrusion detection and prevention systems challenging to integrate. They also struggle to cope with the rapidly evolving IoT threat landscape due to long delays between the analysis and publication of the detection rules. Machine learning methods have shown faster response to emerging threats; however, model training architectures like cloud or edge computing face multiple drawbacks in IoT settings, including network overhead and data isolation arising from the large scale and heterogeneity that characterizes these networks. This work presents an architecture for training unsupervised models for network intrusion detection in large, distributed IoT and Industrial IoT (IIoT) deployments. We leverage Federated Learning (FL) to collaboratively train between peers and reduce isolation and network overhead problems. We build upon it to include an unsupervised device clustering algorithm fully integrated into the FL pipeline to address the heterogeneity issues that arise in FL settings. The architecture is implemented and evaluated using a testbed that includes various emulated IoT/IIoT devices and attackers interacting in a complex network topology comprising 100 emulated devices, 30 switches and 10 routers. The anomaly detection models are evaluated on real attacks performed by the testbed's threat actors, including the entire Mirai malware lifecycle, an additional botnet based on the Merlin command and control server and other red-teaming tools performing scanning activities and multiple attacks targeting the emulated devices.

研究の動機と目的

• 従来のMLアプローチがデータ分離とネットワークオーバーヘッドの課題で苦戦する、大規模で異種のIoT/IIoTネットワークにおける異常検知の課題に対処する。
• データ集約を削減し、データをローカルで分離させるプライバシー保護型の連邦学習を用いた無監督訓練フレームワークを開発する。
• 非IIDデータ分布と異質性に対処するため、FLパイプラインに無監督のデバイスクラスタリング（モデル指紋付け）を統合する。
• 多様なデバイスと実際の攻撃シナリオを備えた現実的なエミュレートIoT/IIoTテストベッドで提案したクラスタリング型FLアーキテクチャを評価する。

提案手法

• ローカルモデルを部分的に訓練させ、パラメータを指紋付けし、データ分布が類似するデバイスをグループ化するクラスタリングを適用するクラスタリング型FLプロセスを提案する。
• クラスタリング結果を並列のクラスタ特化型FL訓練に統合し、単一のグローバルモデルではなく複数の特化型グローバルモデルを生成する。
• flattenedなモデルパラメータの次元削減にPCAを使用し、K-meansクラスタリングとシルエットベースの検証でクラスタ数Kを決定する。
• 良性トラフィック上で訓練された軽量オートエンコーダを用いた無監督異常検知器を実装し、新規サンプルの再構成誤差で評価する。
• 標準のFedAvgを超える適応的なクライアント・サーバ最適化ステップを含む一般化FL最適化フレームワーク（Algorithm 1）を採用する。
• クラスタリング型FLパイプライン内でさまざまなFL集約関数（ServerOptのバリエーション）を評価する。

実験結果

リサーチクエスチョン

• RQ1 クラスタリング型FLとモデル指紋付けを統合することで、非IIDかつ異種のIoTデータを無監督異常検知に効果的に対処できるか。
• RQ2 提案するクラスタリングベースのFLアプローチは、IoT/IIoTネットワークにおける単一のグローバルモデルと比較して収束と検知性能を改善するか。
• RQ3 軽量オートエンコーダは、このFL対応の異種環境で無監督異常検知器としてどの程度機能するか。
• RQ4 大規模IoT配置におけるクラスタリング手順がネットワークオーバーヘッドとプライバシー保護に与える影響はどうなるか。

主な発見

• このアーキテクチャは、攻撃データのラベル付け訓練を必要とせず、巨大で異種のIoT/IIoTネットワークで無監督異常検知を実現する。
• モデル指紋付けとPCAおよびK-meansを組み合わせることで、ローカルモデル更新に基づきデバイスを効果的にクラスタリングし、クラスタ特化型FL訓練を可能にする。
• クラスタリング型FLパイプラインで訓練されたオートエンコーダは、攻撃データを訓練に必要とせず再構成誤差を用いて異常を検出する。
• Gothamテストベッド上で100台のエミュレートデバイス、30個のスイッチ、10個のルータ、実際のMiraiおよびMerlinベースの攻撃シナリオで検証される。
• 実験は最先端のアプローチとの比較を含み、異種環境におけるIoTセキュリティの実用性を示す。