Smart Honeypot for Threat Detection and Classification in IoMt Networks
本文提出了 HoneyMed，一个面向 IoMT 网络的协议感知型蜜罐框架，该框架通过模拟医疗服务，利用机器学习实时捕获并分类攻击，在实现随机森林 98.50% 准确率的同时，生成不危及生产资产的区块链就绪型证据。
原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
如今，医院依赖于一个庞大的联网设备网络，从病床旁的患者监护仪到放射科的成像系统。这些通常被称为“医疗物联网”（Internet of Medical Things）的设备，使医生能够追踪生命体征并即时共享数据，但这种持续的连接也打开了麻烦的大门。因为许多此类设备是为受信任的医院网络而设计的，而非针对充满敌意的互联网环境，因此它们可能容易受到攻击者的攻击，后者试图潜入、窃取数据或关闭关键设备。传统的安全措施往往在真实机器遭受攻击后才发出警报，而对于敏感的医疗设备来说，这可能为时已晚。为了解决这个问题，研究人员转向了一种称为“欺骗”（deception）的策略：设置一个看起来足够真实的虚假目标来诱导攻击者进入，从而让安全团队能够在不危及实际患者的情况下研究入侵者的行为。
印度拉玛亚科技学院（Ramaiah Institute of Technology）的一个研究小组构建了一个名为 HoneyMed 的新系统，旨在将这一理念专门应用于医疗网络。他们的目标是创建一个数字陷阱，模拟医院使用的特定服务，例如用于发送医学图像或监控患者数据的协议。HoneyMed 不会等待真实的漏洞被利用，而是静静地驻留在网络中，伪装成一台患者监护仪和一台医疗记录服务器。当攻击者探测系统、寻找弱点或尝试猜测密码时，他们交互的对象是这个虚假设备，而非真实设备。该系统会捕捉攻击者的每一个动作，从他们发送的数据大小到他们尝试执行的具体命令。
一旦系统捕捉到这种可疑活动，它不仅仅是存储原始数据；它会立即进行分析，以了解发生了哪种类型的攻击。研究人员训练了计算机程序来识别捕获流量中的模式，将入侵行为分类，例如试图用流量压垮系统的行为、猜测密码的尝试，或是仅仅为了查看网络内容的扫描行为。在测试中，该系统使用了一个包含 5,000 次模拟交互的数据集来教这些程序如何区分正常活动与恶意攻击。结果显示，一种被称为“随机森林分类器”（Random Forest classifier）的特定方法在执行此任务方面表现异常出色，能正确识别攻击类型的准确率高达 98.50%。
该系统设计得轻量且快速，这意味着它可以在标准的医院计算机上运行，无需昂贵的专用硬件。它将复杂的攻击数据分解为简单的、易于理解的特征，例如发送了多少数据，或者攻击者是否包含了登录凭据。这种方法使得系统能够解释为什么将某个事件标记为危险，这在医疗安全领域是一个至关重要的功能，因为理解“为什么”与检测本身同样重要。此外，为了确保攻击证据在日后不会被篡改，系统会为每一次事件创建一个唯一的数字指纹，这一过程为未来的审查或法律用途保障了记录的安全。
在一次实测中，研究人员针对他们的虚假患者监护仪模拟了各种攻击，包括尝试向系统发送大量请求以及探测隐藏服务。HoneyMed 系统成功实时捕捉到了这些模拟的入侵行为，并在仪表盘上展示了正在发生的情况以及哪些服务正受到攻击。虽然该系统在识别密码猜测和网络扫描等常见攻击方面非常有效，但研究人员指出，它在区分无害的探测与更隐蔽、低频率的侦察尝试方面稍显吃力。这表明，虽然该系统是即时威胁检测的强大工具，但仍可能需要进一步完善，以捕捉那些最隐蔽的观察者。
这项工作证明，通过建立一个安全系统，利用诱导攻击者远离真实患者并进入受控环境的方法，可以保护医疗设备，并在该环境中研究并阻止其行为。通过将欺骗艺术与智能、可解释的分析相结合，HoneyMed 提供了一种保护医疗网络免受威胁的实用方法。研究人员强调，目前的成果来自于模拟实验和他们创建的特定数据集，因此该系统尚未在包含真实患者数据的真实医院环境中进行测试。然而，该原型机表明，结合虚假目标与智能分析，可以为面临威胁的现代医疗网络提供清晰的视野，从而提供一层新的防御机制，在学习如何应对入侵尝试的同时，保护真实的医疗设备安全。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。