NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

In het moderne huis heeft een stille revolutie plaatsgevonden. Apparaten die voorheen slechts één taak uitvoerden, zijn nu verbonden met het internet, van slimme thermostaten die onze schema's leren kennen tot camera's die onze deuren bewaken. Dit netwerk van verbonden objecten, bekend als het Internet of Things, biedt gemak maar introduceert ook een complexe beveiligingsuitdaging. Omdat deze apparaten zo gevarieerd zijn en vaak draaien op beperkte rekenkracht, kunnen ze moeilijk te beheren en zelfs nog gemakkelijker te kapen zijn. Wanneer een hacker de controle over een groep van deze apparaten overneemt, kunnen ze deze veranderen in een massaal, onzichtbaar leger dat in staat is om netwerken te overbelasten of gegevens te stelen. Om dit te stoppen, moeten beveiligingsexperts precies weten wat voor soort apparaat er op een netwerk communiceert en of het zich normaal gedraagt. Het identificeren van deze apparaten is echter lastig. Hun gedrag verandert afhankelijk van wat ze op dat moment doen: een camera kan er op het netwerk heel anders uitzien wanneer deze wordt ingeschakeld, wanneer deze in ruststand is en wanneer deze actief een video opneemt.

Onderzoekers aan de Dalhousie University en Solana Networks zetten zich in om dit probleem op te lossen door een nieuw systeem genaamd NIMSAFE te creëren. In plaats van te proberen alle apparaten in één enkele, rigide categorie te dwingen, besteedt hun aanpak nauwlettende aandacht aan de huidige staat van het apparaat. Ze observeerden negen verschillende soorten moderne slimme apparaten, waaronder koffiezetapparaten, deurbellen en beveiligingscamera's, en legden hun netwerkverkeer vast in drie verschillende modi: het moment waarop ze worden opgestart, wanneer ze in ruststand zijn en wanneer ze actief in gebruik zijn. Door de digitale voetafdrukken te analyseren die deze apparaten achterlaten terwijl ze communiceren, bouwde het team een machine learning-model dat niet alleen het type apparaat kan identificeren, maar ook of het normaal functioneert of dat het gecompromitteerd is door een botnet of een denial-of-service-aanval.

De onderzoekers ontdekten dat de staat van het apparaat enorm veel uitmaakte. Wanneer ze hun systeem trainden met gegevens van apparaten die actief in gebruik waren, presteerde het model aanzienlijk beter dan wanneer het werd getraind met gegevens van apparaten die net opstarten of in ruststand zijn. Dit suggereert dat de meest complexe en unieke communicatiepatronen optreden wanneer een apparaat zijn werkelijke taak uitvoert. Om te garanderen dat hun systeem robuust was, testten ze het tegen een grote verscheidenheid aan machine learning-algoritmen. Ze ontdekten dat een methode genaamd Random Forest, die werkt door de beslissingen van vele eenvoudige beslissingsbomen te combineren, veel superieur was aan andere veelvoorkomende technieken. Terwijl andere modellen moeite hadden met het onderscheiden van verschillende apparaten of bepaalde soorten hardware geheel niet herkenden, behield de Random Forest-aanpak een hoge nauwkeurigheid over alle verschillende apparaattypen en operationele staten heen.

Een grote hindernis in dit veld is het gebrek aan gelabelde data. Om een computer te trainen om een dreiging te herkennen, moeten experts meestal duizenden voorbeelden van normaal en kwaadaardig verkeer handmatig labelen, een proces dat traag en duur is. Het NIMSAFE-systeem pakt dit aan door een techniek te gebruiken die self-training wordt genoemd. De onderzoekers begonnen met een kleine hoeveelheid gelabelde data, slechts 20 procent van hun totale collectie, en lieten het model zichzelf onderwijzen met de resterende ongelabelde data. Opmerkelijk genoeg presteerde het systeem dat getraind was op deze kleine fractie van bekende voorbeelden bijna even goed als een systeem dat getraind was op de volledige dataset. Deze bevinding suggereert dat beveiligingssystemen effectief kunnen worden ingezet, zelfs wanneer experts zeer weinig tijd hebben om data te labelen, omdat het model de rest met hoge betrouwbaarheid zelfstandig kan leren.

Het team wilde ook begrijpen waarom hun systeem soms fouten maakte, dus gebruikten ze tools die ontworpen zijn om uit te leggen hoe kunstmatige intelligentie beslissingen neemt. Door in het model te kijken, ontdekten ze dat het systeem zwaar leunde op specifieke details over hoe datapakketten bewogen, zoals de grootte van de verzonden data, de timing van de verbindingen en de specifieke instellingen die door de onderliggende communicatieprotocollen worden gebruikt. Deze inzichten hielpen hen te zien dat het systeem niet willekeurig gokte, maar beslissingen nam op basis van concrete, meetbare kenmerken van het netwerkverkeer. In een laatste test daagden ze het systeem uit om onderscheid te maken tussen normale apparaatactiviteit en geavanceerde aanvallen, inclusر botnets die legitiem verkeer nabootsen om onopgemerkt te blijven. Het systeem slaagde met een nauwkeurigheid van bijna 99,9 procent, waarbij het de overgrote meerderheid van de dreigingen correct identificeerde. De kleine fractie fouten die optraden, kwam niet doordat het model faalde, maar omdat sommige kwaadaardige verkeersstromen zo vergelijkbaar waren met normaal apparaatgedrag dat zelfs de meest geavanceerde tools ze bijna niet van elkaar te onderscheiden vonden.

Dit werk demonstreert dat om het Internet of Things te beveiligen, we apparaten niet als statische objecten moeten beschouwen, maar als dynamische systemen die hun gedrag constant veranderen. Door te focussen op hoe apparaten handelen wanneer ze worden opgestart, in ruststand zijn of actief zijn, en door slimme leermethoden te gebruiken die minder menselijk toezicht vereisen, is het mogelijk om een beveiligingssysteem te bouwen dat zowel accuraat als praktisch is. De resultaten suggereren dat toekomstige beveiligingstools flexibel genoeg zullen moeten zijn om zich aan te passen aan de veranderende staat van de apparaten die ze beschermen, waarbij ze de patronen van normaal gedrag gebruiken om de subtiele tekenen van een aanval te herkennen.