[논문 리뷰] IoTSense: Behavioral Fingerprinting of IoT Devices

Bruhadeshwar Bezawada, Maalvika Bachani외 4명|arXiv (Cornell University)|2018. 04. 11.

Internet Traffic Analysis and Secure E-voting참고 문헌 8인용 수 72

한 줄 요약

이 논문은 암호화된 트래픽에서도 높은 정확도로 장치 유형을 식별하기 위해 네트워크 트래픽 특징과 기계 학습을 사용한 IoT 행동 지문 인식을 제안한다.

ABSTRACT

The Internet-of-Things (IoT) has brought in new challenges in, device identification --what the device is, and, authentication --is the device the one it claims to be. Traditionally, the authentication problem is solved by means of a cryptographic protocol. However, the computational complexity of cryptographic protocols and/or scalability problems related to key management, render almost all cryptography based authentication protocols impractical for IoT. The problem of device identification is, on the other hand, sadly neglected. We believe that device fingerprinting can be used to solve both these problems effectively. In this work, we present a methodology to perform device behavioral fingerprinting that can be employed to undertake device type identification. A device behavior is approximated using features extracted from the network traffic of the device. These features are used to train a machine learning model that can be used to detect similar device types. We validate our approach using five-fold cross validation; we report a identification rate of 86-99% and a mean accuracy of 99%, across all our experiments. Our approach is successful even when a device uses encrypted communication. Furthermore, we show preliminary results for fingerprinting device categories, i.e., identifying different device types having similar functionality.

연구 동기 및 목표

• 행동 지문 인식을 통해 IoT 기기의 보안 식별 및 인증을 촉진한다.
• IoT 기기 동작을 프로토콜 상호작용과 명령-응답 세션의 집합으로 모델링한다.
• 장치 유형 식별을 위한 행동 프로파일을 구축하기 위해 견고한 네트워크 기반 특징을 추출한다.
• 다양한 기기 유형 및 카테고리에 걸쳐 접근법을 평가하여 강건성과 실용성을 입증한다.

제안 방법

• 장치 네트워크 트래픽을 포착하고 패킷 헤더 및 페이로드에서 특징을 추출한다.
• 장치 동작을 프로토콜 상호작용(세션)의 시퀀스로 표현하고 다섯 패킷 지문당 특징을 추출한다.
• 지문당 20개의 특징(헤더 17개+ 페이로드 3개)을 사용하여 분류기를 학습시킨다.
• 주요 분류기로 그래디언트 부스팅을 사용하고 다섯-fold 교차 검증으로 평가한다.
• 암호화된 트래픽과 유사한 조건에서 성능을 평가하기 위해 전체 특징 집합과 감소된 집합(예: 엔트로피 제거) 모두를 테스트한다.

실험 결과

연구 질문

• RQ1 관찰된 세션에서 파생된 짧은 네트워크 지문으로 IoT 기기 유형을 정확하게 식별할 수 있는가?
• RQ2 페이로드 기반 특징(엔트로피, 페이로드 길이, TCP 윈도 크기)과 헤더 특징이 페이로드가 암호화되어 있을 때에도 견고한 지문을 제공하는가?
• RQ3 이 접근법이 높은 정확도로 기기 카테고리와 개별 인스턴스를 식별하도록 확장될 수 있는가?

주요 결과

• 장치 유형 식별률은 93%에서 99%까지이며 평균 정확도는 약 99%이다.
• 엔트로피 제거(암호화된 트래픽 시뮬레이션) 시 성능 저하는 단 1-2%에 불과하며 거의 동일한 결과를 유지한다.
• 장치 카테고리 식별률은 91%에서 99%까지이며 실험 전반에 걸친 평균 카테고리 정확도는 97% 이상이다.
• 장치 인스턴스 지문 인식은 테스트된 인스턴스에서 99.7%–100%의 인식을 달성한다.
• 다섯 패킷 지문(연속 5패킷)과 100개 특징(패킷당 20개)으로 견고한 식별이 가능하다.
• TCP 윈도 크기, 엔트로피, 페이로드 길이와 같은 특징은 지문 인식에 대해 통계적으로 유의하다.