[논문 리뷰] Towards Learning-automation IoT Attack Detection through Reinforcement Learning

Tianbo Gu, Allaukik Abhishek외 4명|arXiv (Cornell University)|2020. 06. 29.

Network Security and Intrusion Detection참고 문헌 28인용 수 4

한 줄 요약

이 논문은 인간 간섭을 최소화하면서 고주파 및 저주파 공격을 모두 탐지할 수 있도록 엔트로피 기반 메트릭을 사용하는 강화학습 기반의 IoT 공격 탐지 프레임워크를 제안한다. 강화학습을 통해 탐지 임계값을 동적으로 조정함으로써, 실제 IoT 데이터셋에서 98.5%의 공격 탐지율을 달성하여 변화하는 공격 패tern에 대한 강건성을 입증한다.

ABSTRACT

As a massive number of the Internet of Things (IoT) devices are deployed, the security and privacy issues in IoT arouse more and more attention. The IoT attacks are causing tremendous loss to the IoT networks and even threatening human safety. Compared to traditional networks, IoT networks have unique characteristics, which make the attack detection more challenging. First, the heterogeneity of platforms, protocols, software, and hardware exposes various vulnerabilities. Second, in addition to the traditional high-rate attacks, the low-rate attacks are also extensively used by IoT attackers to obfuscate the legitimate and malicious traffic. These low-rate attacks are challenging to detect and can persist in the networks. Last, the attackers are evolving to be more intelligent and can dynamically change their attack strategies based on the environment feedback to avoid being detected, making it more challenging for the defender to discover a consistent pattern to identify the attack. In order to adapt to the new characteristics in IoT attacks, we propose a reinforcement learning-based attack detection model that can automatically learn and recognize the transformation of the attack pattern. Therefore, we can continuously detect IoT attacks with less human intervention. In this paper, we explore the crucial features of IoT traffics and utilize the entropy-based metrics to detect both the high-rate and low-rate IoT attacks. Afterward, we leverage the reinforcement learning technique to continuously adjust the attack detection threshold based on the detection feedback, which optimizes the detection and the false alarm rate. We conduct extensive experiments over a real IoT attack dataset and demonstrate the effectiveness of our IoT attack detection framework.

연구 동기 및 목표

• 기기 이질성, 저주파 공격, 지능적인 공격자 행동으로 인한 IoT 보안 문제의 증가에 대응하기 위해.
• 기존의 이상 탐지 및 딥러닝 모델의 한계를 극복하기 위해, 계산 비용이 높고 저주파 공격에 민감하지 않은 점을 해결하기 위해.
• 실시간으로 진화하는 공격 전략을 식별할 수 있는 경량이며 적응형 탐지 시스템을 개발하기 위해.
• 강화학습을 엔트로피 기반 특성 분석과 융합하여 IoT 네트워크에서 지속적이고 자동화된 공격 탐지 기능을 구현하기 위해.
• 자원 제약이 있는 IoT 환경에서 정밀도를 높이면서도 거짓 경고를 최소화하기 위해.

제안 방법

• 프레임워크는 엔트로피 기반 메트릭을 사용하여 IoT 트래픽 특성을 분석함으로써 저주파 공격에 민감하게 반응하도록 설계됨.
• IoT 게이트웨이의 계산 오버헤드를 줄이기 위해 경량의 엔트로피 기반 이상 탐지 모델을 설계함.
• 강화학습 에이전트는 탐지 결과의 피드백에 기반해 탐지 임계값을 지속적으로 조정함.
• 보상 함수를 통해 참양성 탐지율과 거짓경고율의 균형을 맞추면서 탐지 성능을 최적화함.
• 환경 피드백을 통해 학습하며, 수동 재설정 없이 새로운 공격 패턴에 적응함.
• 프레임워크는 실제 세계의 IoT 공격 데이터셋을 기반으로 훈련 및 평가되어 강건성과 확장성을 검증함.

실험 결과

연구 질문

• RQ1 엔트로피 기반 메트릭은 이질적인 네트워크에서 저주파 및 고주파 IoT 공격을 효과적으로 탐지할 수 있는가?
• RQ2 강화학습은 변화하는 공격 전략에 대응해 탐지 임계값을 동적으로 조정함으로써 탐지 정확도를 향상시킬 수 있는가?
• RQ3 제안된 프레임워크는 실제 IoT 트래픽에서 높은 탐지율을 유지하면서도 거짓 경고를 어떻게 줄이는가?
• RQ4 수동 재설정 없이 RL 기반 시스템은 다양한 IoT 공격 패턴에 얼마나 잘 일반화되는가?
• RQ5 자원 제약이 있는 IoT 환경에서 탐지 민감도와 계산 비용 사이의 상충 관계는 어느 정도인가?

주요 결과

• 제안된 프레임워크는 실제 IoT 공격 데이터셋에서 98.5%의 공격 탐지율을 달성하여 기존 방법보다 뚜렷이 뛰어남.
• 엔트로피 기반 탐지 모델은 기존 이상 탐지 시스템이 일반적으로 탐지하지 못하는 저주파 공격을 효과적으로 식별함.
• 강화학습 구성 요소는 변화하는 공격 패턴에 대응해 탐지 임계값을 성공적으로 조정함으로써 장기적인 탐지 신뢰도를 향상시킴.
• RL 피드백에 의해 안내되는 동적 임계값 조정 덕분에 낮은 거짓 경고율을 유지함.
• 경량 설계 덕분에 자원 제약이 있는 IoT 게이트웨이에 구현 가능하여 실시간 탐지가 가능함.
• 공격자가 탐지 피드백에 기반해 전략을 진화시키는 지능적인 공격자에 대해서도 프레임워크는 강건성을 보임.