DeviceRadar：使用可编程交换机在 ISP 中进行在线 IoT 设备指纹识别
网络与互联网体系结构
2024-05-24 v1 密码学与安全
摘要
互联网服务提供商（ISP）可利用设备指纹识别来发现易受攻击的 IoT 设备，以尽早预防威胁。然而，由于 ISP 网络中大量部署了中间盒，一些重要数据（如五元组和流统计信息）常常被掩盖，导致许多现有方法失效。ISP 网络中每天高达数百 TB 的高速流量进一步加剧了这一挑战。本文提出了 DeviceRadar，一个使用可编程交换机在 ISP 中实现准确、实时处理的在线 IoT 设备指纹识别框架。我们创新性地仅利用数据包大小和方向，将“关键数据包”作为指纹的基础，这些数据包周期性出现且在不同 IoT 设备间表现出差异。为了利用这些数据包，我们提出了一个数据包大小嵌入模型来发现数据包间的空间关系。同时，我们设计了一种算法来提取每个设备的“关键数据包”，并提出了一种联合考虑空间关系和关键数据包的方法，以生成邻近关键数据包分布，该分布可作为机器学习模型进行推断的特征向量。最后，我们设计了一种模型转换方法和特征提取过程，在其受限的算术运算和内存条件下将模型部署在可编程数据平面上，以实现线速处理。实验表明，DeviceRadar 在 77 个 IoT 设备上实现了 SOTA 准确率，吞吐量达 40 Gbps，且处理时间仅为 GPU 加速方法的 1.3%。
引用
@article{arxiv.2404.12738,
title = {DeviceRadar: Online IoT Device Fingerprinting in ISPs using Programmable Switches},
author = {Ruoyu Li and Qing Li and Tao Lin and Qingsong Zou and Dan Zhao and Yucheng Huang and Gareth Tyson and Guorui Xie and Yong Jiang},
journal= {arXiv preprint arXiv:2404.12738},
year = {2024}
}
备注
Submitted to IEEE/ACM Transactions on Networking (ToN)