A Tsetlin Machine-driven Intrusion Detection System for Next-Generation IoMT Security

Probleemstelling

De snelle adoptie van het Internet of Medical Things (IoMT) heeft de gezondheidszorg getransformeerd door naadloze connectiviteit tussen medische apparaten, systemen en diensten mogelijk te maken. Echter, deze groei brengt ernstige cybersecurity-risico's en bedreigingen voor patiëntveiligheid met zich mee.

• Kwetsbaarheden: IoMT-apparaten zijn kwetsbaar voor diverse cyberaanvallen (zoals DoS, DDoS, reconnaissance en spoofing) die de integriteit, beschikbaarheid en privacy van medische data kunnen compromitteren.
• Beperkingen van bestaande oplossingen: Traditionele, op regels gebaseerde IDS-systemen (Intrusion Detection Systems) kunnen geen omgang met nieuwe, evoluerende bedreigingen. Machine Learning (ML) en Deep Learning (DL) modellen bieden betere detectie, maar werken vaak als "black boxes". Dit gebrek aan interpretatie en transparantie is een groot probleem in de kritieke gezondheidszorgsector, waar het begrijpen van waarom een beslissing wordt genomen essentieel is voor vertrouwen en veiligheid.

Methodologie

Het artikel stelt een nieuw Intrusion Detection System (IDS) voor dat gebaseerd is op de Tsetlin Machine (TM), een uitlegbare machine learning-techniek die gebruikmaakt van propositional logic (logica van uitspraken).

1. Architectuur:

   • Het systeem bestaat uit drie fasen: datavoorbereiding, modeltraining en implementatie.
   • Datavoorbereiding: Netwerkverkeer wordt opgehaald, features worden geëxtraheerd, missing values worden verwijderd, en de data wordt gebalanceerd (met SMOTE voor de TM) en omgezet naar binaire features.
   • Model: De TM leert aanvalspatronen door logische clausules (regels) te vormen. Deze clausules worden verdeeld in positieve en negatieve polariteit. De uiteindelijke classificatie is gebaseerd op het aggregeren van stemmen van deze clausules.
   • Interpreteerbaarheid: In tegenstelling tot neurale netwerken, kan de TM expliciet tonen welke logische regels (clausules) bijdragen aan een specifieke classificatie via "vote scores" en "clause activation heatmaps".

2. Dataset:

   • Er is gebruikgemaakt van de CICIoMT-2024 dataset, ontwikkeld door het Canadian Institute for Cybersecurity.
   • Deze dataset bevat verkeer van 40 IoMT-apparaten (zoals hartslagmonitoren, babyfoons) en omvat protocollen zoals Bluetooth, MQTT en Wi-Fi.
   • De dataset bevat diverse aanvalstypes: Benign (normaal), DoS, DDoS, Reconnaissance, MQTT-aanvallen en Spoofing.

3. Experimentele Opzet:

   • Drie scenario's werden getest:
     1. Scenario 1: Binair classificatie (Benign vs. DoS) op Bluetooth-data.
     2. Scenario 2: Multi-class classificatie (6 klassen: Benign + 5 aanvalstypes) op MQTT/Wi-Fi data.
     3. Scenario 3: Multi-class classificatie (7 klassen) door alle protocollen te combineren.
   • De TM werd vergeleken met acht traditionele ML-classificators (Decision Tree, Random Forest, XGBoost, LightGBM, KNN, Naive Bayes, Logistic Regression, Neural Network).

Belangrijkste Bijdragen

• Ontwerp van een uitlegbaar IDS: Een effectief, data-gedreven IDS voor IoMT dat niet alleen hoog presteert, maar ook transparant is in zijn besluitvorming.
• Uitgebreide Evaluatie: Een grondige analyse onder zowel binaire als multi-class omstandigheden op de recente CICIoMT-2024 dataset.
• Interpretatie-analyse: Het presenteren van class-wise vote scores en clausule-activatie warmtekaarten, wat inzicht geeft in welke logische regels de beslissingen sturen.
• Prestatievergelijking: Het aantonen dat de TM-benadering superieur is aan bestaande state-of-the-art methoden, vooral in complexe multi-class scenario's.

Resultaten

De experimenten tonen aan dat de Tsetlin Machine zeer competitieve tot superieure prestaties levert vergeleken met traditionele ML-modellen:

• Scenario 1 (Binair - Bluetooth):

  • De TM bereikte een nauwkeurigheid (accuracy) van 99,5%.
  • Dit is vergelijkbaar met de beste traditionele modellen (zoals Random Forest en XGBoost die rond de 99,8% zaten), maar de TM biedt wel volledige interpretatie.
  • De inferentietijd was 0,743 µs, wat zeer snel is.

• Scenario 2 (Multi-class - MQTT/Wi-Fi):

  • De TM behaalde een nauwkeurigheid van 90,7% voor de 6-klassen classificatie.
  • Dit is een significante verbetering ten opzichte van bestaande methoden in de literatuur (bijv. DNN/LSTM bereikten hier ongeveer 78-79% en andere ML-methoden rond de 73-86%).
  • De TM overtrof alle andere geteste classifiers in nauwkeurigheid, precisie, recall en F1-score.

• Scenario 3 (Gecombineerd - 7 Klassen):

  • De TM behaalde een nauwkeurigheid van 88,4%, opnieuw superieur aan de andere modellen (waarvan de beste, XGBoost, op 85,1% zat).

• Interpretatie:

  • De visualisaties (warmtekaarten en stemscores) bevestigden dat de TM correcte beslissingen nam door een dominantie van actieve clausules voor de juiste klasse, wat het "black box"-probleem oplost.

Betekenis en Conclusie

Dit onderzoek demonstreert dat de Tsetlin Machine een veelbelovende oplossing is voor de beveiliging van IoMT-netwerken.

• Vertrouwen en Transparantie: Door het gebruik van menselijk leesbare logische regels, verhoogt het systeem het vertrouwen in automatische beveiligingsbeslissingen, wat cruciaal is in de medische sector.
• Efficiëntie: De TM is lichtgewicht en geschikt voor apparaten met beperkte resources, wat essentieel is voor IoMT-omgevingen.
• Toekomstperspectief: De auteurs plannen om het model te testen op real-world netwerkverkeer van fysieke testbeds en de prestaties te evalueren op echte, resource-beperkte apparaten.

Kortom, het paper biedt een robuust, snel en vooral uitlegbaar alternatief voor traditionele AI-beveiliging, wat de weg vrijmaakt voor veiligere en betrouwbaardere digitale gezondheidszorg.