[논문 리뷰] DÏoT: A Crowdsourced Self-learning Approach for Detecting Compromised IoT Devices

Thien Duc Nguyen, Samuel Marchal외 4명|arXiv (Cornell University)|2018. 04. 20.

Network Security and Intrusion Detection인용 수 39

한 줄 요약

DÅoT는 레이블이 없는 데이터를 사용하여 자율적으로 장치 유형별 정상 통신 프로파일을 구축함으로써, 복수의 제조사와 보안 설정이 불완전한 IoT 기기의 해킹 여부를 감지하기 위한 자율 학습 및 커뮤니티 기반 시스템을 제안한다. 이 시스템은 실제 장치에서 Mirai 악성 소프트웨어를 대상으로 96%의 감지율과 1%의 위양성 경고율, 0.03초 미만의 반응 시간을 달성한다.

ABSTRACT

IoT devices are being widely deployed. Many of them are vulnerable due to insecure implementations and configuration. As a result, many networks already have vulnerable devices that are easy to compromise. This has led to a new category of malware specifically targeting IoT devices. Existing intrusion detection techniques are not effective in detecting compromised IoT devices given the massive scale of the problem in terms of the number of different manufacturers involved. In this paper, we present D\IoT, a system for detecting compromised IoT devices effectively. In contrast to prior work, D\IoT uses a novel self-learning approach to classify devices into device types and build for each of these normal communication profiles that can subsequently be used to detect anomalous deviations in communication patterns. D\IoT is completely autonomous and can be trained in a distributed crowdsourced manner without requiring human intervention or labeled training data. Consequently, D\IoT copes with the emergence of new device types as well as new attacks. By systematic experiments using more than 30 real-world IoT devices, we show that D\IoT is effective (96% detection rate with 1% false alarms) and fast (<0.03 s.) at detecting devices compromised by the infamous Mirai malware.

연구 동기 및 목표

• 다양한 제조사와 보안 설정이 불완전한 환경에서 대규모로 해킹된 IoT 기기를 감지하는 데 도전하는 데 목적을 두며.
• 기존의 침입 탐지 시스템이 레이블이 있는 데이터에 의존하고 신규 장치 유형이나 제로데이 공격에 대응하지 못하는 한계를 극복하는 데 목적을 두며.
• 인간의 간섭 없이 다양한 IoT 장치 유형에 대한 정상 통신 프로파일을 구축할 수 있는 자율적이고 자율 학습 기반의 시스템을 개발하는 데 목적을 두며.
• 다양한 IoT 환경에서 악성 소프트웨어로 인한 이질적인 행동, 예를 들어 Mirai와 같은 악성 소프트웨어의 징후를 실시간으로 감지할 수 있도록 하는 데 목적을 두며.

제안 방법

• DÅoT는 실제 환경의 다양한 IoT 기기에서 네트워크 트래픽을 수집하기 위해 커뮤니티 기반 데이터 수집 메커니즘을 사용한다.
• 네트워크 통신 패턴을 기반으로 비지도 군집화를 사용하여 장치를 장치 유형으로 자동 분류한다.
• 각 장치 유형에 대해 패킷 크기, 시간 간격, 프로토콜 사용량 등의 트래픽 특성에 대한 통계 모델링을 통해 정상 통신 프로파일을 학습한다.
• 새로운 장치나 행동이 등장함에 따라 프로파일을 지속적으로 업데이트하는 자율 학습 프레임워크를 활용하여, 새로운 장치 유형과 공격 유형에 대한 적응성을 확보한다.
• 실시간 트래픽을 학습된 프로파일과 비교하여 이격도를 탐지하고, 이를 악성 소프트웨어로 인한 해킹의 징후로 간주하여 경고를 발생시킨다.
• 전체 파이프라인은 레이블이 있는 학습 데이터나 수동 설정 없이도 자율적으로 작동한다.

실험 결과

연구 질문

• RQ1 레이블이 있는 학습 데이터나 인간의 간섭 없이 자율 학습 시스템이 해킹된 IoT 기기를 감지할 수 있는가?
• RQ2 커뮤니티 기반의 장치 유형별 프로파일링 접근 방식은 Mirai와 같은 제로데이 또는 신규 발생하는 IoT 악성 소프트웨어를 얼마나 효과적으로 감지할 수 있는가?
• RQ3 실시간으로 새로운 장치 유형과 진화하는 공격 패tern에 얼마나 잘 적응할 수 있는가?
• RQ4 실제로 다양한 IoT 기기로 구성된 환경에서 이 시스템의 감지 정확도와 지연 시간은 어느 정도인가?

주요 결과

• DÅoT는 실제 장치 30대 이상에서 Mirai 악성 소프트웨어에 대해 96%의 감지율을 달성했다.
• 시스템은 해킹된 장치를 감지할 때 위양성 비율이 단지 1%에 불과하여 낮은 수준을 유지했다.
• 감지 지연 시간은 장치당 0.03초 미만이었으며, 실시간 모니터링이 가능했다.
• 사전 레이블링 없이도 다양한 제조사 및 장치 유형의 해킹된 장치를 성공적으로 식별했다.
• 자율 학습 메커니즘이 새로운 장치 유형과 악성 행동에 대한 지속적인 적응을 가능하게 했다.
• 커뮤니티 기반의 데이터 수집 접근 방식 덕분에 실제 세계의 IoT 통신 패턴을 광범위하고 현실적으로 프로파일링할 수 있었다.