[論文レビュー] IoTSense: Behavioral Fingerprinting of IoT Devices

Bruhadeshwar Bezawada, Maalvika Bachani+4 more|arXiv (Cornell University)|Apr 11, 2018

Internet Traffic Analysis and Secure E-voting参考文献 8被引用数 72

ひとこと要約

この論文は、ネットワークトラフィックの特徴量と機械学習を用いてIoTの行動指紋付けを提案し、デバイス種別・カテゴリ・インスタンスを識別する。暗号化されたトラフィックでも高い精度を達成。

ABSTRACT

The Internet-of-Things (IoT) has brought in new challenges in, device identification --what the device is, and, authentication --is the device the one it claims to be. Traditionally, the authentication problem is solved by means of a cryptographic protocol. However, the computational complexity of cryptographic protocols and/or scalability problems related to key management, render almost all cryptography based authentication protocols impractical for IoT. The problem of device identification is, on the other hand, sadly neglected. We believe that device fingerprinting can be used to solve both these problems effectively. In this work, we present a methodology to perform device behavioral fingerprinting that can be employed to undertake device type identification. A device behavior is approximated using features extracted from the network traffic of the device. These features are used to train a machine learning model that can be used to detect similar device types. We validate our approach using five-fold cross validation; we report a identification rate of 86-99% and a mean accuracy of 99%, across all our experiments. Our approach is successful even when a device uses encrypted communication. Furthermore, we show preliminary results for fingerprinting device categories, i.e., identifying different device types having similar functionality.

研究の動機と目的

• IoTデバイスの安全な識別と認証を、行動の指紋付けを通じて促進する。
• IoTデバイスの挙動を、プロトコル相互作用とコマンド応答セッションの集合としてモデル化する。
• デバイス種別識別のための堅牢なネットワークベースの特徴を抽出する。
• 耐性と実用性を示すため、複数のデバイス種別とカテゴリにわたって手法を評価する。

提案手法

• デバイスのネットワークトラフィックを取得し、パケットヘッダとペイロードから特徴を抽出する。
• デバイスの挙動を、プロトコル相互作用（セッション）の列として表現し、5パケット指紋ごとに特徴を抽出する。
• 1つの指紋あたり20特徴量（ヘッダ17特徴 + ペイロード3特徴）を用いて分類器を訓練する。
• 主分類器として勾配ブースティングを用い、五分割交差検証で評価する。
• エントロピーを除く等、完全特徴セットと縮小セットの両方をテストし、暗号化に類似した条件下での性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 観測されたセッションから導出された短いネットワーク指紋から、IoTデバイスの種別を正確に識別できるか。
• RQ2 ペイロードベースの特徴量（エントロピー、ペイロード長、TCPウィンドウサイズ）とヘッダ特徴量を併用した指紋は、ペイロードが暗号化されていても堅牢な指紋を提供するか。
• RQ3 本手法は、カテゴリと個々のインスタンスを高精度で識別できるスケール性を持つか。

主な発見

• デバイス種別識別率は93％から99％の範囲で、平均精度は約99％。
• エントロピーを削除（ encrypted trafficのシミュレーション）すると、性能はわずか1-2％低下するだけで、ほぼ同等の結果を維持する。
• デバイスカテゴリ識別率は91％から99％に及び、実験全体で平均カテゴリ精度は97％超。
• デバイスインスタンス指紋付けは、 Tested instances across 99.7%–100％ の認識。
• 5パケット指紋（連続5パケット）と100特徴量（1パケットあたり20特徴量）で堅牢な識別が十分可能。
• TCPウィンドウサイズ、エントロピー、ペイロード長などの特徴は指紋付けにおいて統計的に有意である。