[论文解读] CIoTA: Collaborative IoT Anomaly Detection via Blockchain

Tomer Golomb, Yisroel Mirsky+1 more|arXiv (Cornell University)|Mar 10, 2018

Network Security and Intrusion Detection参考文献 21被引用 43

一句话总结

CIoTA 是一个轻量级、基于区块链的框架，用于在资源受限的物联网设备上进行分布式、协作式异常检测，使用 Extensible Markov Models 和对等共识来更新受信任的模型。它在一个 48 节点的 Raspberry Pi 物联网测试平台上进行评估。

ABSTRACT

Due to their rapid growth and deployment, Internet of things (IoT) devices have become a central aspect of our daily lives. However, they tend to have many vulnerabilities which can be exploited by an attacker. Unsupervised techniques, such as anomaly detection, can help us secure the IoT devices. However, an anomaly detection model must be trained for a long time in order to capture all benign behaviors. This approach is vulnerable to adversarial attacks since all observations are assumed to be benign while training the anomaly detection model. In this paper, we propose CIoTA, a lightweight framework that utilizes the blockchain concept to perform distributed and collaborative anomaly detection for devices with limited resources. CIoTA uses blockchain to incrementally update a trusted anomaly detection model via self-attestation and consensus among IoT devices. We evaluate CIoTA on our own distributed IoT simulation platform, which consists of 48 Raspberry Pis, to demonstrate CIoTA's ability to enhance the security of each device and the security of the network as a whole.

研究动机与目标

• 解决在训练和部署阶段无监督基于异常的入侵检测系统的漏洞。
• 提出一个可扩展的分布式框架，在保持设备约束的同时通过协作式模型更新来改进检测。
• 利用基于区块链的共识将本地训练的模型逐步合并为可信的全局模型。
• 评估对对抗性攻击的鲁棒性并衡量物联网硬件上的轻量级运行开销。

提出的方法

• 使用 Extensible Markov Model (EMM) 将控制流行为表示为内存区域及转换。
• 将本地训练的模型组织成块和链；当一个块包含 L 个报告且通过共识验证时，该块即被关闭。
• 使用共识规则 pc 和每个转换的合并方程 M = nij/ni 将多个 EMM 合并为一个组合模型。
• 使用基于距离的准则 α（VerifyML）将合并后的模型与本地模型进行验证。
• 通过签名和基于 TrustZone 的对称密钥方法确保设备间通信和块的完整性（可选 PKI）。
• 在具有预定义参数 (T, L, pc, α, pthr) 的 48 设备 IoT 仿真平台（Raspberry Pis）上评估可扩展性和安全性。

实验结果

研究问题

• RQ1 跨众多物联网设备的协作在多大程度上能提升异常检测性能，相比于孤立模型？
• RQ2 在保留全局链安全性与可信度的前提下，CIoTA 能否抵御对本地模型的对抗性操纵？
• RQ3 在资源受限设备上，CIoTA 的机上计算和内存开销是多少？
• RQ4 基于区块链的共识是否能可靠地阻止污染或格式错误的模型在一个块中被接受？
• RQ5 块大小和共识阈值对检测延迟和误报率有何影响？

主要发现

• 共同形成的组合模型比单一模型收敛更快，提供更强的异常检测能力，在 L = 20 时实现清晰的恶意软件检测且误报率低。
• 恶意代码与应用程序不相似的攻击因组合模型中的共识过滤而被拒绝。
• 即使被攻击的模型在控制流上类似于合法模型，除非模型的 pc 被妥协，否则共识机制也防止了感染模型的广泛接受。
• 在评估设置中，CIoTA 在物联网设备上的运行时开销适中：~6.5% CPU，~60 KB 内存，和 ~260 KB 可执行大小。
• 在 48 台 Raspberry Pi 设备上的评估展示了 CIoTA 检测本地攻击并抵御对抗性操纵的能力。
• 该框架适用于大型工业环境和智慧城市，每个物联网模型/固件维护自己的链。