[論文レビュー] Towards a secure behavior modeling for IoT networks using Blockchain

Jawad Ali, Ahmad Shahrafidz Khalid+3 more|arXiv (Cornell University)|Jan 6, 2020

Advanced Malware Detection Techniques参考文献 24被引用数 9

ひとこと要約

本稿では、深層自己符号化器をカスタム動作モニタで使用し、99.2%の真正陽性率と1秒未塔の検出時間で悪意ある行動を検出する、ブロックチェーン統合型のIoTセキュリティ動作モデリングフレームワークを提案する。信頼できる実行環境（TEE）を用いた安全な計算と、IoTゾーンごとのローカルブロックチェーンを統合することで、デバイスレベルの信頼性検証とリアルタイムの異常検出を実現する。

ABSTRACT

Internet of Things (IoT) occupies a vital aspect of our everyday lives. IoT networks composed of smart-devices which communicate and transfer the information without the physical intervention of humans. Due to such proliferation and autonomous nature of IoT systems make these devices threatened and prone to a severe kind of threats. In this paper, we introduces a behavior capturing, and verification procedures in blockchain supported smart-IoT systems that can be able to show the trust-level confidence to outside networks. We defined a custom \emph{Behavior Monitor} and implement on a selected node that can extract the activity of each device and analyzes the behavior using deep machine learning strategy. Besides, we deploy Trusted Execution Technology (TEE) which can be used to provide a secure execution environment (enclave) for sensitive application code and data on the blockchain. Finally, in the evaluation phase we analyze various IoT devices data that is infected by Mirai attack. The evaluation results show the strength of our proposed method in terms of accuracy and time required for detection.

研究の動機と目的

• 外部エンティティが検証可能なデバイスレベルの信頼メカニズムが欠如している分散型IoTネットワークの課題に対処する。
• リアルタイムでIoTデバイスの動作を正常または悪意あるものに分類できる動作監視システムを開発する。
• 信頼できる実行環境（TEE）とローカルブロックチェーンを統合し、機密コードおよびデータの機密性と完全性を保証する。
• ネットワーク間通信の前に、IoTゾーンの信頼レベルを公開可能にする仕組みを提供し、安全で動的かつ信頼性のある信頼意思決定を支援する。
• 実世界のMirai攻撃データを用いて、既存の機械学習ベースの検出手法と比較して、フレームワークの性能を評価する。

提案手法

• マスターデバイス（Raspberry Pi-3）にカスタム動作モニタをデプロイし、接続されたデバイス（例：Ecobee-thermostat、Webカメラ、セキュリティカメラ）の実行時データを収集・分析する。
• TensorFlowおよびKerasを用いて深層自己符号化器モデルを実装し、115次元のセンサー特徴量から正常動作パターンを学習し、再構築誤差（MSE）を用いて異常を検出する。
• 最適化データセットにおけるMSEの平均および標準偏差に基づき、動的検出しきい値 $ th^{v} = \overline{MSE}_{Opt_{DS}} + s(MSE_{Opt_{DS}}) $ を設定する。
• 機密性の高い論理処理とデータ保護を実現するため、信頼できる実行技術（TEE）を用いてセキュアなエナクローブを構築する。
• 各IoTゾーンごとにローカルブロックチェーンを導入し、デバイスの取引を記録し、動作および信頼メトリクスの改ざん不能なログ記録を可能にする。
• モデル推論の前段階でセンサーレベルのフィルタリング機構を適用し、データの安定化とノイズまたは悪意ある入力の低減を図る。

実験結果

リサーチクエスチョン

• RQ1 深層自己符号化器に基づく動作モデリングシステムは、実世界の環境において、高い精度と低遅延で悪意あるIoT行動を検出できるか？
• RQ2 TEEとローカルブロックチェーンの統合は、IoTゾーンにおける動作監視ロジックおよびデータのセキュリティをどの程度向上させるか？
• RQ3 提案されたフレームワークは、外部ノードが通信の前にゾーンの健全性を評価できる、検証可能なデバイスレベルの信頼メトリクスを提供できるか？
• RQ4 自己符号化器モデルの検出性能は、従来の機械学習手法（SVM、隔離フォレスト、LOF）と比較して、真正陽性率および偽陽性率の観点でどの程度優れているか？
• RQ5 提案されたシステムの平均検出時間はどの程度で、MiraiのようなDDoS攻撃に対してリアルタイム要件を満たすことができるか？

主な発見

• 提案された深層自己符号化器モデルは、IoTデバイスにおけるMiraiベースのDDoS攻撃を99.2%の真正陽性率（TPR）で検出した。
• 偽陽性率（FPR）はSVMやLOFよりも顕著に低く、隔離フォレストよりも著しく低く、異常検出における高い正確性を示した。
• 平均検出時間は175 ± 230msであり、1秒未塔の応答時間であることを実証し、一般的なDDoS検出システムと比較して顕著な改善を示した。
• 自己符号化器はSVM、隔離フォレスト、LOFのすべての手法を、検出精度および速度の両面で上回った。これは、センサー特徴量における複雑な非線形パターンをモデル化できる能力に起因する。
• TEEとローカルブロックチェーンの統合により、安全な実行と改ざん不能なログ記録が実現され、動作監視プロセスの信頼性が向上した。
• システムは外部エンティティが通信の前にIoTゾーンの信頼レベルを、リアルタイムの動作分析およびブロックチェーン検証メトリクスに基づいて評価できるようにした。