HMS设备异常检测 论文两篇

Security‘21 HAWatcher

摘要

由于物联网设备通过自动化集成，并与物理环境相结合，智能家居中的异常，无论是由于攻击还是设备故障，都可能导致严重的后果。利用数据挖掘技术检测异常的Priorworks遭受高误报率和错过许多真实异常。我们观察到，基于数据挖掘的方法遗漏了大量有关自动化程序(也称为智能应用程序)和设备的信息。我们提出了一种用于智能家居的语义感知异常检测系统——家庭自动化监视器(HAWatcher)。HAWatcher基于事件日志和语义为智能家居的正常行为建模。给定一个home, HAWatcher根据语义信息(如应用程序、设备类型、关系和安装位置)生成假设的相关性，并使用事件日志对它们进行验证。挖掘的相关性是通过从已安装的智能应用程序中提取的相关性来提炼的。影子执行引擎使用这些精细的关联来模拟智能家居的正常行为。在运行时，设备的真实状态和模拟状态之间的不一致会被报告为异常。我们在SmartThings平台上用四个真实的测试平台评估了我们的原型，并对总共62个不同的异常情况进行了测试。结果表明，HAWatcher算法具有较高的精度，显著优于以往的算法。
解决什么问题：智能家居中的设备异常
当前问题痛点：当前使用数据挖掘方法存在 误报率高（基于规则or特征异常检测通病）；没有考虑每个事件的语义，来自智能应用程序（家庭自动化程序）、设备类型和设备功能。
做什么：用于智能家居的语义感知异常检测系统——家庭自动化监视器。
怎么做 + 效果好

介绍

iot+智能家居发展快
智能家居安全性有漏洞
当前研究提出数据挖掘方法进行异常检测，however存在问题，三方面limitations：1. 规则语义复杂，或与非。2. 机器学习不可解释。3. smart apps和配置经常改变。

这里的smartapps是smartthings的那种吗？ 就是smartthings那种

so===> to fill the gap，提出系统
怎么做暂且不提，贡献：

1. 提出这样一个新奇的解决方案
2. 提出一种语义辅助数据挖掘方法，挖掘的相互关系===> 可解释，容易提炼用于解决smartapps冲突，更新方便
3. 提出影子引擎，模拟正常的家庭设备行为。在运行时，设备真实运行状态与模拟不同则被报告为异常
4. 实验并部署评估

背景

不谈

动机，目标，威胁模型

物联网设备故障：错误events、幽灵指令、events遗失或超长延迟、命令执行失败：网络方面、硬件方面
针对物联网设备攻击：虚假events、虚假命令、event拦截、命令拦截、攻击者入侵设备

检测上述故障与攻击（只能检测违反相关性的攻击。知道关联的攻击者可以构造不违反任何关联的攻击，从而逃避我们的检测）
不检测CAI

相关性

部署在家庭物联网中的设备活动存在相关性
一方面，智能应用程序（触发动作规则）决定触发器-动作关联，同时暗示其他可能性。
二方面，物理通道相关性，物理属性。
三方面，用户活动，例如用户打开电视，通常意味着会被附近的motion sensor发现 <== 有点扯
e2e，e2s两种相关性

设计与实现

设计

语义分析：从smart apps中提取规则，并转化为相关性。
相关性挖掘：预处理events日志 => 挖掘假设相关性 => 检验相关性
相关性精炼：1. 筛选那些错误的相关性 2. 更新
异常检测 影子执行引擎，订阅已安装物联网设备的事件。跟踪所有设备的状态，并根据获得的相关性模拟智能家居的合法行为。进行上下文与结果检测，上下文检查所有的e2s相关性，结果检查e2e相关性。

IoT-AD IoTJ‘23

摘要

在物联网(IoT)环境中(如智能家居)，可能会有几个相互连接的物联网设备可用。在这样的互联环境中，出现故障或损坏的物联网设备可能会影响其他物联网设备的运行。换句话说，物联网设备所显示的异常行为可能传播到物联网环境中的其他设备。在这篇论文中，我们认为缓和的异常行为的传播由一个设备显示到其他设备是同样重要的检测这种行为在第一个地方。根据这一观察，我们提出了一个框架，称为物联网异常检测器(IoT- ad)，它不仅可以检测物联网设备的异常行为，还可以限制可能影响其他设备的异常行为，并从这些异常行为中恢复。我们实现了物联网- ad的原型，我们基于开源物联网设备数据集，并通过在我们构建的一个小规模物联网测试平台上的实际部署对其进行了评估。与之前的相关方法相比，我们进一步评估了物联网- ad。我们的评估结果表明，IoT- ad能够在小于2.12毫秒的时间内识别物联网设备的异常行为，准确率高达98%。
解决什么问题：智能家居中设备异常，会引起其他设备的异常（TAP规则）
当前问题痛点 ：当前研究从两方面研究异常检测，网络流量相关包级异常；基于物联网设备一段时间的行为分析的状态/行为异常。However，1. 忽视异常会传播（TAP规则），2. 不能从这种传播的异常中恢复过来。
做什么在本文中，我们提出了一个物联网异常检测器(IoT- ad)框架，它可以检测包级异常和交互异常，这些异常可以在物联网设备之间传播;以及(ii)减轻传播异常的影响，使物联网设备能够从传播的异常中恢复。物联网- ad本质上是一个扩展的物联网设备控制器框架，能够检测物联网环境中的异常，并帮助相关的物联网设备从这些异常中恢复。
怎么做 ：数据包级别签名

• 效果好