[論文レビュー] IoTDevID: A Behaviour-Based Fingerprinting Method for Device Identification in the IoT.

Kahraman Kostas, Mike Just+1 more|arXiv (Cornell University)|Feb 17, 2021

Internet Traffic Analysis and Secure E-voting参考文献 6被引用数 4

ひとこと要約

IoTDevID は、ネットワークパケットの動作を分析することで IoT デバイスを同定する機械学習ベースのフィンガープrint手法であり、強化された特徴工学とデータ拡張を用いてクラスの不均衡に対処する。3つの公開 IoT データセットで F1 スコアが 99% を超える結果を達成し、グループ単位のデータ集約によって顕著な性能向上を実現した。

ABSTRACT

Device identification is one way to secure a network of IoT devices, whereby devices identified as suspicious can subsequently be isolated from a network. We introduce a novel fingerprinting method, IoTDevID, for device identification that uses machine learning to model the behaviour of IoT devices based on network packets. Our method uses an enhanced combination of features from previous work and includes an approach for dealing with unbalanced device data via data augmentation. We further demonstrate how to enhance device identification via a group-wise data aggregation. We provide a comparative evaluation of our method against two recent identification methods using three public IoT datasets which together contain data from over 100 devices. Through our evaluation we demonstrate improved performance over previous results with F1-scores above 99%, with considerable improvement gained from data aggregation.

研究の動機と目的

• ネットワーク環境における悪意あるまたは異常な IoT デバイスの同定という課題に対処すること。
• デバイスのデータ分布が不均衡な状況下でも、デバイス同定の正確性を向上させること。
• デバイスの動作パターンをグループ単位で集約することで、同定性能を向上させること。
• ネットワークパケットの特徴を用いて、IoT セキュリティにおける堅牢な動作ベースのフィンガープリント手法を開発すること。

提案手法

• IoTDevID は、先行研究から得られた強化されたネットワークパケット特徴の組み合わせを用いてデバイスの動作をモデル化する。
• 不均衡なデバイスクラスの分布に起因する性能低下を軽減するために、データ拡張技術を適用する。
• デバイスタイプ間での特徴表現の向上とモデルの汎化能力の強化を目的として、グループ単位のデータ集約を実施する。
• 拡張および集約された特徴集合上で機械学習分類器を学習させ、異なる IoT デバイスを区別する。
• ネットワークトラフィックから抽出した統計的および時間的特徴を活用して、ユニークなデバイスフィンガープリントを構築する。

実験結果

リサーチクエスチョン

• RQ1 動作ベースのフィンガープリント手法は、多様な IoT デバイスにおいて高い同定正確性を達成できるか？
• RQ2 クラスの不均衡下で、データ拡張はデバイス同定性能にどのように影響するか？
• RQ3 グループ単位のデータ集約は、同定正確性をどの程度向上させるか？
• RQ4 IoTDevID は、最近の最先端手法と比較して、デバイス同定において優れた性能を示すか？

主な発見

• IoTDevID は、100台以上のデバイスを含む3つの公開 IoT データセットで F1 スコアが 99% を超える。
• データ拡張の活用により、代表が不足しているデバイスクラスにおけるモデルの頑健性が顕著に向上した。
• 個々のデバイスレベルのモデリングと比較して、グループ単位のデータ集約により顕著な性能向上が得られた。
• 比較評価において、2つの最近の同定アプローチを上回る性能を示した。