[논문 리뷰] Efficient Intrusion Detection on Low-Performance Industrial IoT Edge Node Devices

Matthias Niedermaier, Martin Striegel외 3명|arXiv (Cornell University)|2019. 08. 11.

Network Security and Intrusion Detection참고 문헌 19인용 수 5

한 줄 요약

이 논문은 MCU에서 통계적 이상 탐지 기반으로 저성능 산업용 사물인터넷(IIoT) 엣지 디바이스를 위한 경량이며 분산형 네트워크 기반의 침입 탐지 시스템(IDS)을 제안한다. LwIP 스택과 FreeRTOS를 활용하여 자원 소모를 최소화하면서 실시간 트래픽 분석을 구현하여 DoS, 스푸핑, 인젝션 등의 일반적인 사이버 공격을 신뢰성 있게 탐지함으로써 평균 지연 시간 증가 1.13ms, IDS 부하 시 4.23 Mbit/s의 전송 속도를 달성한다.

ABSTRACT

Communication between sensors, actors and Programmable Logic Controllers (PLCs) in industrial systems moves from two-wire field buses to IP-based protocols such as Modbus/TCP. This increases the attack surface because the IP-based network is often reachable from everywhere within the company. Thus, centralized defenses, e.g. at the perimeter of the network do not offer sufficient protection. Rather, decentralized defenses, where each part of the network protects itself, are needed. Network Intrusion Detection Systems (IDSs) monitor the network and report suspicious activity. They usually run on a single host and are not able to capture all events in the network and they are associated with a great integration effort. To bridge this gap, we introduce a method for intrusion detection that combines distributed agents on Industrial Internet of Things (IIoT) edge devices with a centralized logging. In contrast to existing IDSs, the distributed approach is suitable for industrial low performance microcontrollers. We demonstrate a Proof of Concept (PoC) implementation on a MCU running FreeRTOS with LwIP and show the feasibility of our approach in an IIoT application.

연구 동기 및 목표

• 내부 및 외부 위협으로부터 노출된 IIoT 디바이스로 인해 증가하는 IP 기반 산업 네트워크의 공격 표면을 해결하기 위해.
• 중앙집중형 IDS 아키텍처의 한계(고대역폭 사용, 확장성 문제, 단일 장애점)를 극복하기 위해.
• 저성능 마이크로컨트롤러를 위한 실현 가능하고 자원 효율적인 IDS 솔루션을 개발하기 위해.
• 산업 4.0 환경에서의 보안 향상을 위해 실시간으로 디바이스 내에서 네트워크 이상을 탐지할 수 있도록 하기 위해.
• 기존 IIoT 시스템에 최소한의 수정과 높은 모듈성으로 원활하게 통합할 수 있도록 하기 위해.

제안 방법

• 시그니처나 규칙에 의존하지 않고 네트워크 메타데이터(예: 패킷 주기, 시간, 크기)를 기반으로 한 통계적 이상 탐지를 활용하여 정상 행동을 모델링한다.
• 엔드 디바이스(예: FreeRTOS와 LwIP를 탑재한 MCU)에 경량 IDS 에이전트를 직접 구현하여 로컬에서 트래픽 분석 및 필터링을 수행한다.
• 기본 행동을 수립하기 위해 학습 단계를 운영하며, 정규 트래픽 패턴에 동적으로 적응한다.
• 로컬 의사결정 수행: 이상으로 간주되는 트래픽은 경고로 표시하고 최소한의 데이터 전송으로 중앙 집중식 로깅 시스템에 보고한다.
• 애플리케이션 처리 이전에 엣지에서 패킷을 삭제할 수 있도록 허용하여 방화벽과의 통합 가능성을 확보한다.
• 플래시와 RAM에 미치는 영향을 최소화하기 위해 패킷 분석 기능에만 집중하여 자원 사용을 최적화한다.

실험 결과

연구 질문

• RQ1 정상 행동을 충분히 정확하게 학습하기 위해 ICS 네트워크를 얼마나 오래 관찰해야 하는가?
• RQ2 사용자 상호작용(HMI를 통한 제어 등)이 시스템 타이밍과 IDS 탐지 신뢰성에 어떤 영향을 미치는가?
• RQ3 엔드 노드에서 경고를 효율적으로 검색하고 운영자에게 전달하는 방법은 무엇인가?
• RQ4 정상 네트워크 행동에서 어느 정도의 이탈이 경고를 트리거하기 전까지 허용 가능한가?
• RQ5 실제 IIoT 구현 환경에서 저성능 MCU에 IDS를 적용했을 때의 성능 오버헤드는 어느 정도인가?

주요 결과

• IDS는 ARP 패킷 간 최장 간격을 기준으로 약 10분의 관찰 기간이 정상 행동의 기반을 학습하는 데 필요하며, 더 긴 기간도 허용 가능하다.
• IDS 활성화 시 평균 핑 지연 시간이 0.31ms에서 1.13ms로 증가하여 성능 영향이 최소한임을 확인하였다.
• IDS 부하 시 전송 속도는 28.2 Mbit/s에서 4.23 Mbit/s로 감소했지만, 일반적인 산업 제어 트래픽(예: 50ms 주기 시 100 Kbit/s)에 충분한 수준을 유지하였다.
• IDS 功能은 코드 3.3KB, RAM 3.3KB만 추가하여 자원 효율성이 매우 높음을 입증하였다.
• DoS, 스푸핑, 인젝션, 주동/수동 스니핑 공격을 포함한 8개의 공격 시나리오 중 6개를 성공적으로 탐지하였으며, 탐지 수준은 약한 것에서 강한 것까지 다양했다.
• 공격자가 학습 후에도 트래픽을 유지할 경우 학습 공격 및 노드 탈취 공격을 탐지할 수 있었으며, 해킹된 노드에서의 새로운 연결도 탐지할 수 있었다.