[論文レビュー] Securing Heterogeneous IoT with Intelligent DDoS Attack Behavior Learning

Nhu‐Ngoc Dao, Trung V. Phan+4 more|arXiv (Cornell University)|Nov 16, 2017

Network Security and Intrusion Detection参考文献 9被引用数 23

ひとこと要約

MECshieldは、攻撃元および攻撃先のネットワークに自己組織化マップ（SOM）を備えた局所的スマートフィルタをモバイルエッジコンピューティング（MEC）を用いて展開する分散型DDoS防御フレームワークである。中央コントローラーによって監視されるこれらのフィルタは、局所的なトラフィックから攻撃行動を適応的に学習し、反応時間を短縮し、検出精度を向上させるとともに、コントローラーのボトルネックを回避する。これにより、集中型アプローチと比較して平均CPU使用率が36％に低下した（集中型では46％）。

ABSTRACT

The rapid increase of diverse Internet of things (IoT) services and devices has raised numerous challenges in terms of connectivity, computation, and security, which networks must face in order to provide satisfactory support. This has led to networks evolving into heterogeneous IoT networking infrastructures characterized by multiple access technologies and mobile edge computing (MEC) capabilities. The heterogeneity of the networks, devices, and services introduces serious vulnerabilities to security attacks, especially distributed denial-of-service (DDoS) attacks, which exploit massive IoT devices to exhaust both network and victim resources. As such, this study proposes MECshield, a localized DDoS prevention framework leveraging MEC power to deploy multiple smart filters at the edge of relevant attack-source/destination networks. The cooperation among the smart filters is supervised by a central controller. The central controller localizes each smart filter by feeding appropriate training parameters into its self-organizing map (SOM) component, based on the attacking behavior. The performance of the MECshield framework is verified using three typical IoT traffic scenarios. The numerical results reveal that MECshield outperforms existing solutions.

研究の動機と目的

• リソース制限のあるデバイスが攻撃に利用され、ネットワークをフラッドするリスクが増加する、多様性のあるIoT（H-IoT）ネットワークにおけるDDoS攻撃の脅威に対処すること。
• 中央集権型DDoS検出の限界を克服し、コントローラーのボトルネックと反応遅延を解消すること。
• リアルタイムのトラフィックパターンに基づいてエッジネットワークで局所的にSOMベースのフィルタをトレーニングすることで、検出精度と適応性を向上させること。
• 中央コントローラーからのIP範囲ベースのポリシー配布に基づき、必要に応じてスマートフィルタを有効化することで、システム全体のリソース消費を削減すること。

提案手法

• MECインfraストラクチャを活用して、攻撃元および攻撃先ネットワークのエッジに複数のスマートフィルタを展開する。
• 各スマートフィルタは、中央コントローラーの監視のもとで、ローカルなトラフィック特徴量に基づいてトレーニングされた自己組織化マップ（SOM）コンponentsを備える。
• 中央コントローラーは、被害者サイトでの攻撃行動を分析し、攻撃元サイトのSOMフィルタのトレーニングに適したパラメータを含むカスタマイズされたポリシーを配布する。
• ポリシーは攻撃行動の分析に基づき生成され、SOMマップが悪意あるトラフィックパターンと一致するようにトレーニングパrameterを含む。
• 各フィルタは独立して動作するが、中央コントローラーからのポリシー更新を通じて協調して動作する分散アーキテクチャを採用する。
• フレームワークは、SOMフィルタを攻撃対象のIP範囲にのみ動的に有効化することで、不要な計算を回避し、CPUリソースを節約する。

実験結果

リサーチクエスチョン

• RQ1 多様で低消費電力なデバイスを有する、多様性のあるIoTネットワークにおけるDDoS攻撃をどのように緩和できるか？
• RQ2 集中型と分散型のDDoS検出が、コントローラーのボトルネックと反応時間に与える影響は何か？
• RQ3 SOMフィルタの局所的トレーニングは、グローバルまたは統合されたSOMトレーニングと比較して、検出精度を向上させられるか？
• RQ4 DDoS攻撃の発生時におけるMECshieldフレームワークは、CPUリソース消費をどのように低減するか？
• RQ5 エッジベースでポリシーによって監視されるSOMフィルタリングは、従来の集中型または分散型SOM方式と比較して、検出性能をどの程度向上させるか？

主な発見

• MECshieldはDDoS攻撃時における平均CPU使用率を36％に低下させ、集中型SOMアプローチ（46％のCPU使用率）と比較して10％の改善を達成した。
• 局所的検出とエッジでの即時のポリシー実行により、MECshieldは集中型および分散型SOM方式よりも迅速な攻撃反応時間を達成した。
• 検出精度と検出レートはMECshieldが最高であり、グローバルにトレーニングされたまたは統合されたSOMと比較して、局所的にトレーニングされたSOMフィルタがサイト固有のトラフィックパターンに適応しやすかった。
• 分散アーキテクチャによりコントローラーのボトルネックが回避され、MECshieldおよび分散型SOMではCPU使用率が約35％で安定した一方、集中型SOMアプローチでは83％に上昇した。
• MECshieldは、攻撃対象のIP範囲にのみSOMフィルタを有効化することで、空き状態または攻撃のないネットワークでの継続的計算を回避し、システムリソースを節約した。
• フレームワークは3つの実世界のIoTトラフィックシナリオにおいて、従来のソリューションよりも優れた耐性とスケーラビリティを示し、検出およびパフォーマンス指標で優れた結果を達成した。