[论文解读] Privacy-Preserving Detection of IoT Devices Connected Behind a NAT in a Smart Home Setup

Yair Meidan, Vinay Sachidananda+2 more|arXiv (Cornell University)|May 31, 2019

Network Security and Intrusion Detection被引用 5

一句话总结

本文提出了一种隐私保护的机器学习方法，仅使用NetFlow数据检测智能家居中NAT后方的易受攻击物联网设备，避免检查数据载荷。该方法对目标物联网设备型号的检测准确率达到73%，使电信运营商能够在设备被利用前主动缓解DDoS攻击风险。

ABSTRACT

Today, telecommunication service providers (telcos) are exposed to cyber-attacks executed by compromised IoT devices connected to their customers' networks. Such attacks might have severe effects not only on the target of attacks but also on the telcos themselves. To mitigate those risks we propose a machine learning based method that can detect devices of specific vulnerable IoT models connected behind a domestic NAT, thereby identifying home networks that pose a risk to the telco's infrastructure and availability of services. As part of the effort to preserve the domestic customers' privacy, our method relies on NetFlow data solely, refraining from inspecting the payload. To promote future research in this domain we share our novel dataset, collected in our lab from numerous and various commercial IoT devices.

研究动机与目标

• 应对来自家庭网络中被 compromise 的物联网设备引发的DDoS攻击日益增长的风险。
• 使电信运营商能够主动检测尚未被利用的脆弱物联网设备型号，从而减轻基础设施压力。
• 通过避免深度包检测并仅依赖NetFlow元数据，保护用户隐私。
• 提供一个可复现、带标签的数据集，以支持未来在物联网设备检测和网络隐私方面的研究。
• 为电信运营商开发一种可扩展的解决方案，以识别高风险家庭网络，同时不违反用户隐私。

提出的方法

• 利用NetFlow记录将网络流量聚合为流，通过排除载荷分析来保护隐私。
• 在NetFlow特征（例如，流持续时间、数据包数量、字节数量）上训练机器学习分类器，以识别特定的脆弱物联网设备型号。
• 采用级联检测方法以提高检测准确率并减少误报。
• 将基于NetFlow的方法与两种现有deNAT技术进行比较：基于域名的检测和DNS IP-ID分析。
• 应用稳健的线性回归分析DNS IP-ID值，以探索未来用于模型指纹识别的潜力。
• 收集并发布一个新颖的、完全标注的NetFlow记录数据集，涵盖13款商用物联网设备，持续10天，以支持可复现的研究。

实验结果

研究问题

• RQ1 仅使用NetFlow数据，机器学习模型能否在NAT化家庭网络中检测出特定的脆弱物联网设备型号？
• RQ2 基于NetFlow的检测方法在性能上与现有deNAT方法（如基于域名的检测和DNS IP-ID分析）相比如何？
• RQ3 在仍能准确识别NAT后方脆弱物联网设备的前提下，隐私保护的程度如何？
• RQ4 在真实智能家居环境中，使用DNS IP-ID模式进行设备型号指纹识别的可行性如何？
• RQ5 所提出的方法在检测广泛范围的物联网设备型号方面效果如何，能否实现高真正例率和低假正例率？

主要发现

• 所提出的基于NetFlow的方法在13款商用设备组成的多样化集合中，对脆弱物联网设备型号的检测率达到73%。
• 该方法成功在不检查载荷数据的情况下检测物联网设备，保护了用户隐私。
• 在评估的三种deNAT方法中，基于NetFlow的方法在检测准确率和可扩展性方面均优于基于域名的方法和DNS IP-ID分析。
• 基于域名的方法对三个物联网设备型号实现了1.00的真正例率和0.00的假正例率，但仅覆盖了13款设备中的3款，限制了其实际应用价值。
• DNS IP-ID分析揭示了IP-ID增量中一致的、与设备型号相关的斜率，表明未来指纹识别技术具有潜力。
• 作者发布了涵盖13款物联网设备的新型、完全标注的数据集，支持可复现的评估和未来在隐私保护物联网检测方面的研究。