[论文解读] IoT Behavioral Monitoring via Network Traffic Analysis

Arunan Sivanathan|arXiv (Cornell University)|Jan 28, 2020

Network Security and Intrusion Detection参考文献 109被引用 14

一句话总结

本文提出了一种基于机器学习的物联网行为监控框架，通过网络流量分析实现设备的实时分类、状态检测和异常识别。该方法在分类28种物联网设备时准确率超过99%，使用无监督学习检测攻击的准确率超过94%，实现了智能环境中可扩展、低成本且自适应的安全监控。

ABSTRACT

Smart homes, enterprises, and cities are increasingly being equipped with a plethora of Internet of Things (IoT), ranging from smart-lights to security cameras. While IoT networks have the potential to benefit our lives, they create privacy and security challenges not seen with traditional IT networks. Due to the lack of visibility, operators of such smart environments are not often aware of their IoT assets, let alone whether each IoT device is functioning properly safe from cyber-attacks. This thesis is the culmination of our efforts to develop techniques to profile the network behavioral pattern of IoTs, automate IoT classification, deduce their operating context, and detect anomalous behavior indicative of cyber-attacks. We begin this thesis by surveying IoT ecosystem, while reviewing current approaches to vulnerability assessments, intrusion detection, and behavioral monitoring. For our first contribution, we collect traffic traces and characterize the network behavior of IoT devices via attributes from traffic patterns. We develop a robust machine learning-based inference engine trained with these attributes and demonstrate real-time classification of 28 IoT devices with over 99% accuracy. Our second contribution enhances the classification by reducing the cost of attribute extraction while also identifying IoT device states. Prototype implementation and evaluation demonstrate the ability of our supervised machine learning method to detect behavioral changes for five IoT devices. Our third and final contribution develops a modularized unsupervised inference engine that dynamically accommodates the addition of new IoT devices and/or updates to existing ones, without requiring system-wide retraining of the model. We demonstrate via experiments that our model can automatically detect attacks and firmware changes in ten IoT devices with over 94% accuracy.

研究动机与目标

• 解决智能环境中物联网网络活动缺乏实时可见性的问题，该问题阻碍了设备识别和网络攻击检测。
• 克服传统IT安全机制在扩展至异构、大规模物联网部署时的局限性。
• 利用网络流量模式，开发自动化、可扩展且自适应的物联网设备识别、行为建模和异常检测技术。
• 通过建模正常设备行为并识别偏差，实现对已知和零日攻击的检测，而无需事先掌握攻击特征签名。
• 通过多时间尺度流级监控和高效属性提取，在保持高检测准确率的同时降低遥测成本。

提出的方法

• 从28种市售物联网设备收集并分析网络流量痕迹，提取活动周期和信令模式等行为属性。
• 设计了一个基于流级遥测训练的监督机器学习推理引擎，实现实时分类，对物联网设备的分类准确率超过99%。
• 引入多时间尺度流级可编程遥测，降低属性提取成本，同时实现对设备状态（启动、用户交互、空闲）的检测。
• 开发了模块化的无监督机器学习推理引擎，可动态适应新设备或更新设备，而无需重新训练完整模型。
• 利用基于聚类的网络流量建模技术检测行为异常，包括固件更新和低速率网络攻击。
• 在采样流量中引入数据包级属性（如有效载荷熵），以增强防欺骗能力并提高检测鲁棒性。

实验结果

研究问题

• RQ1 网络流量特征能否有效用于实时分类和分析多样化消费级物联网设备的行为模式？
• RQ2 如何在多个时间尺度上优化流级遥测，以在降低监控成本的同时保持对设备状态和异常行为的检测准确率？
• RQ3 无监督机器学习模型能否在无需重新训练的情况下检测未知或演化的物联网设备行为，包括网络攻击和固件更新？
• RQ4 无监督模型在多大程度上能够检测到模仿合法流量模式的低速率或隐蔽攻击？
• RQ5 系统如何在不依赖攻击特征签名的情况下检测由被 compromise 设备或恶意配置更改引起的行为变化？

主要发现

• 监督分类框架利用六个月收集的网络流量数据，对28种不同市售物联网设备的识别准确率超过99%。
• 流级遥测方法降低了属性提取成本，同时实现了对设备状态和行为变化（包括固件更新）的实时检测。
• 无监督模块化推理引擎对10种物联网设备中直接攻击、欺骗攻击和反射攻击等异常的检测准确率超过94%。
• 由于依赖行为模式建模，系统对传统基于签名的方法难以检测的低速率攻击表现出高度敏感性。
• 集成如有效载荷熵等数据包级属性，提高了在对抗性场景下对流量模式欺骗的抗性。
• 该框架可在无需全系统重新训练的情况下动态适应新设备或更新设备，显著提升了长期可扩展性和可维护性。