NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

In modernen Haushalten hat eine stille Revolution stattgefunden. Geräte, die einst lediglich eine einzige Aufgabe ausführten, sind nun mit dem Internet verbunden – von intelligenten Thermostaten, die unsere Zeitpläne erlernen, bis hin zu Kameras, die unsere Türen überwachen. Dieses Netzwerk vernetzter Dinge, bekannt als das Internet der Dinge (Internet of Things), bietet Komfort, führt aber auch eine komplexe Sicherheitsherausforderung ein. Da diese Geräte so vielfältig sind und oft mit begrenzter Rechenleistung betrieben werden, können sie schwierig zu verwalten und noch leichter zu kapern sein. Wenn ein Hacker die Kontrolle über eine Gruppe dieser Geräte übernimmt, kann er sie in eine massive, unsichtbare Armee verwandeln, die in der Lage ist, Netzwerke zu überlasten oder Daten zu stehlen. Um dies zu verhindern, müssen Sicherheitsexperten genau wissen, welche Art von Gerät im Netzwerk kommuniziert und ob es sich normal verhält. Die Identifizierung dieser Geräte ist jedoch knifflig. Ihr Verhalten ändert sich, je nachdem, was sie in einem bestimmten Moment gerade tun: Eine Kamera kann im Netzwerk völlig anders aussehen, wenn sie gerade erst eingeschaltet wird, wenn sie im Leerlauf ist oder wenn sie aktiv ein Video aufnimmt.

Forscher der Dalhousie University und von Solana Networks setzten sich zur Lösung dieses Problems an und entwickelten ein neues System namens NIMSAFE. Anstatt zu versuchen, alle Geräte in eine einzige, starre Kategorie zu zwängen, legt ihr Ansatz ein besonderes Augenmerk auf den aktuellen Zustand des Geräts. Sie beobachteten neun verschiedene Arten moderner smarter Geräte, darunter Kaffeemaschinen, Türklingeln und Sicherheitskameras, und zeichneten deren Netzwerkverkehr in drei verschiedenen Modi auf: in dem Moment, in dem sie hochfahren, wenn sie im Leerlauf sind und wenn sie aktiv genutzt werden. Durch die Analyse der digitalen Fußabdrücke, die diese Geräte bei ihrer Kommunikation hinterlassen, baute das Team ein Modell für maschinelles Lernen, das nicht nur den Gerätetyp identifizieren kann, sondern auch feststellt, ob es normal agiert oder durch ein Botnetz oder einen Denial-of-Service-Angriff kompromittiert wurde.

Die Forscher fanden heraus, dass der Zustand des Geräts eine immense Bedeutung hatte. Wenn sie ihr System mit Daten von Geräten trainierten, die aktiv genutzt wurden, schnitt das Modell signifikant besser ab als wenn es mit Daten von Geräten trainiert wurde, die gerade erst starteten oder im Leerlauf waren. Dies deutet darauf an, dass die komplexesten und einzigartigsten Kommunikationsmuster entstehen, wenn ein Gerät seine eigentliche Arbeit verrichtet. Um sicherzustellen, dass ihr System robust ist, testeten sie es gegen eine Vielzahl von Algorithmen des maschinellen Lernens. Sie entdeckten, dass eine Methode namens Random Forest, die durch die Kombination der Entscheidungen vieler einfacher Entscheidungsbäume arbeitet, weitaus überlegen gegenüber anderen gängigen Techniken war. Während andere Modelle Schwierigkeiten hatten, zwischen verschiedenen Geräten zu unterscheiden oder bestimmte Arten von Hardware gänzlich nicht erkannten, behielt der Random-Forest-Ansatz eine hohe Genauigkeit über alle verschiedenen Gerätetypen und Betriebszustände hinweg bei.

Ein großes Hindernis auf diesem Gebiet ist der Mangel an gelabelten Daten. Um einen Computer darauf zu trainieren, eine Bedrohung zu erkennen, müssen Experten normalerweise tausende Beispiele von normalem und bösartigem Verkehr manuell kennzeichnen – ein Prozess, der langsam und teuer ist. Das NIMSAFE-System begegnet diesem Problem durch eine Technik namens Self-Training. Die Forscher begannen mit einer kleinen Menge an gelabelten Daten, nur 20 Prozent ihrer Gesamtsammlung, und ließen das Modell den Rest der ungelabelten Daten selbstständig lernen. Erstaunlicherweise schnitt das System, das mit diesem kleinen Bruchteil bekannter Beispiele trainiert wurde, fast so gut ab wie ein System, das mit dem gesamten Datensatz trainiert wurde. Dieser Befund legt nahe, dass Sicherheitssysteme effektiv eingesetzt werden können, selbst wenn Experten nur sehr wenig Zeit für die Kennzeichnung von Daten haben, da das Modell den Rest mit hoher Zuverlässigkeit selbstständig erlernen kann.

Das Team wollte auch verstehen, warum ihr System manchmal Fehler machte, und nutzte daher Werkzeuge, die darauf ausgelegt sind, zu erklären, wie künstliche Intelligenz Entscheidungen trifft. Durch einen Blick in das Innere des Modells fanden sie heraus, dass das System stark auf spezifische Details darüber vertraute, wie Datenpakete sich bewegten, wie etwa die Größe der gesendeten Daten, das Timing der Verbindungen und die spezifischen Einstellungen, die von den zugrunde liegenden Kommunikationsprotokollen verwendet wurden. Diese Erkenntnisse halfen ihnen zu sehen, dass das System nicht wahllos rät, sondern Entscheidungen basierend auf konkreten, messbaren Merkmalen des Netzwerkverkehrs trifft. In einem Abschlusstest forderten sie das System heraus, zwischen normaler Geräteaktivität und hochentwickelten Angriffen zu unterscheiden, einschließlich Botnetzen, die legitimen Verkehr imitieren, um unbemerkt zu bleiben. Das System war erfolgreich und erreichte eine Genauigkeit von nahezu 99,9 Prozent, wobei es die überwältigende Mehrheit der Bedrohungen korrekt identifizierte. Der winzige Anteil an Fehlern, der auftrat, lag nicht daran, dass das Modell versagte, sondern daran, dass einige bösartige Verhaltensweisen dem normalen Geräteverhalten so ähnlich waren, dass selbst die fortschrittlichsten Werkzeuge sie kaum voneinander unterscheiden konnten.

Diese Arbeit zeigt, dass wir, um das Internet der Dinge zu sichern, Geräte nicht als statische Objekte, sondern als dynamische Systeme betrachten müssen, die ihr Verhalten ständig ändern. Indem wir uns darauf konzentrieren, wie Geräte beim Hochfahren, im Leerlauf oder im aktiven Betrieb agieren, und indem wir intelligente Lerntechniken verwenden, die weniger menschliche Aufsicht erfordern, ist es möglich, ein Sicherheitssystem zu bauen, das sowohl präzise als auch praktikabel ist. Die Ergebnisse legen nahe, dass zukünftige Sicherheitstools flexibel genug sein müssen, um sich an den wechselnden Zustand der Geräte anzupassen, die sie schützen, indem sie genau die Muster des normalen Verhaltens nutzen, um die subtilen Anzeichen eines Angriffs zu erkennen.