[논문 리뷰] CIoTA: Collaborative IoT Anomaly Detection via Blockchain

Tomer Golomb, Yisroel Mirsky외 1명|arXiv (Cornell University)|2018. 03. 10.

Network Security and Intrusion Detection참고 문헌 21인용 수 43

한 줄 요약

CIoTA는 Extensible Markov Models 및 피어 합의를 이용해 신뢰 모델을 업데이트하는 자원 제약 IoT 장치에서의 분산 협력 이상 탐지를 위한 경량의 블록체인 기반 프레임워크입니다. 48-노드 Raspberry Pi IoT 테스트베드에서 평가되었습니다.

ABSTRACT

Due to their rapid growth and deployment, Internet of things (IoT) devices have become a central aspect of our daily lives. However, they tend to have many vulnerabilities which can be exploited by an attacker. Unsupervised techniques, such as anomaly detection, can help us secure the IoT devices. However, an anomaly detection model must be trained for a long time in order to capture all benign behaviors. This approach is vulnerable to adversarial attacks since all observations are assumed to be benign while training the anomaly detection model. In this paper, we propose CIoTA, a lightweight framework that utilizes the blockchain concept to perform distributed and collaborative anomaly detection for devices with limited resources. CIoTA uses blockchain to incrementally update a trusted anomaly detection model via self-attestation and consensus among IoT devices. We evaluate CIoTA on our own distributed IoT simulation platform, which consists of 48 Raspberry Pis, to demonstrate CIoTA's ability to enhance the security of each device and the security of the network as a whole.

연구 동기 및 목표

• 훈련 및 배치 단계에서 비지도 이상 탐지 시스템(IDS)의 취약점을 해결한다.
• 장치 제약을 보존하면서 협업 모델 업데이트를 통해 탐지 성능을 향상시키는 확장 가능하고 분산된 프레임워크를 제안한다.
• 로컬로 학습된 모델을 신뢰할 수 있는 글로벌 모델로 점진적으로 합치기 위해 블록체인 기반 합의를 활용한다.
• 적대적 공격에 대한 강인성과 IoT 하드웨어에서의 경량 운영 오버헤드를 평가한다.

제안 방법

• 컨트롤 흐름 행동을 메모리 영역과 전이로 나타내기 위해 Extensible Markov Model (EMM)을 사용한다.
• 로컬로 학습된 모델을 블록과 체인으로 구성한다; 블록은 L개의 보고서를 포함하고 합의를 통해 검증되면 닫힌다.
• 여러 EMM을 합의 규칙 pc 및 각 전이에 대해 M = nij/ni인 병합 방정식을 사용해 Combined Model로 병합한다.
• 로컬 모델에 대해 거리 기반 기준 α(VerifyML)를 사용해 합쳐진 모델을 검증한다.
• 서명과 TrustZone 기반 대칭키 접근 방식으로 디바이스 간 통신 및 블록 무결성을 보호한다( PKI 선택 사항).
• 전 predefined parameters(T, L, pc, α, pthr)로 48-장치 IoT 시뮬레이션 플랫폼(Raspberry Pi)에서 확장성과 보안을 평가한다.

실험 결과

연구 질문

• RQ1 다수의 IoT 장치 간 협력이 고립된 모델에 비해 이상 탐지 성능을 얼마나 효과적으로 향상시킬 수 있는가?
• RQ2 로컬 모델의 적대적 조작을 견디면서 글로벌 체인의 보안과 신뢰를 유지할 수 있는가?
• RQ3 자원 제약이 있는 장치에서 CIoTA의 온보드 계산 및 메모리 오버헤드는 어느 정도인가?
• RQ4 블록 내에 오염되거나 변형된 모델의 수용을 블록체인 기반 합의가 신뢰하게 방지하는가?
• RQ5 블록 크기 및 합의 임계값이 탐지 대기 시간 및 거짓 양성율에 어떤 영향을 미치는가?

주요 결과

• 공동으로 형성된 Combined Models는 더 빠르게 수렴하고 단일 모델보다 강력한 이상 탐지를 제공하며 L = 20일 때 명확한 악성 코드 탐지를 가능하게 하고 낮은 거짓 양성을 보인다.
• 악성 코드가 애플리케이션과 다르게 보이는 공격은 Combined Model의 합의 필터링으로 거부된다.
• 공격된 모델이 합법적인 제어 흐름과 유사하더라도 합의 메커니즘은 모델의 폭넓은 수용을 방지하며 pc가 손상되지 않는 한 영향을 막아준다.
• CIoTA의 IoT 디바이스에서의 런타임 오버헤드는 평가된 설정에서 보통 수준이다: 약 6.5% CPU, 약 60 KB 메모리, 약 260 KB 실행 파일 크기.
• 48대의 Raspberry Pi 디바이스에 대한 평가를 통해 로컬 공격 감지 및 적대적 조작에 대한 저항력이 입증되었다.
• 프레임워크는 대규모 산업 현장과 스마트 시티에 적합하며 각 IoT 모델/펌웨어가 자체 체인을 유지한다.