[논문 리뷰] Machine Learning-Based Early Detection of IoT Botnets Using Network-Edge Traffic

Ayush Kumar, Mrinalini Shridhar외 2명|arXiv (Cornell University)|2020. 10. 22.

Network Security and Intrusion Detection인용 수 4

한 줄 요약

EDIMA는 네트워크 엣지에서 약간의 자원 소비로도 조기에 IoT 봇넷을 탐지하는 경량의 이중 단계 기계학습 기반 솔루션으로, 집합된 트래픽 분류와 ACF 기반 분석을 통해 스캐닝 및 C2 통신을 거의 100% 정확도로 탐지하고 거짓 경고를 최소화한다. 라즈베리 파이에서 낮은 탐지 지연과 최소한의 램 사용량을 달성하여 기존 방법에 비해 강건성과 효율성에서 뛰어나다.

ABSTRACT

In this work, we present a lightweight IoT botnet detection solution, EDIMA, which is designed to be deployed at the edge gateway installed in home networks and targets early detection of botnets prior to the launch of an attack. EDIMA includes a novel two-stage Machine Learning (ML)-based detector developed specifically for IoT bot detection at the edge gateway. The ML-based bot detector first employs ML algorithms for aggregate traffic classification and subsequently Autocorrelation Function (ACF)-based tests to detect individual bots. The EDIMA architecture also comprises a malware traffic database, a policy engine, a feature extractor and a traffic parser. Performance evaluation results show that EDIMA achieves high bot scanning and bot-CnC traffic detection accuracies with very low false positive rates. The detection performance is also shown to be robust to an increase in the number of IoT devices connected to the edge gateway where EDIMA is deployed. Further, the runtime performance analysis of a Python implementation of EDIMA deployed on a Raspberry Pi reveals low bot detection delays and low RAM consumption. EDIMA is also shown to outperform existing detection techniques for bot scanning traffic and bot-CnC server communication.

연구 동기 및 목표

• Mirai, Reaper, Satori와 같은 악성 소프트웨어를 활용하는 봇넷의 증가하는 위협을 해결하기 위해, 취약한 기기 보안을 악용해 대규모 DDoS 공격을 가능하게 하는 IoT 봇넷의 조기 탐지를 위한 대응이 필요하다.
• 가정 네트워크의 엣지 게이트웨이에 배포 가능한 경량 탐지 시스템을 설계하여, 대규모 공격가 시작되기 이르기 전에 봇넷을 조기에 탐지하고자 한다.
• 호스트 기반 보안의 한계를 극복하기 위해, 자원이 제한된 IoT 환경에 적합한 확장 가능한 네트워크 기반 솔루션을 제안하고자 한다.
• 연결된 IoT 기기의 수가 증가함에 따라 높은 탐지 정확도와 낮은 거짓 경고율을 유지하고자 한다.
• 라즈베리 파이와 같은 저비용 하드웨어에서의 런타임 성능을 평가하여 실용적인 구현 가능성을 확보하고자 한다.

제안 방법

• EDIMA는 이중 단계 탐지 메커니즘을 사용한다: 첫 번째 단계에서는 랜덤 포레스트와 같은 지도 학습 분류기가 집합된 게이트웨이 트래픽을 분석하여 봇 스캐닝을 암시하는 비정상적인 패턴을 탐지한다.
• 두 번째 단계에서는 개별 기기 트래픽에 자동상관함수(ACF) 기반 테스트를 적용하여, 소음이 존재하더라도 주기적인 봇-CnC 통신을 탐지한다.
• 시스템은 알려진된 IoT 악성 소프트웨어 트래픽을 담은 악성 소프트웨어 PCAP 데이터베이스, 특징 추출기, 트래픽 파서, 자동 응답 정책 엔진을 통합한다.
• 기계학습 모델은 핑거프트에서 수집한 레이블이 부여된 트래픽 샘플을 사용해 훈련되며, 지속적으로 재훈련되어 변화하는 위협에 대응한다.
• 실시간 성능 평가를 위해 파이썬 기반 구현체가 라즈베리 파이에 배포되어 탐지 지연 및 램 소비량을 측정한다.
• 아키텍처는 확장 가능하도록 설계되어 있어, 새로운 CnC 프로토콜이나 회피 기법이 등장할 경우 탐지 로직을 간편하게 업데이트할 수 있다.

실험 결과

연구 질문

• RQ1 경량이며 엣지에 배포 가능한 시스템이 높은 정확도와 낮은 거짓 경고율로 IoT 봇넷 스캐닝 및 C2 트래픽을 탐지할 수 있는가?
• RQ2 단일 게이트웨이에 연결된 IoT 기기 수가 증가함에 따라 EDIMA의 탐지 성능은 어떻게 변화하는가?
• RQ3 라즈베리 파이와 같은 저성능 하드웨어에서 EDIMA는 낮은 탐지 지연과 최소한의 자원 소비를 달성할 수 있는가?
• RQ4 기존 봇넷 탐지 기법과 비교해 EDIMA의 성능은 스캐닝 및 C2 통신 탐지에서 어떻게 다른가?
• RQ5 어드버서리 트래픽 패턴을 사용하는 제로데이 악성 소프트웨어나 유혹적 변종을 탐지하는 데 시스템의 한계는 무엇인가?

주요 결과

• EDIMA는 랜덤 포레스트 및 기타 기계학습 모델을 사용하여 봇 스캐닝과 봇-CnC 트래픽에 대해 거의 100%의 정확도를 달성하며, 매우 낮은 거짓 경고율을 유지한다.
• 연결된 IoT 기기 수가 두 배 이상 증가하더라도 탐지 성능이 강건하게 유지되어 뛰어난 확장성을 보인다.
• 라즈베리 파이에 구현된 EDIMA의 파이썬 버전은 낮은 봇 탐지 지연과 최소한의 램 소비량을 보이며, 실용적인 구현 가능성과 실시간 운영 가능성을 확인한다.
• EDIMA는 봇 스캐닝 및 C2 통신 트래픽을 식별하는 데 있어 정확도와 신뢰성 면에서 기존 탐지 기법을 뛰어넘는다.
• ACF 기반 방법은 신호와 상관이 없는 소음이 존재하더라도 주기적인 CnC 신호를 효과적으로 탐지할 수 있다.
• 스캐닝 주기나 CnC 메시징 패턴을 변경하는 회피 시도에는 취약하지만, 이러한 변경은 악성 소프트웨어의 효율성을 떨어뜨리고 CnC 제어를 손상시킬 수 있다.