[論文レビュー] CyberSpec: Intelligent Behavioral Fingerprinting to Detect Attacks on Crowdsensing Spectrum Sensors

Alberto Huertas Celdrán, Pedro Miguel Sánchez Sánchez+3 more|arXiv (Cornell University)|Jan 14, 2022

Digital Media Forensic Detection被引用数 4

ひとこと要約

本稿では、リソース制約のあるクラウドセンシングスペクトラムセンサーにおけるスペクトラムセンシングデータ改ざん（SSDF）攻撃を、内部システムイベントのモニタリングによって検出する機械学習／デジタルフィンガープrintフレームワーク、CyberSpecを提案する。実際のElectroSenseプラットフォーム上で評価した結果、非教師ありモデルを用いて7つのSSDF攻撃のうち5つについて、100％の真正陽性率（TPR）を達成し、60秒未満の検出時間を実現した。

ABSTRACT

Integrated sensing and communication (ISAC) is a novel paradigm using crowdsensing spectrum sensors to help with the management of spectrum scarcity. However, well-known vulnerabilities of resource-constrained spectrum sensors and the possibility of being manipulated by users with physical access complicate their protection against spectrum sensing data falsification (SSDF) attacks. Most recent literature suggests using behavioral fingerprinting and Machine/Deep Learning (ML/DL) for improving similar cybersecurity issues. Nevertheless, the applicability of these techniques in resource-constrained devices, the impact of attacks affecting spectrum data integrity, and the performance and scalability of models suitable for heterogeneous sensors types are still open challenges. To improve limitations, this work presents seven SSDF attacks affecting spectrum sensors and introduces CyberSpec, an ML/DL-oriented framework using device behavioral fingerprinting to detect anomalies produced by SSDF attacks affecting resource-constrained spectrum sensors. CyberSpec has been implemented and validated in ElectroSense, a real crowdsensing RF monitoring platform where several configurations of the proposed SSDF attacks have been executed in different sensors. A pool of experiments with different unsupervised ML/DL-based models has demonstrated the suitability of CyberSpec detecting the previous attacks within an acceptable timeframe.

研究の動機と目的

• リソース制約のあるクラウドセンシング環境における、リソース制約のあるスペクトラムセンサーを標的とした形式化されたSSDF攻撃モデルの欠如に対処する。
• 限られたデバイスリソース、多様なセンサータイプ、データ整合性の脅威による、SSDF攻撃の検出における課題を克服する。
• 行動的フィンガープリントと非教師あり機械学習／深層学習を活用した、リアルタイム検出に適したスケーラブルで軽量な異常検出フレームワークを開発する。
• 実世界の環境において、個々のデバイス、デバイスタイプ、グローバルモデルの構成における機械学習／深層学習モデルの性能とスケーラビリティを評価する。
• 特定の攻撃（例：Repeat、Freeze）の検出を妨げる行動特徴の欠落を特定し、今後の改善を指向する。

提案手法

• シミュレートされた偽信号、本物の攻撃の隠蔽、両方の組み合わせの3つのグループに分類される、7つの新しいSSDF攻撃（Repeat、Mimic、Confusion、Noise、Spoof、Freeze、Delay）を定義・実装する。
• 仮想メモリ、ファイルシステム、CPU、ネットワーク、スケジューラ、デバイスドライバ、システムコール、乱数生成の8つの内部システムイベントを監視するCyberSpecを設計する。
• 定期的なイベントログから行動特徴を抽出し、異常検出用にデバイス固有の行動的フィンガープリントを構築する。
• 自己符号化器（Autoencoder）、隔離ランダムフォrest（Isolation Forest, IF）、局所的外れ値要因（Local Outlier Factor, LOF）、COPOD、ワンクラスSVM（One-Class SVM, OC-SVM）といった非教師あり機械学習／深層学習モデルを適用し、正常動作からの逸脱を検出する。
• モデルを事前学習し、中央サーバーにデプロイすることで、エッジデバイスの計算負荷を最小限に抑え、リアルタイムでの特徴評価を可能にする。
• 3つの構成（個別デバイスモデル、15％、33％、50％のデバイスを除外したデバイスタイプモデル、すべてのセンサーを統合したグローバルモデル）で実験を実施する。

実験結果

リサーチクエスチョン

• RQ1 リソース制約のあるスペクトラムセンサーにおける7つの新しいSSDF攻撃の行動的シグネイチャは何か？ また、それらはデータ整合性にどのように影響を与えるか？
• RQ2 内部システムイベントの監視を用いて、非教師あり機械学習／深層学習モデルが、これらのSSDF攻撃によって引き起こされる異常をどれほど効果的に検出できるか？
• RQ3 個別モデル、デバイスタイプモデル、グローバルモデルの各構成における、機械学習／深層学習モデルの検出性能とスケーラビリティは、多様なスペクトラムセンサーにおいてどのように評価されるか？
• RQ4 特定のSSDF攻撃を検出するために重要なシステムイベントは何か？ 一方で、検出を制限する現在の欠落（例：ファイル読み込み操作）は何か？
• RQ5 エッジデバイスにおける計算負荷を低く抑えつつ、60秒未満の低遅延検出を実現できるか？

主な発見

• Noise、Spoof、Confusion、Mimic、Delayの5つの攻撃は、すべての3つの実験構成（個別、デバイスタイプ、グローバルモデル）で100％の真正陽性率（TPR）を達成した。
• 自己符号化器、LOF、OC-SVMモデルが最も高い検出性能を示し、監視、前処理、評価の各フェーズを含めた検出時間が60秒未満であった。
• 15％、33％、50％のデバイスをトレーニングから除外したデバイスタイプモデルでも、5つの攻撃で80～70％のTPRと100％の真正陰性率（TNR）を維持した。
• RepeatおよびFreeze攻撃は、ファイル読み込み操作を監視していないため、検出が不十分で、TPRは7～32％にとどまった。
• グローバルモデルのトレーニング時間は770.39秒であったが、テスト時間はわずか0.01～0.04秒であり、リアルタイム展開における低遅延検出の可能性を裏付けた。
• 監視（50秒）、前処理（6.8秒）、評価（2.75秒）を含むフレームワーク全体の検出遅延は60秒未満であり、リアルタイム脅威検出に適していることが確認された。