[论文解读] CyberSpec: Intelligent Behavioral Fingerprinting to Detect Attacks on Crowdsensing Spectrum Sensors

Alberto Huertas Celdrán, Pedro Miguel Sánchez Sánchez+3 more|arXiv (Cornell University)|Jan 14, 2022

Digital Media Forensic Detection被引用 4

一句话总结

本文提出 CyberSpec，一种用于在资源受限的众包感知频谱传感器中检测频谱感知数据伪造（SSDF）攻击的机器学习/数字指纹框架，通过监控内部系统事件实现。在真实 ElectroSense 平台上的评估显示，CyberSpec 使用无监督模型对七种 SSDF 攻击中的五种实现了近乎完美的检测（100% 真阳性率），检测时间低于 60 秒。

ABSTRACT

Integrated sensing and communication (ISAC) is a novel paradigm using crowdsensing spectrum sensors to help with the management of spectrum scarcity. However, well-known vulnerabilities of resource-constrained spectrum sensors and the possibility of being manipulated by users with physical access complicate their protection against spectrum sensing data falsification (SSDF) attacks. Most recent literature suggests using behavioral fingerprinting and Machine/Deep Learning (ML/DL) for improving similar cybersecurity issues. Nevertheless, the applicability of these techniques in resource-constrained devices, the impact of attacks affecting spectrum data integrity, and the performance and scalability of models suitable for heterogeneous sensors types are still open challenges. To improve limitations, this work presents seven SSDF attacks affecting spectrum sensors and introduces CyberSpec, an ML/DL-oriented framework using device behavioral fingerprinting to detect anomalies produced by SSDF attacks affecting resource-constrained spectrum sensors. CyberSpec has been implemented and validated in ElectroSense, a real crowdsensing RF monitoring platform where several configurations of the proposed SSDF attacks have been executed in different sensors. A pool of experiments with different unsupervised ML/DL-based models has demonstrated the suitability of CyberSpec detecting the previous attacks within an acceptable timeframe.

研究动机与目标

• 解决在众包感知环境中针对资源受限频谱传感器的 SSDF 攻击缺乏正式模型的问题。
• 克服由于设备资源有限、传感器类型异构以及数据完整性威胁带来的 SSDF 攻击检测挑战。
• 开发一种可扩展的轻量级异常检测框架，利用行为指纹和无监督机器学习/深度学习实现实时检测。
• 在真实环境中评估机器学习/深度学习模型在单个设备、设备类型和全局模型配置下的性能与可扩展性。
• 识别当前缺失的行为特征（如文件读取操作），这些特征阻碍了对某些攻击（如 Repeat、Freeze）的检测，为未来改进提供指导。

提出的方法

• 定义并实现七种新型 SSDF 攻击——Repeat、Mimic、Confusion、Noise、Spoof、Freeze 和 Delay——并将其分为三类：伪造信号模拟、隐藏真实攻击，以及两者结合。
• 设计 CyberSpec 以监控 8 种内部系统事件：虚拟内存、文件系统、CPU、网络、调度器、设备驱动、系统调用和随机数生成。
• 从周期性事件日志中提取行为特征，构建设备特定的行为指纹以用于异常检测。
• 应用无监督机器学习/深度学习模型——自编码器、孤立森林（IF）、局部离群因子（LOF）、COPOD 和一类支持向量机（OC-SVM）——以检测正常行为的偏差。
• 离线训练模型并将其部署在中央服务器上，实现实时评估特征，从而最小化边缘设备上的计算负载。
• 在三种配置下进行实验：单个设备模型、排除 15%、33% 或 50% 设备的设备类型模型，以及结合所有传感器的全局模型。

实验结果

研究问题

• RQ1 在资源受限的频谱传感器上，七种新型 SSDF 攻击的行为特征是什么？它们如何影响数据完整性？
• RQ2 无监督机器学习/深度学习模型在利用内部系统事件监控检测这些 SSDF 攻击引起的异常方面效果如何？
• RQ3 在异构频谱传感器上，单个设备模型、设备类型模型和全局模型在检测性能与可扩展性方面表现如何？
• RQ4 哪些系统事件对检测特定 SSDF 攻击至关重要？哪些当前缺失的事件（如文件读取操作）限制了检测能力？
• RQ5 该框架能否在保持边缘设备低计算开销的前提下实现低延迟检测（<60 秒）？

主要发现

• 七种 SSDF 攻击中的五种——Noise、Spoof、Confusion、Mimic 和 Delay——在所有三种实验配置（单个设备、设备类型、全局模型）下均实现了 100% 真阳性率（TPR）。
• 自编码器、LOF 和 OC-SVM 模型表现出最高的检测性能，检测时间低于 60 秒，包括监控、预处理和评估阶段。
• 当从训练中排除 15%、33% 或 50% 的设备时，设备类型模型在五种攻击上仍保持良好性能，真阳性率达 80–70%，真阴性率（TNR）为 100%。
• Repeat 和 Freeze 攻击检测效果较差（真阳性率 7–32%），因为 CyberSpec 未监控文件读取操作，而这些操作是其行为的核心。
• 全局模型训练耗时 770.39 秒，但测试时间极短（0.01–0.04 秒），证实了在实时部署中实现低延迟检测的可行性。
• 包括监控（50 秒）、预处理（6.8 秒）和评估（2.75 秒）在内的框架总检测延迟低于 60 秒，适用于实时威胁检测。