[论文解读] DÏoT: A Crowdsourced Self-learning Approach for Detecting Compromised IoT Devices

Thien Duc Nguyen, Samuel Marchal+4 more|arXiv (Cornell University)|Apr 20, 2018

Network Security and Intrusion Detection被引用 39

一句话总结

DÅoT 提出了一种自学习、众包式的系统，通过自主构建针对不同设备类型的正常通信配置文件（无需标注数据），实现对受感染物联网设备的检测。该系统在真实设备上对 Mirai 恶意软件的检测率达到 96%，误报率仅为 1%，响应时间低于 0.03 秒。

ABSTRACT

IoT devices are being widely deployed. Many of them are vulnerable due to insecure implementations and configuration. As a result, many networks already have vulnerable devices that are easy to compromise. This has led to a new category of malware specifically targeting IoT devices. Existing intrusion detection techniques are not effective in detecting compromised IoT devices given the massive scale of the problem in terms of the number of different manufacturers involved. In this paper, we present D\IoT, a system for detecting compromised IoT devices effectively. In contrast to prior work, D\IoT uses a novel self-learning approach to classify devices into device types and build for each of these normal communication profiles that can subsequently be used to detect anomalous deviations in communication patterns. D\IoT is completely autonomous and can be trained in a distributed crowdsourced manner without requiring human intervention or labeled training data. Consequently, D\IoT copes with the emergence of new device types as well as new attacks. By systematic experiments using more than 30 real-world IoT devices, we show that D\IoT is effective (96% detection rate with 1% false alarms) and fast (<0.03 s.) at detecting devices compromised by the infamous Mirai malware.

研究动机与目标

• 为应对由于制造商多样性和配置不安全而导致的大规模检测受感染物联网设备的挑战。
• 克服现有入侵检测系统依赖标注数据的局限性，这些系统无法适应新型设备类型或零日攻击。
• 开发一种自主的自学习系统，能够在无需人工干预的情况下，为不同物联网设备类型构建正常通信配置文件。
• 实现实时检测异于常态的行为，以识别如 Mirai 等恶意软件的感染迹象，适用于异构的物联网部署环境。

提出的方法

• DÅoT 使用众包式数据收集机制，从真实世界环境中多样化的物联网设备中收集网络流量。
• 通过基于网络通信模式的无监督聚类算法，自动将设备分类为不同设备类型。
• 针对每类设备类型，利用对数据包大小、时间间隔和协议使用等流量特征的统计建模，学习其正常通信配置文件。
• 系统采用自学习框架，持续更新配置文件以适应新设备或新行为的出现，确保对新型设备类型和攻击变种的适应能力。
• 通过将实时流量与学习到的配置文件进行比较来检测异常，将偏差标记为潜在的受感染迹象。
• 整个流程完全自主运行，无需标注训练数据或人工配置。

实验结果

研究问题

• RQ1 一种自学习系统是否能够在不依赖标注训练数据或人工干预的情况下检测受感染的物联网设备？
• RQ2 众包式、设备类型特异的配置文件构建方法在检测如 Mirai 等零日或新兴物联网恶意软件方面效果如何？
• RQ3 该系统在实时环境中对新型设备类型和不断演变的攻击模式的适应能力如何？
• RQ4 在包含异构物联网设备的真实部署中，此类系统的检测准确率和延迟分别是多少？

主要发现

• DÅoT 在超过 30 种真实物联网设备上对 Mirai 恶意软件实现了 96% 的检测率。
• 系统在检测受感染设备时保持了仅 1% 的低误报率。
• 检测延迟低于每台设备 0.03 秒，支持实时监控。
• 系统成功识别了来自不同制造商和设备类型的受感染设备，且无需事先标注。
• 自学习机制实现了对新型设备类型和攻击行为的持续适应。
• 众包式数据收集方法确保了广泛的覆盖范围，并能真实反映现实世界中物联网通信模式的配置特征。