[논문 리뷰] IoT Behavioral Monitoring via Network Traffic Analysis

Arunan Sivanathan|arXiv (Cornell University)|2020. 01. 28.

Network Security and Intrusion Detection참고 문헌 109인용 수 14

한 줄 요약

이 논문은 실시간 기기 분류, 상태 탐지 및 이상 탐지 기능을 제공하기 위해 네트워크 트래픽 분석을 활용한 기계학습 기반 프레임워크를 제안한다. 이는 28종의 IoT 기기를 초과 99%의 정확도로 분류하고, 비지도 학습을 통해 약 94%의 정확도로 공격을 탐지함으로써 스마트 환경에서 확장 가능하고 저비용이며 적응 가능한 보안 모니터링을 실현한다.

ABSTRACT

Smart homes, enterprises, and cities are increasingly being equipped with a plethora of Internet of Things (IoT), ranging from smart-lights to security cameras. While IoT networks have the potential to benefit our lives, they create privacy and security challenges not seen with traditional IT networks. Due to the lack of visibility, operators of such smart environments are not often aware of their IoT assets, let alone whether each IoT device is functioning properly safe from cyber-attacks. This thesis is the culmination of our efforts to develop techniques to profile the network behavioral pattern of IoTs, automate IoT classification, deduce their operating context, and detect anomalous behavior indicative of cyber-attacks. We begin this thesis by surveying IoT ecosystem, while reviewing current approaches to vulnerability assessments, intrusion detection, and behavioral monitoring. For our first contribution, we collect traffic traces and characterize the network behavior of IoT devices via attributes from traffic patterns. We develop a robust machine learning-based inference engine trained with these attributes and demonstrate real-time classification of 28 IoT devices with over 99% accuracy. Our second contribution enhances the classification by reducing the cost of attribute extraction while also identifying IoT device states. Prototype implementation and evaluation demonstrate the ability of our supervised machine learning method to detect behavioral changes for five IoT devices. Our third and final contribution develops a modularized unsupervised inference engine that dynamically accommodates the addition of new IoT devices and/or updates to existing ones, without requiring system-wide retraining of the model. We demonstrate via experiments that our model can automatically detect attacks and firmware changes in ten IoT devices with over 94% accuracy.

연구 동기 및 목표

• 스마트 환경에서 기기 식별 및 사이버 공격 탐지에 장애가 되는 실시간 IoT 네트워크 활동에 대한 가시성 부족 문제를 해결한다.
• 이질적이고 대규모 IoT 배포 환경에 확장되지 못하는 전통적인 IT 보안 기법의 한계를 극복한다.
• 네트워크 트래픽 패턴을 활용해 자동화되고 확장 가능하며 적응 가능한 기술을 개발하여 IoT 기기 식별, 행동 프로파일링 및 이상 탐지 기능을 수행한다.
• 공격 서명에 대한 사전 지식이 필요 없이 정상 기기 행동을 모델링하고 그 변화를 식별하여 알려진 공격 및 제로데이 공격을 탐지할 수 있도록 한다.
• 다중 시간스케일 플로우 수준 모니터링과 효율적인 속성 추출을 통해 텔레메트리 비용을 줄이면서도 높은 탐지 정확도를 유지한다.

제안 방법

• 6개월 간의 수집된 네트워크 트래픽 트레이스를 활용해 28종의 오프더셰프 IoT 기기의 행동 속성을 추출하기 위해 네트워크 트래픽 트레이스를 수집하고 분석하였다.
• 플로우 수준 텔레메트리에 기반한 지도 학습 추론 엔진을 설계하여 실시간으로 99% 이상의 정확도로 IoT 기기를 분류하였다.
• 비용 절감을 위해 다중 시간스케일 플로우 수준 프로그래머블 텔레메트리를 도입하여 기기 상태(부팅, 사용자 상호작용, 무용) 탐지 기능을 제공하였다.
• 완전한 모델 재학습 없이도 새로운 또는 업데이트된 기기에 동적으로 적응할 수 있는 모odu larized 비지도 학습 추론 엔진을 개발하였다.
• 클러스터링 기반 네트워크 트래픽 모델링을 활용해 펌웨어 업데이트 및 저속도 사이버 공격과 같은 행동 이상을 탐지하였다.
• 샘플링된 트래픽에서 페이로드 엔트로피와 같은 패킷 수준 속성을 통합하여 위조 공격에 대한 저항력을 강화하고 탐지 정확도를 향상시켰다.

실험 결과

연구 질문

• RQ1 다양한 소비자용 IoT 기기의 행동 패턴을 실시간으로 분류하고 프로파일링하는 데 네트워크 트래픽 특성을 효과적으로 활용할 수 있는가?
• RQ2 다중 시간스케일에서 플로우 수준 텔레메트리를 최적화하여 모니터링 비용을 줄이면서도 기기 상태 및 이상 탐지 정확도를 유지할 수 있는가?
• RQ3 재학습이 필요 없이 비지도 학습 모델이 알려지지 않은 또는 변화하는 IoT 기기 행동(사이버 공격 및 펌웨어 업데이트 포함)을 탐지할 수 있는가?
• RQ4 비지도 모델이 정상 트래픽 패턴을 모방하는 저속도 또는 은밀한 공격을 어느 정도 탐지할 수 있는가?
• RQ5 공격 서명에 대한 사전 지식 없이도 해킹된 기기나 악성 설정 변경으로 인한 행동 변화를 어떻게 탐지할 수 있는가?

주요 결과

• 지도 학습 기반 분류 프레임워크는 수집된 6개월 간의 네트워크 트래픽 데이터를 활용해 28종의 다른 오프더셰프 IoT 기기를 초과 99%의 정확도로 식별하였다.
• 플로우 수준 텔레메트리 접근 방식은 속성 추출 비용을 절감하면서도 기기 상태 및 행동 변화(펌웨어 업데이트 포함)의 실시간 탐지 기능을 제공하였다.
• 비지도 모odular 추론 엔진은 10대의 IoT 기기에서 직접 공격, 위조 공격, 반사 공격 등의 이상을 94% 이상의 정확도로 탐지하였다.
• 행동 패턴 모델링에 기반하기 때문에 전통적인 서명 기반 방법으로는 탐지하기 어려운 저속도 공격에 대해 높은 민감도를 보였다.
• 페이로드 엔트로피와 같은 패킷 수준 속성 통합으로 악성 환경에서 트래픽 패턴 위조에 대한 내성을 향상시켰다.
• 시스템 전체 재학습 없이도 새로운 또는 업데이트된 기기에 동적으로 적응할 수 있어 장기적인 확장성과 유지보수성을 향상시켰다.