[논문 리뷰] IoTDots: A Digital Forensics Framework for Smart Environments

Leonardo Babun, Amit Kumar Sikder외 2명|arXiv (Cornell University)|2018. 09. 03.

Digital and Cyber Forensics참고 문헌 13인용 수 40

한 줄 요약

IoTDots는 스마트 앱을 자동으로 분석하고 수정하여 포렌식에 관련된 데이터를 로그로 남기고, 로그를 중앙 데이터베이스에 저장하며, 데이터 처리 및 기계 학습을 사용해 스마트 환경에서 사용자 활동 및 악의적 행동을 탐지합니다.

ABSTRACT

IoT devices and sensors have been utilized in a cooperative manner to enable the concept of a smart environment. In these smart settings, abundant data is generated as a result of the interactions between devices and users' day-to-day activities. Such data contain valuable forensic information about events and actions occurring inside the smart environment and, if analyzed, may help hold those violating security policies accountable. In this paper, we introduce IoTDots, a novel digital forensic framework for a smart environment such as smart homes and smart offices. IoTDots has two main components: IoTDots-Modifier and IoTDots-Analyzer. At compile time, IoTDots-Modifier performs the source code analysis of smart apps, detects forensically-relevant information, and automatically insert tracing logs. Then, at runtime, the logs are stored into a IoTDots database. Later, in the event of a forensic investigation, the IoTDots-Analyzer applies data processing and machine learning techniques to extract valuable and usable forensic information from the devices' activity. In order to test the performance of IoTDots, we tested IoTDots in a realistic smart office environment with a total of 22 devices and sensors. The evaluation results show that IoTDots can achieve, on average, over 98% of accuracy on detecting user activities and over 96% accuracy on detecting the behavior of users, devices, and apps in a smart environment. Finally, IoTDots performance yields no overhead to the smart devices and very minimal overhead to the cloud server.

연구 동기 및 목표

• 스마트 환경에서 포렌식 목적의 IoT 데이터를 포착하고 분석하는 디지털 포렌식 프레임워크를 제안한다.
• 컴파일 타임에 스마트 앱을 수정하여 포렌식 로그 수집을 자동화한다.
• ML을 사용해 사용자 활동을 추론하고 이상 행동 및 정책 위반을 탐지하는 확장 가능한 분석 파이프라인을 제공한다.

제안 방법

• 포렌식에 관련된 데이터 포인트(이벤트, 동작, 입력, 장치 정보, 시간/위치)를 식별하기 위해 스마트 앱 소스 코드를 분석한다.
• IoTDots 로깅 훅을 삽입하기 위해 컴파일 타임에 스마트 앱을 수정한다(IoTDots-Modifier).
• 런타임에 IoTDots Logs Database (ITLD)에 포렌식 로그를 저장한다.
• ITA에서 ITLD 데이터를 라벨링 및 기계 학습 적용으로 사용자 활동을 추론하고 행동을 탐지한다.
• 정책 인지 탐지를 사용해 활동/행동을 보안 정책과 연관시킨다.
• 높은 정확도에 기반한 활동 탐지(≈98%) 및 행동 탐지(≈96%)를 보여주고 장치 오버헤드는 낮다.

실험 결과

연구 질문

• RQ1 IoTDots가 스마트 환경에서 포렌식에 관련된 사용자 활동을 신뢰성 있게 탐지할 수 있는가?
• RQ2 IoTDots가 사용자, 앱 또는 장치의 이상한 활동과 악의적 행동을 식별할 수 있는가?
• RQ3 IoTDots의 런타임 및 클라우드 오버헤드는 어느 정도이며 이것이 스마트 장치와 서비스에 어떤 영향을 미치는가?
• RQ4 ITA 파이프라인(레이블링, ML 분석)이 로그에서 포렌식 인사이트를 추출하는 데 얼마나 효과적인가?

주요 결과

• IoTDots는 스마트 오피스 환경에서 시간 의존적 및 비시간 의존적 사용자 활동 탐지에서 최대 98%의 정확도를 달성했다.
• IoTDots는 사용자, 장치, 앱의 동작 탐지에서 최대 96%의 정확도를 달성했다.
• 스마트 디바이스에 어떠한 오버헤드도 부과하지 않으며 클라우드 서버 및 메모리/지연에 대한 매우 미미한 오버헤드가 있다.
• IoTDots는 수정된 앱에서 데이터 수집과 ML 기반 분석을 결합한 경량의 종합 포렌식 솔루션을 제공한다.