[論文レビュー] Toward Secure Edge Networks Taming Device to Device (D2D) Communication in IoT

Ibbad Hafeez, Aaron Yi Ding+2 more|arXiv (Cornell University)|Dec 16, 2017

Network Security and Intrusion Detection参考文献 16被引用数 10

ひとこと要約

IoTguard は、ネットワークログの特徴量とファジー C-平均クラスタリングを用いて、エッジネットワークにおける悪意のあるおよび良性の IoT デバイス通信を検出する、軽量で半教師あり学習ベースのシステムである。リアルタイム分類において 98% を超える精度を達成し、誤検出が少なく、OpenWRT ルーターなどの低リソースデバイスでも効率的に動作する。

ABSTRACT

The growing popularity of Internet-of-Things (IoT) has created the need for network-based traffic anomaly detection systems that could identify misbehaving devices. In this work, we propose a lightweight technique, IoT-guard, for identifying malicious traffic flows. IoT-guard uses semi-supervised learning to distinguish between malicious and benign device behaviours using the network traffic generated by devices. In order to achieve this, we extracted 39 features from network logs and discard any features containing redundant information. After feature selection, fuzzy C-Mean (FCM) algorithm was trained to obtain clusters discriminating benign traffic from malicious traffic. We studied the feature scores in these clusters and use this information to predict the type of new traffic flows. IoT-guard was evaluated using a real-world testbed with more than 30 devices. The results show that IoTguard achieves high accuracy (98%), in differentiating various types of malicious and benign traffic, with low false positive rates. Furthermore, it has low resource footprint and can operate on OpenWRT enabled access points and COTS computing boards.

研究の動機と目的

• 小型事務所および家庭用ネットワーク（SOHO）における、IoT デバイス向けに効率的で低リソースなネットワークベースの異常検出手法の不足に対処すること。
• 専用ハードウェアやラベル付きデータに依存せずに、悪意のあるまたは良性の通信を分類できる自己適応型システムを開発すること。
• 高い検出精度を維持しつつ、誤検出とリソースのオーバーヘッドを低減し、実世界のエッジ環境で動作すること。
• ファイアウォールや NIDS に依存せず、アクセスポイントおよびゲートウェイからのネットワークログのみを用いて、リアルタイムの通信分類を可能にすること。
• ファームウェア更新などのデバイス行動の変化に対しても、誤検出を引き起こさずに動的に適応できること。

提案手法

• アクセスポイントおよびゲートウェイに接続された IoT デバイスのログから、39 項目のネットワーク通信特徴量を抽出した。
• 重複する特徴量を削除する特徴選択を実施し、次元削減を図りながらも、識別能を保持した。
• ファジー C-平均（FCM）クラスタリングを適用し、通信パターンを良性および悪意ある行動を表すクラスタに分類した。
• ファジー補間を用いて、クラスタへの所属度に基づき、新しい通信フローの悪意の度合いを推定した。
• 少数クラス（悪意ある）と多数クラス（良性）のデータ不均衡に対処するため、少数クラスのオーバーサンプリングと多数クラスのアンダーサンプリングを実施した。
• 有線および無線接続を含む 30 台以上の一般家庭用 IoT デバイスを用いた実世界のテストベッドでモデルを検証した。

実験結果

リサーチクエスチョン

• RQ1 ネットワークログのみを用いて、半教師あり学習アプローチが、IoT デバイス通信を悪意あるか良性か効果的に分類できるか。
• RQ2 軽量なクラスタリングベースのシステムが、低リソースのエッジデバイス上で、リアルタイムにさまざまな種類の悪意ある通信を検出できる正確さはどの程度か。
• RQ3 ファームウェア更新などのデバイス行動の変化に対し、再トレーニングを必要とせず、誤検出を発生させずにどの程度適応できるか。
• RQ4 精度とリソース効率の観点から、従来の教師あり異常検出手法と比較して、本システムの性能はどの程度か。
• RQ5 スパイ行為と類似した通信パターンを示す攻撃タイプ（例：暗号通貨マイニング）を、既知の攻撃と類似したパターンに基づいて検出できるか。

主な発見

• IoTguard は、2値分類および多値分類の両タスクにおいて、最低でも 98% の分類精度を達成した。
• システムは約 0.01 の非常に低い誤検出率を報告しており、良性と悪意ある通信を高精度に区別できることを示している。
• 通信分類処理は 250 ミリ秒未満で完了し、OpenWRT 対応アクセスポイントなどの低性能ハードウェアでもリアルタイム検出が可能であった。
• ファームウェア更新などのデバイス行動の変化に対しても、再トレーニングを必要とせず、誤検出を発生させずに適応性を示した。
• 特徴選択により、初期の 39 項の特徴量がより効果的なサブセットに削減され、モデルの効率性と解釈可能性が向上した。
• スパイ行為と類似した通信パターンを示す攻撃タイプ（例：暗号通貨マイニング）に対しても、既知の攻撃と類似したパターンを活用することで、検出を拡張可能である。