[논문 리뷰] Towards a secure behavior modeling for IoT networks using Blockchain

Jawad Ali, Ahmad Shahrafidz Khalid외 3명|arXiv (Cornell University)|2020. 01. 06.

Advanced Malware Detection Techniques참고 문헌 24인용 수 9

한 줄 요약

이 논문은 블록체인 통합 행동 모델링 프레임워크를 제안하여 IoT 보안을 향상시키며, 특수 설계된 행동 모니터에서 딥 오토에인코더를 사용하여 악성 활동을 99.2%의 정확도로 탐지하고, 반응 시간이 1초 미만임을 확인함. 이는 신뢰할 수 있는 실행 환경(Tee)을 통해 안전한 계산을 수행하고, 각 IoT 영역에 로컬 블록체인을 도입하여 기기 수준의 신뢰성 검증과 실시간 이상 탐지 기능을 제공함.

ABSTRACT

Internet of Things (IoT) occupies a vital aspect of our everyday lives. IoT networks composed of smart-devices which communicate and transfer the information without the physical intervention of humans. Due to such proliferation and autonomous nature of IoT systems make these devices threatened and prone to a severe kind of threats. In this paper, we introduces a behavior capturing, and verification procedures in blockchain supported smart-IoT systems that can be able to show the trust-level confidence to outside networks. We defined a custom \emph{Behavior Monitor} and implement on a selected node that can extract the activity of each device and analyzes the behavior using deep machine learning strategy. Besides, we deploy Trusted Execution Technology (TEE) which can be used to provide a secure execution environment (enclave) for sensitive application code and data on the blockchain. Finally, in the evaluation phase we analyze various IoT devices data that is infected by Mirai attack. The evaluation results show the strength of our proposed method in terms of accuracy and time required for detection.

연구 동기 및 목표

• 외부 엔티티가 검증할 수 있는 기기 수준의 신뢰 메커니즘이 부족한 탈중앙화된 IoT 네트워크의 문제를 해결함.
• 실시간으로 IoT 기기 활동을 정상 또는 악성으로 분류할 수 있는 행동 모니터링 시스템을 개발함.
• 신뢰할 수 있는 실행 환경(TEE)과 로컬 블록체인을 통합하여 민감한 코드와 데이터의 기밀성 및 무결성을 보장함.
• 네트워크 간 통신 이전에 IoT 영역의 신뢰 수준을 공개함으로써, 안전하고 동적일 수 있는 신뢰 결정을 지원함.
• 실제 Mirai 공격 데이터를 활용하여 기존의 기계학습 기반 탐지 방법과의 성능 비교를 수행함.

제안 방법

• 연결된 기기(예: Ecobee-온도조절기, 웹캠, 보안 카메라)의 런타임 데이터를 캡처하고 분석하기 위해 마스터 IoT 노드(Raspberry Pi-3)에 특수 설계된 행동 모니터를 구현함.
• 115개의 특징을 가진 센서 데이터로부터 정상 행동 패턴을 학습하고 재구성 오차(MSE)를 통해 이상 탐지를 수행하기 위해 텐서플로우와 케라스를 사용한 딥 오토에인코더 모델을 구현함.
• 최적화된 데이터셋의 평균과 표준편차를 기반으로 동적 탐지 임계값 $ th^{v} = \overline{MSE}_{Opt_{DS}} + s(MSE_{Opt_{DS}}) $ 를 설정함.
• 민감한 논리를 실행하고 로컬 블록체인에 저장된 데이터를 보호하기 위해 신뢰할 수 있는 실행 기술(TEE)을 통합함.
• 각 IoT 영역에 로컬 블록체인을 도입하여 기기 거래 기록 및 행동 및 신뢰 지표의 불변 로깅을 가능하게 함.
• 모델 추론 이전에 센서 수준의 필터링 메커니즘을 적용하여 데이터 안정성 향상과 노이즈 또는 악성 입력 감소를 도모함.

실험 결과

연구 질문

• RQ1 딥 오토에인코더 기반 행동 모델링 시스템은 실제 환경에서 높은 정확도와 낮은 지연 시간으로 악성 IoT 활동을 탐지할 수 있는가?
• RQ2 TEE와 로컬 블록체인의 통합은 IoT 영역 내 행동 모니터링 논리와 데이터의 보안에 얼마나 효과적인가?
• RQ3 제안된 프레임워크는 외부 노드가 통신 이전에 영역의 건강 상태를 평가할 수 있도록 검증 가능하고 기기 수준의 신뢰 지표를 제공할 수 있는가?
• RQ4 기본적인 기계학습 방법(SVM, Isolation Forest, LOF)과 비교했을 때 오토에인코더 모델의 탐지 성능은 정밀도와 거짓 양성 비율 측면에서 어떻게 다른가?
• RQ5 제안된 시스템의 평균 탐지 시간은 얼마이며, Mirai와 같은 DDoS 공격에 대해 실시간 요구 조건을 충족할 수 있는가?

주요 결과

• 제안된 딥 오토에인코더 모델은 IoT 기기에서 발생하는 Mirai 기반 DDoS 공격을 99.2%의 정확도로 탐지함.
• SVM 및 LOF보다 거짓 양성 비율(FPR)이 현저히 낮았으며, Isolation Forest보다도 상당히 낮아 이상 탐지의 높은 정밀도를 입증함.
• 평균 탐지 시간은 175 ± 230ms였으며, 이는 1초 이내의 반응 시간을 보여주며, 일반적인 DDoS 탐지 시스템 대비 뚜렷한 향상임.
• 비선형적이고 복잡한 센서 데이터 패턴을 모델링할 수 있는 능력 덕분에 오토에인코더는 SVM, Isolation Forest, LOF보다 탐지 정확도와 속도에서 모두 뛰어남.
• TEE와 로컬 블록체인의 통합은 안전한 실행과 불변 로깅을 가능하게 하여 행동 모니터링 과정의 신뢰도를 향상시킴.
• 시스템은 외부 엔티티가 실시간 행동 분석과 블록체인 기반 검증 지표를 바탕으로 IoT 영역의 신뢰 수준을 평가할 수 있도록 성공적으로 지원함.