[论文解读] ARGUS: Context-Based Detection of Stealthy IoT Infiltration Attacks

Phillip Rieger, Marco Chilese+4 more|arXiv (Cornell University)|Feb 15, 2023

Network Security and Intrusion Detection被引用 4

一句话总结

ARGUS 是一种基于自学习、无监督深度学习的入侵检测系统，通过建模设备在上下文中的正常行为，利用实时传感器和操作数据检测隐蔽的物联网上下文攻击。它在多种真实智能家居部署中实现了至少 99.64% 的 F1 分数和 ≤0.03% 的误报率。

ABSTRACT

IoT application domains, device diversity and connectivity are rapidly growing. IoT devices control various functions in smart homes and buildings, smart cities, and smart factories, making these devices an attractive target for attackers. On the other hand, the large variability of different application scenarios and inherent heterogeneity of devices make it very challenging to reliably detect abnormal IoT device behaviors and distinguish these from benign behaviors. Existing approaches for detecting attacks are mostly limited to attacks directly compromising individual IoT devices, or, require predefined detection policies. They cannot detect attacks that utilize the control plane of the IoT system to trigger actions in an unintended/malicious context, e.g., opening a smart lock while the smart home residents are absent. In this paper, we tackle this problem and propose ARGUS, the first self-learning intrusion detection system for detecting contextual attacks on IoT environments, in which the attacker maliciously invokes IoT device actions to reach its goals. ARGUS monitors the contextual setting based on the state and actions of IoT devices in the environment. An unsupervised Deep Neural Network (DNN) is used for modeling the typical contextual device behavior and detecting actions taking place in abnormal contextual settings. This unsupervised approach ensures that ARGUS is not restricted to detecting previously known attacks but is also able to detect new attacks. We evaluated ARGUS on heterogeneous real-world smart-home settings and achieve at least an F1-Score of 99.64% for each setup, with a false positive rate (FPR) of at most 0.03%.

研究动机与目标

• 填补现有技术在检测利用控制平面触发合法命令但处于恶意上下文的隐蔽物联网攻击方面的空白。
• 克服现有系统依赖预定义策略、语义信息或已知攻击签名的局限性。
• 在无需标注攻击数据或设备语义先验知识的情况下，实现零日攻击和未知上下文攻击的检测。
• 支持异构物联网环境，兼容来自多个制造商、使用不同协议和通信技术的设备。
• 在真实、动态的智能家居场景中保持高检测准确率的同时，确保极低的误报率。

提出的方法

• 从多种通信协议的物联网设备中实时采集上下文数据，包括传感器值和设备操作。
• 采用无监督深度神经网络（DNN）基于观测到的传感器状态和操作，学习设备行为模式的正常分布。
• 将系统状态建模为基于时间窗口内聚合的传感器和操作数据生成的动态上下文向量。
• 使用动态阈值调优机制，自适应地区分正常行为与上下文异常。
• 通过识别在统计上极不可能或不一致的上下文状态下发生的命令执行来检测异常。
• 无需标注攻击数据、设备语义描述或预定义策略规则，从而实现零日攻击检测。

实验结果

研究问题

• RQ1 无监督学习方法是否能在不依赖已知攻击签名的情况下，有效检测异构物联网环境中的上下文攻击？
• RQ2 基于 DNN 的模型在多种智能家居配置中，能否有效学习并泛化设备的正常行为模式？
• RQ3 该系统在多大程度上能够检测到利用合法控制命令在恶意上下文中执行的零日攻击？
• RQ4 在真实、复杂的物联网部署中，系统在检测准确率和误报率方面的表现如何？
• RQ5 系统能否检测到语义上无害但上下文上具有恶意的攻击，例如在家中无人时解锁门？

主要发现

• ARGUS 在五个不同的真实智能家居配置中均实现了至少 99.64% 的 F1 分数，证明了其高检测准确率。
• 系统在所有评估配置中误报率（FPR）不超过 0.03%，表明其具有极强的可靠性与低噪声水平。
• ARGUS 能够成功检测到诸如用户离家时解锁门或无人看管时启动炉灶等上下文攻击，即使这些命令在语法和网络层面与正常命令无法区分。
• 系统无需依赖语义信息、源代码或预定义策略即可有效运行，适用于用户自建或第三方设备。
• 无监督 DNN 方法可检测训练期间未见过的未知攻击。
• 动态阈值调优机制增强了实时运行的鲁棒性，可在不重新训练的情况下适应环境变化。