[论文解读] An accurate IoT Intrusion Detection Framework using Apache Spark

Mohamed Abushwereb, Mouhammd Alkasassbeh+2 more|arXiv (Cornell University)|Feb 21, 2022

Network Security and Intrusion Detection被引用 6

一句话总结

本文提出了一种基于 Apache Spark 和 MLlib 的高精度物联网入侵检测框架，利用 BoT-IoT 数据集高效处理大数据工作负载。在部分数据集上使用随机森林进行二分类时，F1 分数最高达到 99.7%，表明该框架在实时环境中检测物联网网络威胁方面表现出色。

ABSTRACT

The internet has caused tremendous changes since its appearance in the 1980s, and now, the Internet of Things (IoT) seems to be doing the same. The potential of IoT has made it the center of attention for many people, but, where some see an opportunity to contribute, others may see IoT networks as a target to be exploited. The high number of IoT devices makes them the perfect setup for staging denial-of-service attacks (DoS) that can have devastating consequences. This renders the need for cybersecurity measures such as intrusion detection systems (IDSs) evident. The aim of this paper is to build an IDS using the big data platform, Apache Spark. Apache Spark was used along with its ML library (MLlib) and the BoT-IoT dataset. The IDS was then tested and evaluated based on F-Measure (f1), as was the standard when evaluating imbalanced data. Two rounds of tests were performed, a partial dataset for minimizing bias, and the full BoT-IoT dataset for exploring big data and ML capabilities in a security setting. For the partial dataset, the Random Forest algorithm had the highest performance for binary classification at an average f1 measure of 99.7%, as well as 99.6% for main category classification, and an 88.5% f1 measure for sub category classification. As for the complete dataset, the Decision Tree algorithm scored the highest f1 measures for all conducted tests; 97.9% for binary classification, 79% for main category classification, and 77% for sub category classification.

研究动机与目标

• 为应对大规模网络中大量存在漏洞的物联网设备所带来的日益增长的安全风险。
• 开发一种可扩展、高性能的入侵检测系统（IDS），能够处理大量物联网网络流量。
• 利用 Apache Spark 的分布式计算框架，评估机器学习模型在类别不平衡的物联网入侵检测数据上的有效性。
• 比较多种机器学习算法在真实物联网数据集上检测二分类和多分类入侵类别时的性能表现。
• 证明使用 Apache Spark 等大数据平台实现实时、高精度的物联网环境入侵检测的可行性。

提出的方法

• 该框架使用 Apache Spark 作为大数据处理引擎，以分布式方式加速物联网网络流量的分析。
• 利用 Spark 的 MLlib 库训练和评估多种机器学习模型，包括随机森林和决策树。
• BoT-IoT 数据集作为主要数据源，代表了包含多种攻击类型的现实物联网网络流量。
• 开展两个评估阶段：一个使用部分数据集以减少偏差，另一个使用完整数据集以评估可扩展性和性能。
• 由于数据集中存在类别不平衡，F-Measure（F1）被用作主要评估指标。
• 该系统设计支持实时处理，可实现在物联网网络中及时检测恶意活动。

实验结果

研究问题

• RQ1 Apache Spark 在实现大规模物联网网络流量入侵检测的可扩展性和高效处理方面效果如何？
• RQ2 在 BoT-IoT 数据集上，哪种机器学习算法在检测二分类（正常 vs. 攻击）和多分类（主类别和子类别）入侵类型时取得最高的 F1 分数？
• RQ3 在 F1 分数和计算效率方面，模型性能在缩减（部分）数据集与完整 BoT-IoT 数据集之间有何差异？
• RQ4 使用 Apache Spark 进行分布式计算在资源受限的物联网环境中，能在多大程度上提升入侵检测的准确性和速度？
• RQ5 所提出的框架是否能在物联网入侵数据集固有的类别不平衡条件下保持高检测准确性？

主要发现

• 在部分数据集上，随机森林算法在二分类任务中取得了 99.7% 的最高 F1 分数，表明检测精度极佳。
• 在主类别分类中，随机森林取得了 99.6% 的 F1 分数，显示出在区分主要攻击类型方面的强大性能。
• 在子类别分类中，随机森林取得了 88.5% 的 F1 分数，表明对细粒度攻击变种的检测效果良好。
• 在完整 BoT-IoT 数据集上，决策树算法表现最佳，二分类任务中 F1 分数达到 97.9%。
• 在完整数据集的主类别分类中，决策树取得了 79% 的 F1 分数，反映出由于数据复杂性和规模增加导致性能下降。
• 在完整数据集的子类别分类中，决策树取得了 77% 的 F1 分数，表明对特定攻击子类型的检测准确率中等。