[论文解读] AntMonitor: A System for On-Device Mobile Network Monitoring and its Applications

Anastasia Shuba, Anh Le+3 more|arXiv (Cornell University)|Nov 14, 2016

Advanced Malware Detection Techniques参考文献 21被引用 12

一句话总结

AntMonitor 是一种高性能、基于设备的移动网络监控系统，通过轻量级用户空间 VPN 服务在智能手机上主动收集并分析细粒度的数据包追踪，实现 94% 的原生吞吐量，同时能耗比以往仅限移动设备的方法降低 2–12 倍。它仅使用 TCP/IP 报头特征和设备上下文信息，即可实现实时隐私数据泄露检测、网络性能监控和应用分类，其准确性和效率均优于当前最先进的方法。

ABSTRACT

In this paper, we present a complete system for on-device passive monitoring, collection, and analysis of fine grained, large-scale packet measurements from mobile devices. First, we describe the design and implementation of AntMonitor as a userspace mobile app based on a VPN-service but only on the device (without the need to route through a remote VPN server) and using only the minimum resources required. We evaluate our prototype and show that it significantly outperforms prior state-of-the-art approaches: it achieves throughput of over 90 Mbps downlink and 65 Mbps uplink, which is 2x and 8x faster than mobile-only baselines and is 94% of the throughput without VPN, while using 2-12x less energy. Second, we show that AntMonitor is uniquely positioned to serve as a platform for passive on-device mobile network monitoring and to enable a number of applications, including: (i) real-time detection and prevention of private information leakage from the device to the network; (ii) passive network performance monitoring; and (iii) application classification and user profiling. We showcase preliminary results from a pilot user study at a university campus.

研究动机与目标

• 解决粗粒度 ISP 数据追踪和小规模用户追踪在移动网络监控中的局限性。
• 设计一种高性能、低开销的基于设备的监控系统，无需 root 权限或远程服务器。
• 实现在移动设备上直接进行实时、隐私保护的网络监控与分析。
• 支持 PII 泄露检测、网络性能分析和应用分类等应用，仅使用设备级上下文信息。
• 构建一个可扩展、用户友好的平台，用于众包移动网络测量。

提出的方法

• AntMonitor 实现了一个用户空间 VPN 服务，拦截设备上的所有网络流量，无需通过远程服务器，且仅使用极少的系统资源。
• 采用基于 TUN 的数据包转发机制，仅使用两个线程读写 TUN 接口，最大限度降低 CPU 和内存开销。
• 对 UDP 套接字进行多路复用，并仔细管理 TCP 套接字，以减少资源使用并避免干扰前台应用。
• 捕获数据包追踪，并附加丰富的上下文元数据，如时间、位置以及当前运行的前台/后台应用。
• 利用 TCP/IP 报头特征和上下文数据训练机器学习模型，实现高精度的应用分类和用户画像。
• 使用日志服务器进行离线分析，而实时的隐私泄露检测与可视化则直接在设备上完成。

实验结果

研究问题

• RQ1 一个被动的、基于设备的移动监控系统是否能在不依赖 root 权限或远程服务器的前提下，实现高吞吐量和低能耗？
• RQ2 基于设备的数据包监控能否实现实时检测移动应用中私密信息的泄露？
• RQ3 仅使用 TCP/IP 报头特征和设备上下文信息，能否准确完成应用分类和用户画像，而无需访问 HTTP 载荷？
• RQ4 在吞吐量和能效方面，基于设备的监控性能与客户端-服务器架构或原生（无 VPN）配置相比如何？
• RQ5 基于设备的监控在多大程度上能够支持可扩展的、隐私保护的网络测量和应用级洞察？

主要发现

• AntMonitor 实现了超过 90 Mbps 的下行吞吐量和 65 Mbps 的上行吞吐量，分别比以往仅限移动设备的方法（如 Privacy Guard 和 Haystack）快 2 倍和 8 倍。
• 其吞吐量达到原生（无 VPN）连接的 94%，显著优于以往的仅限移动设备的解决方案。
• 该系统能耗比同类仅限移动设备的方法降低 2–12 倍，使其在长期用户使用中更具可行性。
• AntMonitor 支持实时检测与可视化私密信息泄露，能够识别敏感数据向外部目的地的传输行为。
• 仅使用 TCP/IP 报头特征进行应用分类的准确率高于依赖 HTTP 载荷检查的当前最先进方法，在大规模数据集上达到 91% 的精确率。
• 基于归一化应用活动量的用户画像分析展现出良好效果，监督模型能准确识别用户并检测行为模式，包括应用重装事件和共享使用模式。