[论文解读] IoTSense: Behavioral Fingerprinting of IoT Devices

Bruhadeshwar Bezawada, Maalvika Bachani+4 more|arXiv (Cornell University)|Apr 11, 2018

Internet Traffic Analysis and Secure E-voting参考文献 8被引用 72

一句话总结

本文提出使用网络流量特征与机器学习的物联网行为指纹识别方法，以识别设备类型、类别和实例，即使在受加密流量的情况下也能实现较高的准确率。

ABSTRACT

The Internet-of-Things (IoT) has brought in new challenges in, device identification --what the device is, and, authentication --is the device the one it claims to be. Traditionally, the authentication problem is solved by means of a cryptographic protocol. However, the computational complexity of cryptographic protocols and/or scalability problems related to key management, render almost all cryptography based authentication protocols impractical for IoT. The problem of device identification is, on the other hand, sadly neglected. We believe that device fingerprinting can be used to solve both these problems effectively. In this work, we present a methodology to perform device behavioral fingerprinting that can be employed to undertake device type identification. A device behavior is approximated using features extracted from the network traffic of the device. These features are used to train a machine learning model that can be used to detect similar device types. We validate our approach using five-fold cross validation; we report a identification rate of 86-99% and a mean accuracy of 99%, across all our experiments. Our approach is successful even when a device uses encrypted communication. Furthermore, we show preliminary results for fingerprinting device categories, i.e., identifying different device types having similar functionality.

研究动机与目标

• 通过行为指纹识别推动对物联网设备的安全识别与认证。
• 将物联网设备行为建模为一组协议交互和命令-响应会话。
• 提取稳健的基于网络的特征，建立用于设备类型识别的行为特征档案。
• 在多种设备类型和类别上评估该方法，以展示鲁棒性和实用性。

提出的方法

• 捕获设备网络流量，并从数据包头部和负载中提取特征。
• 将设备行为表示为协议交互（会话）的序列，并为五包指纹提取特征。
• 每个指纹使用 20 个特征（17 个头部特征 + 3 个负载特征）来训练分类器。
• 采用梯度提升作为主要分类器，并进行五折交叉验证评估。
• 同时测试完整特征集与简化特征集（如去除熵）以评估在类似加密条件下的性能。

实验结果

研究问题

• RQ1 是否可以从观测到的会话派生的简短网络指纹中，准确识别物联网设备类型？
• RQ2 即使负载被加密，基于负载的特征（熵、负载长度、TCP 窗口大小）加上头部特征是否仍能提供鲁棒的指纹？
• RQ3 该方法是否能扩展到以高精度识别设备类别和具体实例？

主要发现

• 设备类型识别率在 93% 到 99% 之间，平均准确率约为 99%。
• 移除熵（模拟加密流量）仅导致性能下降 1-2%，结果保持接近相同。
• 设备类别识别率在 91% 到 99% 之间，跨实验的平均类别准确率 97% 及以上。
• 设备实例指纹识别在测试实例中达到 99.7%–100% 的识别率。
• 一个五包指纹（连续 5 包）共 100 个特征（每包 20 个特征）足以实现鲁棒识别。
• 诸如 TCP 窗口大小、熵和负载长度等特征在指纹识定中具有统计显著性。