[논문 리뷰] 6thSense: A Context-aware Sensor-based Attack Detector for Smart Devices

Amit Kumar Sikder, Hidayet Aksu외 1명|arXiv (Cornell University)|2017. 06. 30.

Advanced Malware Detection Techniques참고 문헌 55인용 수 49

한 줄 요약

6thSense는 스마트 기기의 센서 데이터 패턴을 모니터링하여 악성 행동을 탐지하는 맥락 인식 기반 기계학습 기반 침입 탐지 시스템으로, 데이터 泄露, 악성코드 활성화, 사이드 채널 도청과 같은 센서 기반 공격을 96% 이상의 정확도로 탐지하며, 안드로이드 기기에서 최소한의 성능 오버헤드를 유발한다.

ABSTRACT

Sensors (e.g., light, gyroscope, accelerotmeter) and sensing enabled applications on a smart device make the applications more user-friendly and efficient. However, the current permission-based sensor management systems of smart devices only focus on certain sensors and any App can get access to other sensors by just accessing the generic sensor API. In this way, attackers can exploit these sensors in numerous ways: they can extract or leak users' sensitive information, transfer malware, or record or steal sensitive information from other nearby devices. In this paper, we propose 6thSense, a context-aware intrusion detection system which enhances the security of smart devices by observing changes in sensor data for different tasks of users and creating a contextual model to distinguish benign and malicious behavior of sensors. 6thSense utilizes three different Machine Learning-based detection mechanisms (i.e., Markov Chain, Naive Bayes, and LMT) to detect malicious behavior associated with sensors. We implemented 6thSense on a sensor-rich Android smart device (i.e., smartphone) and collected data from typical daily activities of 50 real users. Furthermore, we evaluated the performance of 6thSense against three sensor-based threats: (1) a malicious App that can be triggered via a sensor (e.g., light), (2) a malicious App that can leak information via a sensor, and (3) a malicious App that can steal data using sensors. Our extensive evaluations show that the 6thSense framework is an effective and practical approach to defeat growing sensor-based threats with an accuracy above 96% without compromising the normal functionality of the device. Moreover, our framework costs minimal overhead.

연구 동기 및 목표

• 가속도계, 자이로스코프, 조도 센서 등의 센서를 악용해 데이터 유출, 악성코드 활성화, 사이드 채널 통신을 시도하는 스마트 기기의 센서 기반 공격 증가에 대응한다.
• 안드로이드에서 기존의 권한 기반 센서 접근 제어의 한계를 극복한다. 이는 비민감한 센서(예: 운동 센서)를 제한하지 못하고 런타임 모니터링이 부족하기 때문이다.
• OS나 앱 수준의 권한 변경 없이도 작동하는 종합적이고 기기 간 호환 가능한 침입 탐지 시스템을 개발한다.
• 다양한 사용자 활동 동안 센서 상관관계 패턴을 분석함으로써 정상적인 사용자 행동을 모방하는 지능적인 맥락 인식 악성코드를 탐지할 수 있도록 한다.

제안 방법

• 50명의 사용자가 안드로이드 스마트폰에서 일상적인 활동 9종(예: 문자 입력, 운전, 통화)을 수행하는 동안 실시간 센서 데이터를 수집하여 맥락 인식 모델을 구축한다.
• 마르코프 체인, 나이브 베이즈, LMT(로지스틱 모델 트리)의 세 가지 기계학습 모델을 사용하여 사용자 활동 별 정상적인 센서 행동 패턴을 학습하고 분류한다.
• 다중 센서 데이터 스트림 간 상관관계를 분석하여, 예상치 못한 맥락적 행동(예: 정지 상태에서의 센서 활성화)과 같은 이면을 탐지한다.
• 런타임 모니터링을 구현하여 실시간 센서 데이터를 학습된 행동 프로파일과 비교하고, 이격을 공격으로 간주하여 경고한다.
• 센서 샘플링 주파수와 모델 추론 효율성을 최적화하여 최소한의 성능 오버헤드를 유도하도록 시스템을 설계한다.
• OS 수준의 수정이나 센서 접근에 대한 명시적 사용자 동의 없이도 애플리케이션 레이어에 통합하여 작동하도록 한다.

실험 결과

연구 질문

• RQ1 기존의 권한 기반 접근 제어를 우회하는 센서 기반 공격을 효과적으로 탐지할 수 있는 맥락 인식 기반 기계학습 기반 IDS는 가능한가?
• RQ2 센서 상관관계 패턴을 얼마나 정확하게 모델링할 수 있으며, 이를 통해 정상적인 사용자 활동와 악성 센서 활용을 구분할 수 있는가?
• RQ3 6thSense는 빛 센서를 통해 악성코드를 활성화하거나 운동 센서를 통해 데이터를 유출하는 등의 기존에 탐지되지 않은 센서 기반 위협을 어느 정도 탐지할 수 있는가?
• RQ4 다양한 센서를 통해 정상적인 사용자 행동을 모방하는 도전적인 맥락 인식 악성코드를 탐지하는 데 시스템의 성능은 어떠한가?

주요 결과

• 6thSense는 실제 사용자 데이터를 대상으로 평가한 결과, 마르코프 체인, 나이브 베이즈, LMT의 세 기계학습 모델 모두 평균 96% 이상의 탐지 정확도를 달성했다.
• 이 프레임워크는 악성코드가 빛 센서를 통해 활성화되는 것, 운동 센서를 통한 정보 유출, 센서 사이드 채널을 통한 도청이라는 세 가지의 다른 센서 기반 위협을 성공적으로 탐지했다.
• VirusTotal 검사 결과, 실험실에서 제작한 센서 기반 악성코드는 62개의 스캐너 중 58~59개에서 감지되지 않아 공격의 은밀성과 행동 기반 탐지의 필요성을 입증했다.
• 6thSense는 정상적인 사용자 행동을 모방하는 맥락 인식 악성코드를 효과적으로 탐지하여, 센서 사용 패턴의 미세한 이격을 식별할 수 있음을 보여주었다.
• 시스템은 최소한의 성능 오버헤드를 유발하여 자원 제약이 있는 스마트 기기(예: 스마트폰)에 구현하기에 실용적이다.
• OS 수준의 변경 없이도 권한 제한이 있는 센서뿐 아니라 운동 센서, 빛 센서와 같은 비권한 제한 센서까지 모두 커버함으로써 기존 솔루션보다 뛰어난 성능을 발휘한다.