[论文解读] HADES-IoT: A Practical Host-Based Anomaly Detection System for IoT Devices (Extended Version)

Dominik Breitenbacher, Ivan Homoliak+3 more|arXiv (Cornell University)|May 3, 2019

Advanced Malware Detection Techniques参考文献 12被引用 4

一句话总结

HADES-IoT 是一种轻量级、基于主机的异常检测系统，专为基于 Linux 的物联网设备设计，通过可加载内核模块（LKM）拦截系统调用，强制执行授权行为的白名单。该系统对 VPNFilter 和 IoTReaper 等物联网恶意软件实现了 100% 的检测准确率，平均内存开销仅为 5.5%，CPU 负载极低，适用于资源受限的环境。

ABSTRACT

Internet of Things (IoT) devices have become ubiquitous and are spread across many application domains including the industry, transportation, healthcare, and households. However, the proliferation of the IoT devices has raised the concerns about their security, especially when observing that many manufacturers focus only on the core functionality of their products due to short time to market and low-cost pressures, while neglecting security aspects. Moreover, it does not exist any established or standardized method for measuring and ensuring the security of IoT devices. Consequently, vulnerabilities are left untreated, allowing attackers to exploit IoT devices for various purposes, such as compromising privacy, recruiting devices into a botnet, or misusing devices to perform cryptocurrency mining. In this paper, we present a practical Host-based Anomaly DEtection System for IoT (HADES-IoT) that represents the last line of defense. HADES-IoT has proactive detection capabilities, provides tamper-proof resistance, and it can be deployed on a wide range of Linux-based IoT devices. The main advantage of HADES-IoT is its low performance overhead, which makes it suitable for the IoT domain, where state-of-the-art approaches cannot be applied due to their high-performance demands. We deployed HADES-IoT on seven IoT devices to evaluate its effectiveness and performance overhead. Our experiments show that HADES-IoT achieved 100% effectiveness in the detection of current IoT malware such as VPNFilter and IoTReaper; while on average, requiring only 5.5% of available memory and causing only a low CPU load.

研究动机与目标

• 为应对由于安全实践薄弱和缺乏标准化安全度量而带来的物联网设备日益增长的安全风险。
• 开发一种在资源受限的物联网设备上高效运行的实用入侵检测系统。
• 通过基于主机的行为分析，实现对物联网系统的主动检测与防篡改保护。
• 在保持高检测准确率的同时，将性能开销降至最低，以应对真实世界中的物联网恶意软件。

提出的方法

• HADES-IoT 使用可加载内核模块（LKM）在内核级别拦截系统调用，从而对用户空间程序执行实现细粒度控制。
• 通过基于正常设备运行行为生成的授权系统调用序列白名单实施强制策略，任何偏离均被视为潜在恶意行为。
• 系统通过在每台设备上运行一小时的训练阶段，监控系统调用以建立合法行为基线。
• LKM 架构确保未经授权的二进制文件无法执行，从而提供强大的防篡改能力。
• 系统调用监控采用实时处理，通过常数时间查找实现白名单验证，最大限度降低 CPU 开销。
• 系统设计具有可移植性，可部署于多种基于 Linux 的物联网设备，无需源代码或应用层代码插桩。

实验结果

研究问题

• RQ1 能否构建一种既有效又高效、适用于资源受限物联网设备的基于主机的异常检测系统？
• RQ2 如何通过可加载内核模块实现系统调用拦截，以在物联网环境中实现低开销、实时的异常检测？
• RQ3 基于白名单的方法在最小化误报率的前提下，对已知和未知物联网恶意软件的检测能力达到何种程度？
• RQ4 此类系统在真实物联网硬件上的实际性能开销（CPU 和内存）是多少？

主要发现

• HADES-IoT 对五类物联网恶意软件实现了 100% 的检测效果，包括 VPNFilter 和 IoTReaper 等知名家族。
• 系统在七种测试的物联网设备上平均仅消耗 5.5% 的可用内存，表明其内存占用极低。
• CPU 开销保持极低水平，性能影响仅随启动进程数量增加而增长，与白名单大小无关。
• 系统仅需一小时正常运行即可提取出准确的设备行为特征，实现快速部署。
• 基于 LKM 的架构提供了强大的防篡改能力，可阻止未经授权的二进制文件执行。
• 该方法在无需源代码或内核重新编译的前提下，适用于多样化的低端物联网设备的实际部署。