A Federated Graph-Based Intrusion Detection Framework for Unknown Attack Detection in Internet of Medical Things(IoMT)

Stel je het Internet of Medical Things (IoMT) voor als een bruisend, hoogtechnologisch ziekenhuis waar alles met elkaar verbonden is. Van slimme hartmonitoren en insulinepompen tot draagbare fitness trackers; deze apparaten praten constant met elkaar en delen vitale gegevens om patiënten veilig te houden. Het is als een digitaal zenuwstelsel voor de gezondheidszorg, waardoor artsen sneller en zorg nauwkeuriger wordt. Maar net zoals een echt zenuwstelsel kan worden gekaapt door een virus, is dit digitale netwerk kwetsbaar voor cybercriminelen die geheimen willen stelen of levensreddende apparatuur willen uitschakelen.

Om deze digitale dieven te vangen, gebruiken beveiligingsexperts "Intrusion Detection Systems" (IDS). Zie een IDS als een superintelligente beveiligingsbeambte die de verkeersstromen door het netwerk van het ziekenhuis in de gaten houdt. Traditionele bewakers zoeken naar bekende boeven door een lijst met gezichten te controleren die ze eerder hebben gezien. Maar wat gebeurt er als er een nieuwe, onbekende crimineel opduikt in een vermomming? De oude bewakers raken in de war. Bovendien kan een beveiligingsbeambte in een echt ziekenhuis niet zomaar in de privé medische dossiers van iedereen kijken om te leren; dat zou een enorme schending van de privacy zijn. De uitdaging is het bouwen van een beveiligingsbeambte die slim genoeg is om nieuwe, onbekende aanvallen te ontdekken zonder ooit de privégegevens van de patiënten te zien.

Dit artikel introduceert een slimme nieuwe oplossing genaamd een "Federated Graph-Based Intrusion Detection Framework". Het combineert drie krachtige ideeën om de privacy- en "onbekende aanval"-problemen op te lossen. Ten eerste, in plaats van gegevens als een simpele lijst te beschouwen, behandelt het netwerkverkeer als een sociaal netwerk-graph, waarbij apparaten mensen zijn en hun verbindingen vriendschappen zijn. Dit helpt het systeem om te zien hoe apparaten met elkaar interageren, wat het makkelijker maakt om te ontdekken wanneer een groep apparaten samen vreemd begint te gedragen. Ten tweede gebruikt het Federated Learning, wat lijkt op een groep studenten die samen voor een toets studeren zonder ooit hun eigen schriftjes met elkaar te delen. Elk ziekenhuis traint zijn eigen beveiligingsmodel op zijn lokale gegevens, en zij delen alleen de "geleerde lessen" (wiskundige updates) met een centrale docent, waardoor alle patiëntengegevens privé blijven. Ten slotte gebruikt het systeem geavanceerde wiskunde genaamd Graph Convolutional Networks (GCN) en Graph Attention Networks (GAT) om deze sociale grafen te analyseren, wat het systeem helpt om de "vorm" van een aanval te herkennen, zelfs als het die specifieke aanval nog nooit eerder heeft gezien.

De onderzoekers testten hun nieuwe systeem met behulp van een enorme dataset van medisch netwerkverkeer genaamd CICIoMT2024 om het model te trainen. Om te zien of het echt met het onbekende om kon gaan, hebben ze niet alleen getest op dezelfde data; ze hebben er een compleet andere set aanvallen op afgeworpen uit een aparte dataset genaamd CIC-DIAD2024, specifiek kijkend naar "Mirai"-aanvallen die het model tijdens de training nog nooit was tegengekomen. De resultaten waren indrukwekkend: in een eenvoudige test om "goed" verkeer van "slecht" verkeer te onderscheiden, behaalde het systeem een nauwkeurigheid van 99,65%. Wanneer de taak moeilijker werd en vereiste het verkeer in zes verschillende categorieën van aanvallen te sorteren, behaalde het nog steeds een nauwkeurigheid van 90,64%.

Het artikel voert expliciet aan dat men niet uitsluitend moet vertrouwen op oudere methoden zoals standaard deep learning (CNN's) die datapunten als geïsoleerde eilanden behandelen, of traditioneel gecentraliseerd leren dat vereist dat alle privé patiëntgegevens op één server worden gedumpt. De auteurs suggereren dat hun aanpak superieur is omdat het privacy-by-design waarborgt en veel beter is in het generaliseren naar nieuwe, onbekende dreigingen. Ze hebben deze resultaten gemeten via uitgebreide experimenten en cross-dataset validatie, waarmee ze lieten zien dat hun methode robuust is. Hoewel het systeem zeer effectief is in deze tests, merken de auteurs op dat toekomstig werk zal moeten onderzoeken hoe het omgaat met nog complexere adversariële aanvallen en verschillende real-world scenario's. Uiteindelijk biedt dit framework een veelbelovende, privacyvriendelijke manier om de toekomst van de verbonden gezondheidszorg te beschermen tegen de volgende golf van cyberdreigingen.