[論文レビュー] FLEAM: A Federated Learning Empowered Architecture to Mitigate DDoS in Industrial IoT

Jiwei Li, Lingjuan Lyu+3 more|arXiv (Cornell University)|Dec 11, 2020

Network Security and Intrusion Detection参考文献 17被引用数 7

ひとこと要約

FLEAMは、分散型学習（FL）を活用したアーキテクチャであり、ファイアーウォール/エッジコンピューティングを活用して、IIoTにおけるDDoS攻撃を共同で検出・軽減する。分散型IIoTノード上で生データを共有せずにグローバルモデルを訓練することで実現される。IMA-GRUプロトコルにより、98%の精度で低遅延検出が可能となり、対応時間は72%短縮され、攻撃者のコストは中央集権的アプローチと比較して2.7倍に上昇する。

ABSTRACT

The distributed denial of service (DDoS) attack is detrimental to the industrial Internet of things (IIoT) as it triggers severe resource starvation on networked objects. Recent dynamics demonstrate that it is a highly profitable business for attackers using botnets. Current centralized mitigation solutions concentrate on detection and mitigation at a victim's side, paying inadequate attention to hacking costs and the collaboration of defenders. Thus, we propose the federated learning empowered mitigation architecture (FLEAM) to advocate joint defense, incurring a higher hacking expense. FLEAM combines FL and fog computing to reduce mitigation time and improve detection accuracy, enabling defenders to jointly combatting botnets. Our comprehensive evaluations showcase that the attacking expense incurred is 2.5 times higher, the mitigation delay is about 72% lower, and the accuracy is 47% greater on average than classic solutions.

研究の動機と目的

• リソース制限のあるデバイスがMLモデルを実行できないこと、およびデータプライバシーが懸念されるという、IIoTにおける中央集権的検出の限界を解消すること。
• モデル学習と知能をファイアーウォール/エッジノードに分散させることで、DDoS軽減の遅延を低減し、検出精度を向上させること。
• 被害者にのみではなく、攻撃経路に沿って軽減知能を展開することで、攻撃者の経済的コストを増加させること。
• 分散型学習を活用して、IIoT防御者ネットワーク全体で協働的かつ攻撃者中心の防御を実現すること。
• FLベースの検出が、データプライバシーを保ちつつ通信オーバーヘッドを低減し、中央集権的学習と同等の精度を達成できることを実証すること。

提案手法

• FLEAMアーキテクチャは、サーバー・コーディネーター・ワーカーの階層構造を採用：アグリゲーター（グローバルモデルサーバー）、DPM（ローカル学習コーディネーター）、LAM（ローカル分析モジュール）がファイアーウォール/エッジノードに配置される。
• イテレーティブモデル平均化（IMA）プロトコルを用いて、ローカルコラボレーターからのモデルパラメータを集約し、生データを転送せずにグローバルモデルの収束を実現する。
• ネットワークトラフィックの時間的パターンをモデル化するため、ローカル検出モジュールにゲート付き再帰型ユニット（GRU）ニューラルネットワークを採用する。
• システムは、ファイアーウォール/エッジノードでローカルデータサンプルを用いてローカルモデル学習を実行し、更新されたモデルパラメータのみをアグリゲーターにアップロードする。
• アグリゲーターは、ローカルパラメータの重み付き平均を計算してグローバルモデルの更新を算出し、すべてのコラボレーターに再配布することで、モデルの一貫性とプライバシーを確保する。
• リアルタイム検出に基づき、ブロッキングなどの軽減措置がソースエンド（ローカルネットワーク）で実行され、応答遅延が低減される。

実験結果

リサーチクエスチョン

• RQ1 リソース制限のあるIIoT環境において、データプライバシーやモデル精度を損なわずに、分散型学習をDDoS検出に効果的に適用できるか？
• RQ2 動的で変化し続けるIIoTネットワークにおいて、協働的で分散型の検出モデルは、中央集権的モデルと比較して、検出精度と応答時間の点でどのように異なるか？
• RQ3 攻撃経路に沿って軽減知能を分散させることで、攻撃者のコストをどの程度増加させ、DDoSキャンペーンの成功率をどの程度低下させられるか？
• RQ4 IMA-GRUプロトコルは、通信オーバーヘッドとデータ転送を最小限に抑えつつ、中央集権的学習と同等の検出精度を達成できるか？
• RQ5 非IIDデータ分布を伴う多様で分散型のIIoT環境において、FLEAMアーキテクチャはスケーラビリティをどのように発揮するか？

主な発見

• FLEAMアーキテクチャは、分散型学習を用いてUNSW NB15データセット上で約98%の検出精度を達成し、中央集権的学習の性能にほぼ同等の水準に達している。
• 被害者中心の従来手法と比較して、軽減の応答時間が72%短縮されている。これは、早期検出とソースでのローカル軽減によるものである。
• 攻撃者が被るコストは平均で2.7倍に上昇し、DDoS攻撃の利益が減少し、将来的な攻撃を抑制する要因となる。
• IMA-GRUプロトコルは、IIoTノード間でのデータの非均一性と非IID分布を効果的に処理し、モデルの収束性と頑健性を維持している。
• トレーニングと検出をファイアーウォール/エッジノードにオフロードすることで、実世界のIIoT環境においてもスケーラビリティと実用性を示しており、クラウド依存性と通信負荷が低減されている。
• FLEAMは、被害者保護から能動的かつ予防的ボットネット運用の遮断へとシフトする、協働的かつ攻撃者中心の防御モデルを実現している。