[논문 리뷰] CyberSpec: Intelligent Behavioral Fingerprinting to Detect Attacks on Crowdsensing Spectrum Sensors

Alberto Huertas Celdrán, Pedro Miguel Sánchez Sánchez외 3명|arXiv (Cornell University)|2022. 01. 14.

Digital Media Forensic Detection인용 수 4

한 줄 요약

이 논문은 자원이 제한된 커뮤니티 센싱 스펙트럼 센서에서 스펙트럼 감지 데이터 위조 공격(SSDF)을 탐지하기 위해 내부 시스템 이벤트를 모니터링하는 기계학습/디지털 지문 프레임워크인 CyberSpec을 제안한다. 실제 ElectroSense 플랫폼에서 평가한 결과, 비지도 모델을 사용하여 일곱 가지 SSDF 공격 중 다섯 가지에 대해 거의 완벽한 탐지 성능(100% TPR)을 달성했으며, 탐지 시간은 60초 이내였다.

ABSTRACT

Integrated sensing and communication (ISAC) is a novel paradigm using crowdsensing spectrum sensors to help with the management of spectrum scarcity. However, well-known vulnerabilities of resource-constrained spectrum sensors and the possibility of being manipulated by users with physical access complicate their protection against spectrum sensing data falsification (SSDF) attacks. Most recent literature suggests using behavioral fingerprinting and Machine/Deep Learning (ML/DL) for improving similar cybersecurity issues. Nevertheless, the applicability of these techniques in resource-constrained devices, the impact of attacks affecting spectrum data integrity, and the performance and scalability of models suitable for heterogeneous sensors types are still open challenges. To improve limitations, this work presents seven SSDF attacks affecting spectrum sensors and introduces CyberSpec, an ML/DL-oriented framework using device behavioral fingerprinting to detect anomalies produced by SSDF attacks affecting resource-constrained spectrum sensors. CyberSpec has been implemented and validated in ElectroSense, a real crowdsensing RF monitoring platform where several configurations of the proposed SSDF attacks have been executed in different sensors. A pool of experiments with different unsupervised ML/DL-based models has demonstrated the suitability of CyberSpec detecting the previous attacks within an acceptable timeframe.

연구 동기 및 목표

• 자원이 제한된 커뮤니티 센싱 환경에서 스펙트럼 센서를 대상으로 한 공식화된 SSDF 공격 모델의 부족을 해결한다.
• 제한된 기기 자원, 다양한 센서 유형, 데이터 무결성 위협으로 인해 SSDF 공격을 탐지하는 데 도전하는 과제를 극복한다.
• 실시간 탐지를 위해 행동 지문 및 비지도 기계학습/딥러닝을 활용하는 확장성 있고 경량의 이상 탐지 프레임워크를 개발한다.
• 실제 환경에서 개별 기기, 기기 유형, 전역 모델 구성 방식에 대해 기계학습/딥러닝 모델의 성능과 확장성을 평가한다.
• 일부 공격을 탐지하지 못하게 하는 행동 특징의 누락(예: Repeat, Freeze)을 규명하여未래 개선을 위한 가이드라인을 제시한다.

제안 방법

• 모의 거짓 신호, 진짜 공격를 숨기는 것, 둘 다 조합하는 세 가지 유형으로 분류된 일곱 가지 새로운 SSDF 공격—Repeat, Mimic, Confusion, Noise, Spoof, Freeze, Delay—을 정의하고 구현한다.
• 가상 메모리, 파일 시스템, CPU, 네트워크, 스케줄러, 장치 드라이버, 시스템 호출, 난수 생성 등 총 여덟 가지 내부 시스템 이벤트를 모니터링하기 위해 CyberSpec를 설계한다.
• 정기적인 이벤트 로그에서 행동 특징을 추출하여 이상 탐지용 기기별 행동 지문을 생성한다.
• 정상 행동에서의 이탈을 탐지하기 위해 비지도 기계학습/딥러닝 모델—Autoencoder, Isolation Forest (IF), Local Outlier Factor (LOF), COPOD, One-Class SVM (OC-SVM)—을 적용한다.
• 모델을 오프라인으로 학습하고 중앙 서버에 배포하여 실시간으로 특징를 평가함으로써 엣지 기기의 계산 부담을 최소화한다.
• 세 가지 구성 방식—개별 기기 모델, 기기 유형 모델(15%, 33%, 또는 50%의 기기를 제외한 경우), 전역 모델(모든 센서를 통합한 경우)에 대해 실험을 수행한다.

실험 결과

연구 질문

• RQ1 자원이 제한된 스펙트럼 센서에서 일곱 가지 새로운 SSDF 공격의 행동 서명은 무엇이며, 데이터 무결성에 어떤 영향을 미치는가?
• RQ2 내부 시스템 이벤트 모니터링을 통해 비지도 기계학습/딥러닝 모델이 이러한 SSDF 공격로 인한 이상을 얼마나 효과적으로 탐지할 수 있는가?
• RQ3 이질적인 스펙트럼 센서 환경에서 개별, 기기 유형, 전역 기계학습/딥러닝 모델의 탐지 성능 및 확장성은 어떠한가?
• RQ4 특정 SSDF 공격을 탐지하는 데 핵심적인 시스템 이벤트는 무엇이며, 현재 누락되어 있어 탐지에 한계를 초래하는 이벤트(예: 파일 읽기 작업)는 무엇인가?
• RQ5 엣지 기기에서 낮은 계산 부하를 유지하면서도 60초 이내의 저지연 탐지 성능을 달성할 수 있는가?

주요 결과

• Noise, Spoof, Confusion, Mimic, Delay의 다섯 가지 공격은 세 가지 실험 구성(개별 모델, 기기 유형 모델, 전역 모델) 전반에서 100% True Positive Rate(TPR)를 기록했다.
• Autoencoder, LOF, OC-SVM 모델이 가장 높은 탐지 성능를 보였으며, 모니터링, 전처리, 평가 단계를 포함한 탐지 시간이 60초 이내였다.
• 15%, 33%, 또는 50%의 기기를 학습에서 제외한 기기 유형 모델도 강력한 성능유지하여 다섯 가지 공격에 대해 80–70% TPR 및 100% True Negative Rate(TNR)를 달성했다.
• Repeat 및 Freeze 공격는 파일 읽기 작업을 모니터링하지 않기 때문에 탐지 성능이 열악하여 TPR이 7–32%에 그쳤다.
• 전역 모델 학습 시간은 770.39초였지만, 테스트 시간은 극히 짧아서 0.01~0.04초로, 실시간 배포에서 저지연 탐지의 가능성을 확인했다.
• 모니터링(50초), 전처리(6.8초), 평가(2.75초)를 포함한 프레임워크의 총 탐지 지연 시간은 60초 이내였으며, 실시간 위협 탐지에 적합하다.