[論文レビュー] IoTDots: A Digital Forensics Framework for Smart Environments

Leonardo Babun, Amit Kumar Sikder+2 more|arXiv (Cornell University)|Sep 3, 2018

Digital and Cyber Forensics参考文献 13被引用数 40

ひとこと要約

IoTDots は自動的にスマートアプリを分析・修正して法医学的に関連するデータをログに記録し、ログを集中データベースに保存し、データ処理と機械学習を用いてスマート環境におけるユーザー活動と悪意ある行動を検出します。

ABSTRACT

IoT devices and sensors have been utilized in a cooperative manner to enable the concept of a smart environment. In these smart settings, abundant data is generated as a result of the interactions between devices and users' day-to-day activities. Such data contain valuable forensic information about events and actions occurring inside the smart environment and, if analyzed, may help hold those violating security policies accountable. In this paper, we introduce IoTDots, a novel digital forensic framework for a smart environment such as smart homes and smart offices. IoTDots has two main components: IoTDots-Modifier and IoTDots-Analyzer. At compile time, IoTDots-Modifier performs the source code analysis of smart apps, detects forensically-relevant information, and automatically insert tracing logs. Then, at runtime, the logs are stored into a IoTDots database. Later, in the event of a forensic investigation, the IoTDots-Analyzer applies data processing and machine learning techniques to extract valuable and usable forensic information from the devices' activity. In order to test the performance of IoTDots, we tested IoTDots in a realistic smart office environment with a total of 22 devices and sensors. The evaluation results show that IoTDots can achieve, on average, over 98% of accuracy on detecting user activities and over 96% accuracy on detecting the behavior of users, devices, and apps in a smart environment. Finally, IoTDots performance yields no overhead to the smart devices and very minimal overhead to the cloud server.

研究の動機と目的

• スマート環境のデジタル・フォレンジクス・フレームワークを提案し、法医学目的のためにIoTデータを捕捉し分析するためのスマート環境向けデジタル・フォレンジクス・フレームワークを提案する。
• スマートアプリをコンパイル時に修正して法医学系ログの収集を自動化する。
• MLを用いてユーザー活動を推定し、異常な挙動およびポリシー違反を検出する、スケーラブルな分析パイプラインを提供する。

提案手法

• スマートアプリのソースコードを分析して法医学的に関連するデータポイント（イベント、アクション、入力、デバイス情報、時刻/場所）を特定する。
• IoTDots ロギングフック（IoTDots-Modifier）を挿入するために、コンパイル時にスマートアプリを修正する。
• 実行時に IoTDots Logs Database (ITLD) に法医学ログを保存する。
• IoTDots-Analyzer (ITA) の ITLD データにラベリングと機械学習を適用して、ユーザー活動を推定し、挙動を検出する。
• セキュリティポリシーと活動/挙動を相関付けるポリシー対応検出を使用する。
• アクティビティの検出精度（≈98%）と挙動の検出精度（≈96%）を低いデバイスオーバーヘッドで実証する。

実験結果

リサーチクエスチョン

• RQ1 IoTDots はスマート環境で法医学的に関連するユーザー活動を信頼性高く検出できるか؟
• RQ2 IoTDots はユーザー、アプリ、デバイスからの異常なユーザー活動や悪意のある挙動を特定できるか？
• RQ3 IoTDots の実行時およびクラウドのオーバーヘッドはどれくらいで、スマートデバイスやサービスにどのような影響を与えるか？
• RQ4 ログから法医学的洞察を抽出する ITA パイプライン（ラベリング、ML分析）の有効性はどの程度か？

主な発見

• IoTDots はスマートオフィス環境で時間依存・時間依存でないユーザー活動の検出に最大で98%の精度を達成した。
• IoTDots はユーザー・デバイス・アプリの挙動検出に最大で96%の精度を達成した。
• スマートデバイスにはオーバーヘッドを課さず、クラウドサーバーとメモリ/遅延にはごくわずかなオーバーヘッド。
• IoTDots は改変されたアプリからのデータ収集とMLベースの分析を組み合わせた軽量なエンドツーエンドのフォレンジックソリューションを提供する。