[论文解读] Towards a secure behavior modeling for IoT networks using Blockchain

Jawad Ali, Ahmad Shahrafidz Khalid+3 more|arXiv (Cornell University)|Jan 6, 2020

Advanced Malware Detection Techniques参考文献 24被引用 9

一句话总结

本文提出了一种集成区块链的物联网安全行为建模框架，采用自定义行为监控器中的深度自编码器，实现99.2%的真正例率和亚秒级检测时间，以检测恶意活动。该框架结合可信执行环境（TEE）实现安全计算，并在每个物联网区域部署本地区块链，以实现设备级信任验证和实时异常检测。

ABSTRACT

Internet of Things (IoT) occupies a vital aspect of our everyday lives. IoT networks composed of smart-devices which communicate and transfer the information without the physical intervention of humans. Due to such proliferation and autonomous nature of IoT systems make these devices threatened and prone to a severe kind of threats. In this paper, we introduces a behavior capturing, and verification procedures in blockchain supported smart-IoT systems that can be able to show the trust-level confidence to outside networks. We defined a custom \emph{Behavior Monitor} and implement on a selected node that can extract the activity of each device and analyzes the behavior using deep machine learning strategy. Besides, we deploy Trusted Execution Technology (TEE) which can be used to provide a secure execution environment (enclave) for sensitive application code and data on the blockchain. Finally, in the evaluation phase we analyze various IoT devices data that is infected by Mirai attack. The evaluation results show the strength of our proposed method in terms of accuracy and time required for detection.

研究动机与目标

• 解决去中心化物联网网络中缺乏可由外部实体验证的设备级信任机制的问题。
• 开发一种行为监控系统，能够实时分类物联网设备活动为正常或恶意。
• 将可信执行环境（TEE）与本地区块链集成，以确保敏感代码和数据的机密性与完整性。
• 在跨网络通信前，实现物联网区域的信任等级披露，以支持安全、动态的信任决策。
• 基于真实世界的Mirai攻击数据，评估该框架相较于现有基于机器学习的检测方法的性能。

提出的方法

• 在主物联网节点（树莓派-3）上部署自定义行为监控器，以捕获并分析连接设备（如Ecobee恒温器、网络摄像头、安防摄像头）的运行时数据。
• 使用TensorFlow和Keras实现深度自编码器模型，从115维传感器数据中学习正常行为模式，并通过重构误差（MSE）检测异常。
• 基于优化数据集上MSE的均值和标准差，设定动态检测阈值 $ th^{v} = \overline{MSE}_{Opt_{DS}} + s(MSE_{Opt_{DS}}) $。
• 集成可信执行技术（TEE）以创建安全飞地，执行敏感逻辑并保护本地区块链上的数据。
• 为每个物联网区域使用本地区块链，记录设备交易，并实现行为和信任度量的不可篡改日志。
• 应用传感器级过滤机制，在模型推理前稳定数据，减少噪声或恶意输入的影响。

实验结果

研究问题

• RQ1 基于深度自编码器的行为建模系统是否能在真实环境中以高精度和低延迟检测恶意物联网活动？
• RQ2 TEE与本地区块链的集成在保护物联网区域中行为监控逻辑和数据方面效果如何？
• RQ3 所提出的框架能否提供可验证的、设备级的信任度量，供外部节点在通信前评估区域健康状况？
• RQ4 与传统机器学习方法（SVM、孤立森林、LOF）相比，自编码器模型在真正例率和假正例率方面的检测性能如何？
• RQ5 该系统的平均检测时间是多少？是否能满足Mirai等DDoS攻击的实时检测需求？

主要发现

• 所提出的深度自编码器模型在检测基于Mirai的物联网设备DDoS攻击时，真正例率（TPR）达到99.2%。
• 假正例率（FPR）显著低于SVM和LOF，且远低于孤立森林，表明异常检测具有高精度。
• 平均检测时间为175 ± 230ms，表明响应时间在亚秒级，相较于典型DDoS检测系统有显著提升。
• 自编码器在检测准确率和速度方面均优于SVM、孤立森林和LOF，归因于其对传感器数据中复杂非线性模式的建模能力。
• TEE与本地区块链的集成实现了安全执行和不可篡改日志记录，增强了行为监控过程的信任度。
• 该系统成功使外部实体能够基于实时行为分析和区块链验证的度量，评估物联网区域的信任等级。