[论文解读] IoTDots: A Digital Forensics Framework for Smart Environments

Leonardo Babun, Amit Kumar Sikder+2 more|arXiv (Cornell University)|Sep 3, 2018

Digital and Cyber Forensics参考文献 13被引用 40

一句话总结

IoTDots 自动分析并修改智能应用以记录对取证相关的数据，将日志存储在集中数据库中，并使用数据处理与机器学习在智能环境中检测用户活动和恶意行为。

ABSTRACT

IoT devices and sensors have been utilized in a cooperative manner to enable the concept of a smart environment. In these smart settings, abundant data is generated as a result of the interactions between devices and users' day-to-day activities. Such data contain valuable forensic information about events and actions occurring inside the smart environment and, if analyzed, may help hold those violating security policies accountable. In this paper, we introduce IoTDots, a novel digital forensic framework for a smart environment such as smart homes and smart offices. IoTDots has two main components: IoTDots-Modifier and IoTDots-Analyzer. At compile time, IoTDots-Modifier performs the source code analysis of smart apps, detects forensically-relevant information, and automatically insert tracing logs. Then, at runtime, the logs are stored into a IoTDots database. Later, in the event of a forensic investigation, the IoTDots-Analyzer applies data processing and machine learning techniques to extract valuable and usable forensic information from the devices' activity. In order to test the performance of IoTDots, we tested IoTDots in a realistic smart office environment with a total of 22 devices and sensors. The evaluation results show that IoTDots can achieve, on average, over 98% of accuracy on detecting user activities and over 96% accuracy on detecting the behavior of users, devices, and apps in a smart environment. Finally, IoTDots performance yields no overhead to the smart devices and very minimal overhead to the cloud server.

研究动机与目标

• 提出一个面向智能环境的数字取证框架，用于捕获和分析物联网数据以用于取证。
• 通过在编译时修改智能应用程序来自动化取证日志的收集。
• 提供一个可扩展的分析管道，利用机器学习推断用户活动并检测异常行为和政策违规。

提出的方法

• 分析智能应用源代码以识别取证相关的数据点（事件、动作、输入、设备信息、时间/位置）。
• 在编译时修改智能应用程序以插入 IoTDots 日志钩子（IoTDots-Modifier）。
• 在运行时将取证日志存储在 IoTDots Logs Database (ITLD) 中。
• 在 IoTDots-Analyzer (ITA) 中对 ITLD 数据应用标注和机器学习以推断用户活动并检测行为。
• 使用面向策略的检测将活动/行为与安全策略相关联。
• 证明活动（≈98%）和行为（≈96%）检测的高准确性，同时对设备的开销很低。

实验结果

研究问题

• RQ1 IoTDots 是否能够在智能环境中可靠地检测到与取证相关的用户活动？
• RQ2 IoTDots 是否能够识别来自用户、应用或设备的异常用户活动和恶意行为？
• RQ3 IoTDots 的运行时和云端开销是多少，它对智能设备和服务有何影响？
• RQ4 ITA 管道（标注、ML 分析）在从日志中提取取证洞察方面有多有效？

主要发现

• IoTDots 在智能办公环境中检测时依赖与非时依赖的用户活动方面达到高达 98% 的准确率。
• IoTDots 在检测用户、设备和应用的行为方面达到高达 96% 的准确率。
• 对智能设备没有额外开销，对云服务器和内存/延迟几乎没有开销。
• IoTDots 提供一个轻量级、端到端的取证解决方案，结合从修改后的应用收集数据和基于 ML 的分析。