[논문 리뷰] HADES-IoT: A Practical Host-Based Anomaly Detection System for IoT Devices (Extended Version)

Dominik Breitenbacher, Ivan Homoliak외 3명|arXiv (Cornell University)|2019. 05. 03.

Advanced Malware Detection Techniques참고 문헌 12인용 수 4

한 줄 요약

HADES-IoT는 Linux 기반 IoT 디바이스를 대상으로 하는 경량 호스트 기반 이상 탐지 시스템으로, 로드 가능 커널 모듈(LKM)을 통해 시스템 호출을 가로채어 승인된 동작의 화이트리스트를 적용한다. 이 시스템은 VPNFilter 및 IoTReaper와 같은 IoT 악성코드에 대해 100% 탐지 정확도를 달성하면서도 평균 5.5%의 메모리 오버헤드와 최소한의 CPU 부하를 기록하여 자원이 제한된 환경에서도 실용적이다.

ABSTRACT

Internet of Things (IoT) devices have become ubiquitous and are spread across many application domains including the industry, transportation, healthcare, and households. However, the proliferation of the IoT devices has raised the concerns about their security, especially when observing that many manufacturers focus only on the core functionality of their products due to short time to market and low-cost pressures, while neglecting security aspects. Moreover, it does not exist any established or standardized method for measuring and ensuring the security of IoT devices. Consequently, vulnerabilities are left untreated, allowing attackers to exploit IoT devices for various purposes, such as compromising privacy, recruiting devices into a botnet, or misusing devices to perform cryptocurrency mining. In this paper, we present a practical Host-based Anomaly DEtection System for IoT (HADES-IoT) that represents the last line of defense. HADES-IoT has proactive detection capabilities, provides tamper-proof resistance, and it can be deployed on a wide range of Linux-based IoT devices. The main advantage of HADES-IoT is its low performance overhead, which makes it suitable for the IoT domain, where state-of-the-art approaches cannot be applied due to their high-performance demands. We deployed HADES-IoT on seven IoT devices to evaluate its effectiveness and performance overhead. Our experiments show that HADES-IoT achieved 100% effectiveness in the detection of current IoT malware such as VPNFilter and IoTReaper; while on average, requiring only 5.5% of available memory and causing only a low CPU load.

연구 동기 및 목표

• 나쁜 보안 관행과 표준화된 보안 측정 방법의 부재로 인한 IoT 디바이스의 증가하는 보안 위험을 해결하기 위해.
• 자원이 제한된 IoT 디바이스에서 효율적으로 작동하는 실용적인 침입 탐지 시스템을 개발하기 위해.
• 호스트 기반 행동 분석을 통해 사전 탐지 및 변조 방지 저항성을 제공하기 위해.
• 실제로 존재하는 IoT 악성코드에 대해 높은 탐지 정확도를 유지하면서 성능 오버헤드를 최소화하기 위해.

제안 방법

• HADES-IoT는 로드 가능 커널 모듈(LKM)을 사용해 커널 수준에서 시스템 호출을 가로채어 사용자 공간 프로그램 실행에 대한 저수준 제어를 가능하게 한다.
• 정상적인 장치 운영에서 유도된 승인된 시스템 호출 시퀀스의 화이트리스트를 적용하여, 어떤 이질적 행동도 악성으로 간주하고 차단한다.
• 각 장치에서 정상 작동 중인 1시간 동안의 시스템 호출 모니터링을 통해 합법적 행동을 프로파일링하여 기준 프로파일을 수립한다.
• LKM 기반 아키텍처는 비승인된 바이너리가 실행되는 것을 방지하여 강력한 변조 저항성을 제공한다.
• 화이트리스트 검증을 위한 상수 시간 검색을 통해 실시간으로 시스템 호출 모니터링을 수행하여 CPU 오버헤드를 최소화한다.
• 소스 코드가 필요 없고 응용 프로그램 수준의 인스트루멘테이션 없이도 다양한 Linux 기반 IoT 디바이스에 쉽게 이식하고 배포할 수 있도록 설계되었다.

실험 결과

연구 질문

• RQ1 자원이 제한된 IoT 디바이스에 배포 가능한 효과적이고 효율적인 호스트 기반 이상 탐지 시스템을 구축할 수 있는가?
• RQ2 로드 가능 커널 모듈을 통한 시스템 호출 가로채기를 어떻게 활용해 IoT 환경에서 실시간으로 저오버헤드 이상 탐지 기능을 달성할 수 있는가?
• RQ3 화이트리스트 기반 접근 방식이 알려진 악성코드와 알려지지 않은 악성코드를 얼마나 정확하게 탐지할 수 있으며, 거짓 경고는 얼마나 최소화할 수 있는가?
• RQ4 실제 IoT 하드웨어에서 이러한 시스템의 실제 성능 오버헤드(CPU 및 메모리)는 어느 정도인가?

주요 결과

• HADES-IoT는 VPNFilter 및 IoTReaper와 같은 잘 알려진 악성코드 패밀리를 포함한 다섯 종류의 IoT 악성코드에 대해 100% 탐지 효과를 보였다.
• 세븐 대상 IoT 디바이스에서 평균적으로 사용 가능한 메모리의 5.5%만을 차지하여 낮은 메모리 프로파일을 입증했다.
• CPU 오버헤드는 매우 낮았으며, 성능 영향은 화이트리스트 크기와는 무관하게 생성된 프로세스의 수에 따라만 증가했다.
• 정상 작동 중 1시간 내에 정확한 장치 프로파일을 추출할 수 있어 빠른 배포가 가능했다.
• LKM 기반 아키텍처는 강력한 변조 저항성을 제공하여 비승인된 바이너리 실행을 방지했다.
• 소스 코드나 커널 재컴파일이 필요 없이 다양한 저사양 IoT 디바이스에 실생활에서 배포 가능한 실용성 있는 접근 방식이었다.