[논문 리뷰] FLEAM: A Federated Learning Empowered Architecture to Mitigate DDoS in Industrial IoT

Jiwei Li, Lingjuan Lyu외 3명|arXiv (Cornell University)|2020. 12. 11.

Network Security and Intrusion Detection참고 문헌 17인용 수 7

한 줄 요약

FLEAM은 원시 데이터를 공유하지 않고 분산된 IIoT 노드를 통해 글로벌 모델을 훈련함으로써 산업용 인터넷(IIoT)에서 분산형 학습(FL) 기반의 아키텍처를 제안하며, 이는 분산형 컴퓨팅 환경을 활용해 DDoS 공격을 공동으로 탐지하고 억제하는 데 목적이 있다. IMA-GRU 프로토콜은 98%의 정확도로 저지연 탐지를 가능하게 하여 억제 시간을 72% 감소시키고, 중앙집중식 방법 대비 공격자 비용을 2.7배 증가시킨다.

ABSTRACT

The distributed denial of service (DDoS) attack is detrimental to the industrial Internet of things (IIoT) as it triggers severe resource starvation on networked objects. Recent dynamics demonstrate that it is a highly profitable business for attackers using botnets. Current centralized mitigation solutions concentrate on detection and mitigation at a victim's side, paying inadequate attention to hacking costs and the collaboration of defenders. Thus, we propose the federated learning empowered mitigation architecture (FLEAM) to advocate joint defense, incurring a higher hacking expense. FLEAM combines FL and fog computing to reduce mitigation time and improve detection accuracy, enabling defenders to jointly combatting botnets. Our comprehensive evaluations showcase that the attacking expense incurred is 2.5 times higher, the mitigation delay is about 72% lower, and the accuracy is 47% greater on average than classic solutions.

연구 동기 및 목표

• 자원이 제한된 기기들이 머신러닝 모델을 실행할 수 없고, 데이터 프라이버시가 우려되는 중앙집중식 탐지의 한계를 해결하기 위해.
• 모델 훈련과 지능을 퍼그/에지 노드로 분산시켜 DDoS 억제 지연 시간을 줄이고 탐지 정확도를 향상시키기 위해.
• 공격자에게 더 높은 경제적 비용을 지불하게 하기 위해 공격 경로 전반에 억제 지능을 배치함으로써 피해자에게만 집중하지 않기 위해.
• 분산된 IIoT 방어자 네트워크 간 협업형 공격자 중심 방어를 위해 분산형 학습을 활용하기 위해.
• 중앙집중식 훈련과 유사한 정확도를 달성하면서도 데이터 프라이버시를 유지하고 통신 오버헤드를 줄일 수 있음을 입증하기 위해.

제안 방법

• FLEAM 아키텍처는 서버-코ordinating-워커 계층을 사용한다: Aggregator(글로벌 모델 서버), DPM(로컬 훈련 코ordinating), LAM(로컬 분석 모듈)이 퍼그/에지 노드에 배치된다.
• 로컬 협업자로부터 모델 파라미터를 집계하기 위해 반복적 모델 평균화(Iterative Model Averaging, IMA) 프로토콜을 사용하여 원시 데이터를 이전하지 않고도 글로벌 모델 수렴을 가능하게 한다.
• 네트워크 트래픽의 시간적 패턴을 모델링하기 위해 로컬 탐지 모듈에서 게이트드 순환 유닛(Gated Recurrent Unit, GRU) 신경망을 사용한다.
• 시스템은 로컬 데이터 샘플을 사용해 퍼그/에지 노드에서 로컬 모델 훈련을 수행한 후, 업데이트된 모델 파라미터만 집계기로 업로드한다.
• 집계기는 로컬 파라미터의 가중 평균을 계산하여 글로벌 모델 업데이트를 수행하고 모든 협업자에게 재배포함으로써 모델 일관성과 프라이버시를 보장한다.
• 실시간 탐지 기반으로 블로킹 등의 억제 조치가 소스 엔드(로컬 네트워크)에서 실행되어 반응 지연을 최소화한다.

실험 결과

연구 질문

• RQ1 자원이 제한된 IIoT 환경에서 데이터 프라이버시나 모델 정확도를 훼손하지 않고 분산형 학습을 효과적으로 적용할 수 있는가?
• RQ2 동적 IIoT 네트워크에서 분산형 탐지 모델은 중앙집중식 모델 대비 탐지 정확도와 반응 시간 측면에서 어떻게 비교되는가?
• RQ3 공격 경로 전반에 억제 지능을 분산시킬 경우, 공격자 비용을 얼마나 높이고 DDoS 캠페인 성공률를 얼마나 낮출 수 있는가?
• RQ4 IMA-GRU 프로토콜은 통신 오버헤드와 데이터 전송을 최소화하면서도 중앙집중식 훈련과 유사한 탐지 정확도를 달성할 수 있는가?
• RQ5 비독립 동일 분포(Non-IID) 데이터 분포를 가진 이질적이고 분산된 IIoT 환경에서 FLEAM 아키텍처는 어떻게 확장 가능한가?

주요 결과

• FLEAM 아키텍처는 UNSW NB15 데이터셋에서 중앙집중식 훈련과 거의 동일한 성능을 기록하며 약 98%의 탐지 정확도를 달성한다.
• 기존 피해자 중심 접근 방식 대비 억제 반응 시간이 72% 감소했으며, 이는 초기 탐지와 소스에서의 로컬 억제 덕분이다.
• 공격자가 부담하는 비용은 평균 2.7배 증가하여 DDoS 공격의 수익성이 떨어지고 향후 공격 유혹을 줄이는 데 기여한다.
• IMA-GRU 프로토콜은 IIoT 노드 간 데이터 이질성과 비독립 동일 분포 분포를 효과적으로 처리하여 모델 수렴성과 강건성을 유지한다.
• 훈련과 탐지를 퍼그/에지 노드로 이관함으로써 실제 IIoT 환경에서의 확장성과 실용성을 입증했으며, 클라우드 의존도와 통신 부하를 감소시켰다.
• FLEAM은 피해자 중심 방어에서 벗어나 봇넷 운영을 능동적으로 방해하는 협업형 공격자 중심 방어 모델을 가능하게 한다.