[論文レビュー] Efficient Intrusion Detection on Low-Performance Industrial IoT Edge Node Devices

Matthias Niedermaier, Martin Striegel+3 more|arXiv (Cornell University)|Aug 11, 2019

Network Security and Intrusion Detection参考文献 19被引用数 5

ひとこと要約

本稿では、統計的異常検出を用いてMCU上で実行する、低パフォーマンスな産業用IoT（IIoT）エッジデバイス向けの軽量で分散型の侵入検知システム（IDS）を提案する。LwIPスタックとFreeRTOSを活用することで、最小限のリソースオーバーヘッドでリアルタイムのトラフィック分析を実現し、DoS、スプーフィング、インジェクションなどの一般的なサイバー攻撃を信頼性高く検出する。IDS負荷下でも平均1.13msの遅延増加と4.23 Mbit/sのスループットを達成している。

ABSTRACT

Communication between sensors, actors and Programmable Logic Controllers (PLCs) in industrial systems moves from two-wire field buses to IP-based protocols such as Modbus/TCP. This increases the attack surface because the IP-based network is often reachable from everywhere within the company. Thus, centralized defenses, e.g. at the perimeter of the network do not offer sufficient protection. Rather, decentralized defenses, where each part of the network protects itself, are needed. Network Intrusion Detection Systems (IDSs) monitor the network and report suspicious activity. They usually run on a single host and are not able to capture all events in the network and they are associated with a great integration effort. To bridge this gap, we introduce a method for intrusion detection that combines distributed agents on Industrial Internet of Things (IIoT) edge devices with a centralized logging. In contrast to existing IDSs, the distributed approach is suitable for industrial low performance microcontrollers. We demonstrate a Proof of Concept (PoC) implementation on a MCU running FreeRTOS with LwIP and show the feasibility of our approach in an IIoT application.

研究の動機と目的

• IIoTデバイスが内部および外部の脅威にさらされることによる、IPベースの産業用ネットワークにおける攻撃表面の拡大に対処する。
• 中央集権型IDSアーキテクチャの限界（高帯域幅消費、スケーラビリティの問題、単一障害点）を克服する。
• 産業制御システムにおける低パフォーマンスなマイコンコントローラーに特化した、実現可能でリソース効率の良いIDSソリューションを開発する。
• 産業4.0環境におけるセキュリティ強化を目的に、リアルタイムでデバイス上でネットワーク異常を検出可能にする。
• 最小限の変更と高いモularityを実現し、既存のIIoTシステムにスムーズに統合可能なIDSを実現する。

提案手法

• 署名やルールに依存せず、ネットワークメタデータ（例：パケット周波数、タイミング、サイズ）に基づく統計的異常検出を用いて、通常動作をモデル化する。
• エッジデバイス（例：FreeRTOSおよびLwIPを搭載したMCU）に軽量なIDSエージェントを直接展開し、ローカルでトラフィックを分析・フィルタリングする。
• 学習フェーズを用いて通常のトラフィックパターンに応じて動的にベースラインネットワーク動作を確立する。
• ローカル意思決定を実施：異常と判断されたトラフィックはフラグを立て、最小限のデータ送信で集中型ログシステムに報告する。
• アプリケーション処理の前にエッジでパケットドロップを許可することで、ファイアウォールとの統合を可能にする。
• フラッシュおよびRAMへの影響を最小限に抑えるために、パケット分析機能にのみリソースを集中させる最適化を実施する。

実験結果

リサーチクエスチョン

• RQ1 ICSネットワークをどれだけの期間観測すれば、十分な精度で通常動作を学習できるか？
• RQ2 ユーザー操作（例：HMIを介した操作）がシステムタイミングおよびIDS検出信頼性に与える影響は何か？
• RQ3 エッジノードからインcidnetアラートを効率的に取得し、オペレータに通知するにはどうすればよいか？
• RQ4 通常のネットワーク動作からどれくらいのずれが許容可能であり、アラートを発動する基準とするか？
• RQ5 実際のIIoT展開における低性能MCU上でのIDSのパフォーマンスオーバーヘッドはどの程度か？

主な発見

• IDSが正常に動作するためには、ARPパケットの最大間隔到着時間に基づき、約10分間の観測が必要であり、それ以上の期間は問題ない。
• IDSを有効化した際の平均ping遅延は、0.31msから1.13msに増加したが、パフォーマンスへの影響は最小限であった。
• IDS負荷下ではスループットが28.2 Mbit/sから4.23 Mbit/sに低下したが、通常の産業制御トラフィック（例：50ms周期で100 Kbit/s）には十分な水準を維持していた。
• IDS機能の追加に伴い、コードは3.3KB、RAMは3.3KBの増加にとどまり、高いリソース効率を示した。
• 攻撃シナリオの8つ中6つ（DoS、スプーフィング、インジェクション、アクティブ/パasiveスニフィング）を正常に検出できた。検出感度は弱いものから強いものまで変動した。
• 攻撃者が学習後も継続的にトラフィックを送信した場合、学習攻撃およびノード乗っ取り攻撃を検出可能であり、悪意あるノードからの新規接続も検出可能であった。