[논문 리뷰] Gotham Testbed: a Reproducible IoT Testbed for Security Experiments and Dataset Generation

Xabier Sáez-de-Cámara, José Luis Flores외 3명|arXiv (Cornell University)|2022. 07. 28.

Network Security and Intrusion Detection인용 수 5

한 줄 요약

이 논문은 MQTT, CoAP, RTSP 프로토콜을 사용하여 30개 스위치와 10개 라우터를 통해 100개의 장치로 구성된 실제적인 네트워크를 에뮬레이션하는 재현 가능하고 확장 가능한 IoT 보안 테스트베드인 Gotham Testbed를 소개한다. 이 테스트베드는 문서화된 구성과 모듈러한 설계를 통해 재현 가능성을 보장하면서도, 전체 Mirai 봇넷 라이프사이클과 레드팀 도구를 포함한 진화하는 위협을 시뮬레이션함으로써 기계학습 기반 침입 탐지에 적합한 최신이고 대표적인 데이터셋을 동적으로 생성할 수 있도록 한다.

ABSTRACT

The growing adoption of the Internet of Things (IoT) has brought a significant increase in attacks targeting those devices. Machine learning (ML) methods have shown promising results for intrusion detection; however, the scarcity of IoT datasets remains a limiting factor in developing ML-based security systems for IoT scenarios. Static datasets get outdated due to evolving IoT architectures and threat landscape; meanwhile, the testbeds used to generate them are rarely published. This paper presents the Gotham testbed, a reproducible and flexible security testbed extendable to accommodate new emulated devices, services or attackers. Gotham is used to build an IoT scenario composed of 100 emulated devices communicating via MQTT, CoAP and RTSP protocols, among others, in a topology composed of 30 switches and 10 routers. The scenario presents three threat actors, including the entire Mirai botnet lifecycle and additional red-teaming tools performing DoS, scanning, and attacks targeting IoT protocols. The testbed has many purposes, including a cyber range, testing security solutions, and capturing network and application data to generate datasets. We hope that researchers can leverage and adapt Gotham to include other devices, state-of-the-art attacks and topologies to share scenarios and datasets that reflect the current IoT settings and threat landscape.

연구 동기 및 목표

• 기계학습 기반 침입 탐지에 적합한 최신이고 대표적인 공개 데이터셋의 부족 문제를 해결하기 위해 재현 가능한 테스트베드를 제공함으로써 동적 데이터셋 생성을 지원한다.
• 진화하는 IoT 아키텍처와 위협 환경로 인해 빠르게 노후화되는 정적 데이터셋의 한계를 극복한다.
• 연구자들이 단지 데이터셋을 공유하는 것을 넘어서 전체 테스트베드 구성과 토폴로지 공유를 통해 보안 실험을 재현하고, 변형 및 확장할 수 있도록 한다.
• 기계학습 모델의 IoT 침입 탐지 개발 및 평가를 위해 현실적이고 확장 가능하며 유연한 에뮬레이션 환경을 제공한다.
• 학술 연구와 실제 운영 환경 간 격차를 줄이기 위해 현재의 IoT 네트워크 설정과 공격 패tern을 반영한 테스트베드를 제공한다.

제안 방법

• Gotham Testbed는 GNS3과 Docker를 활용하여 100개의 장치, 30개의 스위치, 10개의 라우터를 포함한 복잡한 IoT 네트워크를 에뮬레이션한다. 이는 MQTT, CoAP, RTSP 등의 프로토콜을 지원한다.
• 테스트베드는 전체 Mirai 봇넷 라이프사이클을 포함한 세 명의 위협 행위자와 함께 DoS, 스캐닝, 프로토콜 특화 공격을 위한 추가적인 레드팀 도구를 통합한다.
• 네트워크 링크 성질을 동적으로 수정하는 시나리오 생성 스크립트를 사용하여 시간이 지남에 따라 변화하는 네트워크 품질을 시뮬레이션한다.
• 노드는 모ularity와 재현 가능성을 고려하여 설계되어, 최소한의 구성 변경으로 다양한 시나리오에 재사용할 수 있다.
• 테스트베드는 실제 IoT 배포의 디지털 트윈 생성을 지원하여 보안 솔루션 평가 및 페더레이티드 러닝과 같은 분산 기계학습 기법의 평가를 가능하게 한다.
• 보안 강화 조치로는 악성 멀웨어 노드를 격리하기 위해 특권이 부여된 Docker 컨테이너 대신 QEMU 기반 가상머신을 사용할 것을 권장한다.

실험 결과

연구 질문

• RQ1 기계학습 기반 침입 탐지에 적합한 동적 데이터셋 생성을 지원하기 위해 재현 가능하고 확장 가능한 IoT 테스트베드를 어떻게 설계할 수 있는가?
• RQ2 테스트베드는 실제 IoT 네트워크 토폴로지와 진화하는 공격 패tern(전체 봇넷 라이프사이클 포함)을 어느 정도 정확하게 에뮬레이션할 수 있는가?
• RQ3 구성 가능하고 모듈러하며 철저히 문서화된 테스트베드 구성 요소의 포함이 보안 실험의 재현 가능성과 적응 가능성에 어떤 영향을 미치는가?
• RQ4 네트워크 수준와 애플리케이션 수준의 데이터 캡처를 모두 지원하는 테스트베드는 정적 공개 데이터셋에 비해 더 대표적이고 최신의 데이터셋 생성을 가능하게 하는가?
• RQ5 미지의 또는 악성일 수 있는 멀웨어 바이너리를 에뮬레이션 환경에 안전하게 통합하는 데 고려해야 할 실용적 고려사항은 무엇인가?

주요 결과

• Gotham Testbed는 MQTT, CoAP, RTSP 프로토콜을 지원하는 100개의 에뮬레이트된 장치, 30개의 스위치, 10개의 라우터를 포함하여 현실적인 IoT 환경을 성공적으로 에뮬레이션하였다.
• 테스트베드는 네트워크 및 애플리케이션 수준의 추적 데이터를 포괄적으로 캡처하여 기계학습 모델 훈련 및 평가를 위한 동적이고 시나리오 기반의 데이터셋 생성을 가능하게 한다.
• 전체 Mirai 봇넷 라이프사이클과 추가적인 레드팀 도구의 포함으로 정적 데이터셋에서 흔히 누락되는 진화하는 실제 공격 패턴을 시뮬레이션할 수 있었다.
• 테스트베드의 모듈러하고 철저히 문서화된 설계 덕분에 재현 가능성이 보장되며, 연구자들이 새로운 장치, 공격, 토폴로지에 대해 최소한의 노력으로 설정을 변형 및 확장할 수 있었다.
• 테스트베드는 네트워크 링크별 데이터 수집을 가능하게 하여 페더레이티드 러닝과 같은 고급 사용 사례를 지원함으로써 IoT 환경에서의 분산 모델 훈련을 촉진한다.
• 저자들은 단지 데이터셋을 공유하는 것뿐만 아니라 테스트베드 인프라 전체를 공유함으로써 재현 가능성의 향상과 학술 연구와 운영 환경 간 격차 감소에 크게 기여함을 입증하였다.