[논문 리뷰] Securing Heterogeneous IoT with Intelligent DDoS Attack Behavior Learning

Nhu‐Ngoc Dao, Trung V. Phan외 4명|arXiv (Cornell University)|2017. 11. 16.

Network Security and Intrusion Detection참고 문헌 9인용 수 23

한 줄 요약

MECshield는 공격원천 및 수신망에서 자기조직화 맵(SOM)을 사용하는 국지적 스마트 필터를 모바일 에지 컴퓨팅(MEC)을 활용해 분산 배포하는 분산 DDoS 방어 프레임워크이다. 중앙 제어기의 감시 하에 운영되는 이 필터들은 로컬 트래픽에서 공격 행동을 적응적으로 학습하여 반응 시간을 단축하고, 정확도를 향상시키며, 제어기의 병목 현상을 피한다. 이로 인해 중앙집중식 방법 대비 평균 CPU 사용률 36%를 기록하여 10% 향상된 성과를 달성한다.

ABSTRACT

The rapid increase of diverse Internet of things (IoT) services and devices has raised numerous challenges in terms of connectivity, computation, and security, which networks must face in order to provide satisfactory support. This has led to networks evolving into heterogeneous IoT networking infrastructures characterized by multiple access technologies and mobile edge computing (MEC) capabilities. The heterogeneity of the networks, devices, and services introduces serious vulnerabilities to security attacks, especially distributed denial-of-service (DDoS) attacks, which exploit massive IoT devices to exhaust both network and victim resources. As such, this study proposes MECshield, a localized DDoS prevention framework leveraging MEC power to deploy multiple smart filters at the edge of relevant attack-source/destination networks. The cooperation among the smart filters is supervised by a central controller. The central controller localizes each smart filter by feeding appropriate training parameters into its self-organizing map (SOM) component, based on the attacking behavior. The performance of the MECshield framework is verified using three typical IoT traffic scenarios. The numerical results reveal that MECshield outperforms existing solutions.

연구 동기 및 목표

• 자원이 제한된 장치들이 악성 트래픽으로 인해 네트워크를 폭주시키는 현상이 증가하는 이방형 IoT(H-IoT) 네트워크에서 DDoS 공격의 위협을 완화하기 위해.
• 제어기 병목 현상과 반응 시간 지연을 유발하는 중앙집중식 DDoS 탐지의 한계를 극복하기 위해.
• 실시간 트래픽 패턴을 기반으로 엣지에서 국지적으로 SOM 기반 필터를 훈련시켜 탐지 정확도와 적응성을 향상시키기 위해.
• 중앙 제어기에서 IP 범위 기반 정책 배포를 통해 필요할 때만 스마트 필터를 활성화함으로써 전체 시스템 자원 소비를 줄이기 위해.

제안 방법

• 프레임워크는 MEC 인프라를 활용해 공격원천 및 공격수신망의 엣지에 다수의 스마트 필터를 배포한다.
• 각 스마트 필터는 중앙 제어기의 감시 하에 로컬 트래픽 특징을 기반으로 훈련된 자기조직화 맵(SOM) 구성 요소를 사용한다.
• 중앙 제어기는 피해자 사이트에서의 공격 행동을 분석하고, 공격원천 사이트의 SOM 필터를 훈련하기 위한 맞춤형 정책을 배포한다.
• 정책은 공격 행동 분석 기반으로 생성되며, SOM 지도가 악성 트래픽 패턴과 일치하도록 훈련 파rameter를 포함한다.
• 각 필터는 독립적으로 작동하지만 제어기로부터의 정책 업데이트를 통해 협력하는 분산 아키텍처를 사용한다.
• 프레임워크는 타겟 IP 범위에 대해서만 SOM 필터를 동적으로 활성화하여 불필요한 계산을 방지하고 CPU 자원 절약을 실현한다.

실험 결과

연구 질문

• RQ1 다양하고 저전력 장치들이 포함된 이방형 IoT 네트워크에서 DDoS 공격을 어떻게 완화할 수 있는가?
• RQ2 중앙집중식 대비 분산 DDoS 탐지의 제어기 병목 현상과 반응 시간에 미치는 영향은 어떠한가?
• RQ3 국소적 훈련을 통한 SOM 필터의 성능이 전역 또는 통합된 SOM 훈련 대비 탐지 정확도 향상에 기여하는가?
• RQ4 MECshield 프레임워크는 DDoS 공격 발생 시 CPU 자원 소비를 어떻게 줄이는가?
• RQ5 기존의 중앙집중식 또는 분산 SOM 기반 방식에 비해 엣지 기반 정책 감시 하에 작동하는 SOM 필터링은 탐지 성능에 얼마나 기여하는가?

주요 결과

• MECshield는 DDoS 공격 기간 동안 평균 CPU 사용률을 36%로 낮춰 중앙집중식 SOM 접근 방식(46% CPU 사용률) 대비 10% 향상된 성과를 기록했다.
• 현장에서의 탐지와 즉각적인 정책 시행 덕분에 MECshield는 중앙집중식 및 분산 SOM 기반 방식보다 더 빠른 공격 반응 시간을 확보했다.
• 탐지 정확도와 속도가 가장 높은 것은 국지적으로 훈련된 SOM 필터가 전역 또는 통합된 SOM보다 현장 특화 트래픽 패턴에 더 잘 적응했기 때문이다.
• 분산 아키텍처 덕분에 제어기 병목 현상이 방지되었으며, MECshield 및 분산 SOM의 경우 CPU 사용률이 약 35%로 안정적으로 유지된 반면, 중앙집중식 SOM 접근 방식은 83%까지 상승했다.
• MECshield는 타겟 IP 범위에 대해서만 SOM 필터를 활성화함으로써 불필요한 계산을 방지하고, 비공격 상태 또는 비공격 네트워크에서의 지속적 계산을 피함으로써 시스템 자원 절약을 실현했다.
• 프레임워크는 실제 3개의 IoT 트래픽 시나리오에서 뛰어난 내성성과 확장성을 입증했으며, 기존 솔루션 대비 탐지 및 성능 지표에서 뛰어난 성능을 보였다.