[论文解读] RIDS : Real-time Intrusion Detection System for WPA3 enabled Enterprise Networks

Rahul Saini, Debajyoti Halder+1 more|arXiv (Cornell University)|Jul 6, 2022

IPv6, Mobility, Handover, Networks, Security被引用 4

一句话总结

本文提出RIDS，一种用于WPA3启用的企业网络的两阶段实时入侵检测系统，该系统在接入点（APs）使用轻量级洪水检测算法，以触发控制器上的基于机器学习的分类。该系统在新创建的WPA3攻击数据集上使用决策树分类器，实现了超过99%的攻击检测准确率，错误报警率仅为0.054%。

ABSTRACT

With the advent of new IEEE 802.11ax (WiFi 6) devices, enabling security is a priority. Since previous versions were found to have security vulnerabilities, to fix the most common security flaws, the WiFi Protected Access 3 (WPA3) got introduced. Although WPA3 is an improvement over its predecessor in terms of security, recently it was found that WPA3 has a few security vulnerabilities as well. In this paper, we have mentioned the previously known vulnerabilities in WPA3 and WPA2. In addition to that, we have created our own dataset based on WPA3 attacks (Section III). We have proposed a two-stage solution for the detection of an intrusion in the network. The two-stage approach will help ease computational processing burden of an AP and WLAN Controller. First, AP will perform a lightweight simple operation for some duration (say 500ms) at certain time interval. Upon discovering any abnormality in the flow of traffic an ML-based solution at the controller will detect the type of attack. Our approach is to utilize resources on AP as well as the back-end controller with certain level of optimization. We have achieved over 99% accuracy in attack detection using an ML-based solution. We have also publicly provided our code and dataset for the open-source research community, so that it can contribute for future research work.

研究动机与目标

• 解决缺乏公开可用的WPA3特定网络攻击数据集的问题，该问题阻碍了最新Wi-Fi安全标准的入侵检测研究。
• 开发一种适用于企业WLAN的实时、可扩展入侵检测系统，以减轻中央控制器的计算负载。
• 通过结合AP端轻量级异常检测与控制器端高精度机器学习分类，克服传统基于签名的IDS及现有基于机器学习方法的局限性。
• 提供一种成本效益高、分布式的架构，实现在不占用过多网络资源的前提下实现早期预警与精确攻击分类。

提出的方法

• 部署两阶段架构：(1) 在每个AP上部署轻量级洪水检测系统（FDS），每秒监控进入的数据包速率并检测流量突增。
• 当检测到异常时，由FDS触发500ms的包捕获——具体为每个用户的平均数据包数增加10倍，或总数据包数增加15倍。
• 将捕获的数据包转发至中央WLAN控制器，使用机器学习分类器进行分析。
• 在新收集的WPA3攻击数据集上训练并评估多种分类器（逻辑回归、决策树、随机森林），以识别最准确且高效的模型。
• 基于其在高准确率（99.98%）与低错误报警率（0.054%）之间取得的优异平衡，选择决策树分类器。
• 实现一个分布式检测流水线，由AP执行初始过滤，从而减轻中央控制器的负载，并支持实时响应。

实验结果

研究问题

• RQ1 如何在计算资源开销最小的条件下，高效实现在WPA3启用的企业网络中的实时入侵检测，同时保持AP和控制器的低负载？
• RQ2 哪些最有效的轻量级检测机制能够触发准确的基于机器学习的攻击分类，而不会过度占用网络资源？
• RQ3 新创建的、公开可用的WPA3特定攻击数据集是否能够提升基于机器学习的入侵检测系统的性能与泛化能力？
• RQ4 在WPA3环境中，哪种机器学习分类器在准确率、错误报警率与推理速度之间提供了最佳权衡，适用于实时网络入侵检测？

主要发现

• 所提出的RIDS系统在新创建的数据集上使用决策树分类器，对WPA3网络攻击的分类准确率达到99.98%。
• 决策树分类器在所有测试模型中错误报警率最低（0.054%），使其在生产环境中最小化误报方面尤为理想。
• FDS算法通过监控每个用户的数据包速率变化与总流量，成功实现实时流量异常检测，并仅在阈值被超过时触发警报。
• 两阶段架构通过将初始检测任务卸载至AP，有效减轻了中央控制器的负载，支持在大型企业网络中可扩展部署。
• 该系统能够实时捕获并分类500ms的网络流量，使系统能够对正在进行的攻击做出快速响应，且延迟可忽略。
• 作者已公开发布数据集与代码，支持结果复现，并推动WPA3安全与入侵检测领域的进一步研究。