[논문 리뷰] Toward Secure Edge Networks Taming Device to Device (D2D) Communication in IoT

Ibbad Hafeez, Aaron Yi Ding외 2명|arXiv (Cornell University)|2017. 12. 16.

Network Security and Intrusion Detection참고 문헌 16인용 수 10

한 줄 요약

IoTguard는 네트워크 로그 특징과 퍼지 C-의미 클러스터링을 사용하여 엣지 네트워크에서 악성 및 정상 IoT 디바이스 트래픽을 감지하는 경량의, 반감독 학습 기반 시스템입니다. 저자원 장치인 OpenWRT 액세스 포인트와 같은 환경에서도 낮은 오진 양성률을 유지하면서 실시간 분류에서 98% 이상의 정확도를 달성하며 효율적으로 작동합니다.

ABSTRACT

The growing popularity of Internet-of-Things (IoT) has created the need for network-based traffic anomaly detection systems that could identify misbehaving devices. In this work, we propose a lightweight technique, IoT-guard, for identifying malicious traffic flows. IoT-guard uses semi-supervised learning to distinguish between malicious and benign device behaviours using the network traffic generated by devices. In order to achieve this, we extracted 39 features from network logs and discard any features containing redundant information. After feature selection, fuzzy C-Mean (FCM) algorithm was trained to obtain clusters discriminating benign traffic from malicious traffic. We studied the feature scores in these clusters and use this information to predict the type of new traffic flows. IoT-guard was evaluated using a real-world testbed with more than 30 devices. The results show that IoTguard achieves high accuracy (98%), in differentiating various types of malicious and benign traffic, with low false positive rates. Furthermore, it has low resource footprint and can operate on OpenWRT enabled access points and COTS computing boards.

연구 동기 및 목표

• 소규모 사무실 및 가정용 네트워크(SOHO)에서 IoT 디바이스를 대상으로 한 효율적이고 저자원 소비 네트워크 기반의 이상 탐지 기술의 부족을 해결하기 위해.
• 특수 하드웨어나 레이블이 부여된 데이터에 의존하지 않고도 악성 또는 정상 트래픽으로 분류할 수 있는 자가 적응형 시스템을 개발하기 위해.
• 높은 탐지 정확도를 유지하면서도 오진 양성률과 자원 오버헤드를 줄이며 실세계 엣지 환경에서의 실시간 작동을 보장하기 위해.
• 방화벽이나 NIDS에 의존하지 않고 액세스 포인트 및 게이트웨이의 네트워크 로그만을 사용하여 실시간 트래픽 분류를 가능하게 하기 위해.
• 펌웨어 업데이트와 같은 디바이스 행동 변화에 동적으로 대응할 수 있도록 하되, 오진 양성률을 유발하지 않기 위해.

제안 방법

• 액세스 포인트 및 게이트웨이에 연결된 IoT 디바이스의 로그에서 39개의 네트워크 트래픽 특징을 추출하였습니다.
• 중복된 특징을 제거하여 차원을 감소시키면서도 분류 능력을 유지하기 위해 특징 선택을 수행하였습니다.
• 퍼지 C-의미(FCM) 클러스터링을 적용하여 트래픽 패턴을 정상 및 악성 행동을 나타내는 클러스터로 그룹화하였습니다.
• 클러스터 소속도를 기반으로 새로운 트래픽 흐름의 악성 정도를 퍼지 보간법을 통해 추정하였습니다.
• 데이터 불균형 문제를 해결하기 위해 소수의(악성) 클래스에 대해 오버샘플링하고 다수의(정상) 클래스에 대해 언더샘플링 하였습니다.
• 실세계 테스트베드를 활용하여 유선 및 무선 연결을 포함한 30개 이상의 소비자용 IoT 디바이스를 대상으로 모델을 검증하였습니다.

실험 결과

연구 질문

• RQ1 네트워크 로그만을 사용하여 반감독 학습 기반 접근 방식이 악성 또는 정상 트래픽으로 IoT 디바이스 트래픽을 효과적으로 분류할 수 있는가?
• RQ2 경량 클러스터링 기반 시스템이 저자원 엣지 디바이스에서 실시간으로 다양한 종류의 악성 트래픽을 얼마나 정확하게 탐지할 수 있는가?
• RQ3 펌웨어 업데이트와 같은 디바이스 행동 변화에 대해 시스템이 얼마나 잘 적응할 수 있으며, 오진 양성률을 유발하지 않을 수 있는가?
• RQ4 정확도와 자원 효율성 측면에서 기존의 감독 기반 이상 탐지 기법과 비교했을 때 시스템의 성능은 어떠한가?
• RQ5 기존의 스파이웨어 공격과 유사한 트래픽 패턴을 기반으로 하여 새로운 공격 유형, 예를 들어 크립토저킹을 탐지할 수 있는가?

주요 결과

• IoTguard는 양성 및 다중 클래스 트래픽 분류 작업 모두에서 최소 98%의 분류 정확도를 달성하였습니다.
• 시스템은 약 0.01의 매우 낮은 오진 양성률을 기록하여 정상 트래픽와 악성 트래픽을 구분하는 데 있어 높은 신뢰성을 보였습니다.
• 트래픽 분류가 250밀리초 이내로 수행되어 OpenWRT 기반 액세스 포인트와 같은 저성능 하드웨어에서도 실시간 탐지가 가능했습니다.
• 펌웨어 업데이트와 같은 디바이스 행동 변화에 대해 재학습 없이도 시스템이 적응 가능했으며, 오진 양성률을 발생시키지 않았습니다.
• 특징 선택을 통해 초기 39개의 특징이 더 효율적인 하위 집합으로 축소되어 모델의 효율성과 해석 가능성이 향상되었습니다.
• 기존의 스파이웨어 공격과 유사한 트래픽 패턴 프로파일을 기반으로 하여 크립토저킹과 같은 추가적인 공격 유형을 탐지할 수 있도록 확장 가능합니다.