[論文レビュー] An accurate IoT Intrusion Detection Framework using Apache Spark

Mohamed Abushwereb, Mouhammd Alkasassbeh+2 more|arXiv (Cornell University)|Feb 21, 2022

Network Security and Intrusion Detection被引用数 6

ひとこと要約

本稿では、ボリュームの大きなデータ処理ワークロードを効率的に行うために、Apache Spark と MLlib を活用した正確な IoT マイコン制御侵入検知フレームワークを提案する。部分データセットを用いたランダムフォレストによる二値分類で、最大 99.7% の F1 スコアを達成し、リアルタイム環境における IoT サイバー脅威の検知に高い性能を示している。

ABSTRACT

The internet has caused tremendous changes since its appearance in the 1980s, and now, the Internet of Things (IoT) seems to be doing the same. The potential of IoT has made it the center of attention for many people, but, where some see an opportunity to contribute, others may see IoT networks as a target to be exploited. The high number of IoT devices makes them the perfect setup for staging denial-of-service attacks (DoS) that can have devastating consequences. This renders the need for cybersecurity measures such as intrusion detection systems (IDSs) evident. The aim of this paper is to build an IDS using the big data platform, Apache Spark. Apache Spark was used along with its ML library (MLlib) and the BoT-IoT dataset. The IDS was then tested and evaluated based on F-Measure (f1), as was the standard when evaluating imbalanced data. Two rounds of tests were performed, a partial dataset for minimizing bias, and the full BoT-IoT dataset for exploring big data and ML capabilities in a security setting. For the partial dataset, the Random Forest algorithm had the highest performance for binary classification at an average f1 measure of 99.7%, as well as 99.6% for main category classification, and an 88.5% f1 measure for sub category classification. As for the complete dataset, the Decision Tree algorithm scored the highest f1 measures for all conducted tests; 97.9% for binary classification, 79% for main category classification, and 77% for sub category classification.

研究の動機と目的

• 大規模ネットワークにおける脆弱な IoT デバイスの増加に伴うセキュリティリスクに対処すること。
• 大容量の IoT ネットワークトラフィックを処理できるスケーラブルで高パフォーマンスな侵入検知システム（IDS）を開発すること。
• Apache Spark の分散コンピューティングフレームワークを用いて、クラス不均衡を示す IoT 侵入検知データに対する機械学習モデルの有効性を評価すること。
• 実世界の IoT データセット上で、二値および多クラス侵入カテゴリの検出におけるさまざまな ML アルゴリズムのパフォーマンスを比較すること。
• 大規模データプラットフォーム（例：Apache Spark）を活用したリアルタイムかつ正確な侵入検知が、IoT 環境で実現可能であることを示すこと。

提案手法

• フレームワークは、IoT ネットワークトラフィックの分散処理と高速分析を実現するため、Apache Spark をビッグデータ処理エンジンとして使用する。
• Spark の MLlib ライブラリを活用して、ランダムフォレストや決定木を含む複数の機械学習モデルの学習と評価を実施する。
• ボリュームの大きなデータ処理ワークロードを効率的に行うために、実世界の IoT ネットワークトラフィックを表す、BoT-IoT データセットを主なデータソースとして使用する。
• 二段階の評価フェーズを実施する：偏りを低減するための部分データセットを用いた評価と、スケーラビリティとパフォーマンスを評価するためのフルデータセットを用いた評価。
• データセットのクラス不均衡を考慮し、主な評価指標として F-Measure（F1）を採用する。
• リアルタイム処理をサポートするように設計されており、IoT ネットワークにおける悪意ある行動の即時検知を可能にしている。

実験結果

リサーチクエスチョン

• RQ1 Apache Spark は、侵入検知のための大規模 IoT ネットワークトラフィック処理において、スケーラブルかつ効率的な処理を実現するのにどの程度有効であるか？
• RQ2 BoT-IoT データセット上で、二値分類（通常 vs. 攻撃）および多クラス分類（主カテゴリおよびサブカテゴリ）の侵入タイプを検出する際、どの機械学習アルゴリズムが最高の F1 スコアを達成するか？
• RQ3 部分データセットとフル BoT-IoT データセットの間で、F1 スコアおよび計算効率の観点からモデルのパフォーマンスはどのように変化するか？
• RQ4 Apache Spark を用いた分散コンピューティングは、リソース制約のある IoT 環境における侵入検知の正確性と速度をどの程度向上できるか？
• RQ5 IoT 侵入検知データセットに内在するクラス不均衡の影響を受けても、提案されたフレームワークは高い検知正確性を維持できるか？

主な発見

• 部分データセットでは、ランダムフォレストが二値分類で最高の F1 スコア 99.7% を達成し、優れた検知正確性を示している。
• 主カテゴリ分類では、ランダムフォレストが 99.6% の F1 スコアを達成し、主要な攻撃タイプを効果的に区別できることを示している。
• サブカテゴリ分類では、ランダムフォレストが 88.5% の F1 スコアを達成し、細分化された攻撃バージョンの検出に効果的であることが示された。
• フル BoT-IoT データセットでは、意思決定木アルゴリズムが他のアルゴリズムを上回り、二値分類で 97.9% の F1 スコアを達成した。
• フルデータセットにおける主カテゴリ分類では、意思決定木が 79% の F1 スコアを達成したが、データの複雑さとスケールの増大に伴いパフォーマンスが低下した。
• フルデータセットにおけるサブカテゴリ分類では、意思決定木が 77% の F1 スコアを達成し、特定の攻撃サブタイプの検出に中程度の正確性を示した。