Process Mining Error Detection for Securing the IoT System Saeid Ghasemshirazi iot device security process mining approach

1. Process Mining Error Detection for Securing the IoT System
Journal of ISMAC (2020)
Saeid ghasemshirazi

2. Research Issue
‫‌های‌امنیتی‌اینترنت‌اشیا‬‫ش‬‫چال‬:
•‫‌های‌متعدد‬‫ی‬‫فناور‬
•‫کاربردهای‌متعدد‬
•‫‌پذیری‬‫س‬‫مقیا‬
•‫‌ها‬‫ه‬‫کالن‌داد‬
•‫‌های‌منبع‬‫ت‬‫محدودی‬
•‫‌های‌دورافتاده‬‫ن‬‫مکا‬
•‫پویایی‬

3. Mirai Botnet
•13‌‫هزار‌دستگاه‬IOT
•‫باعث‌قطعی‌گسترده‌اینترنت‬
•‌‫حمله‬DDoS‫در‌سازمان‌های‌مالی‬
•‫هدف‬:IOT‫دیوایس‌ها‌با‌رمز‌عبور‌پیش‌فرض‬!
•‌‫یکی‌از‬‌‫بزرگترین‌حمله‬DDoS‫در‌تاریخ‬!
•620‫گیگابایت‌در‌هر‌ثانیه‬!

4. Why IoT is insecure?
•‫انتی‬،‫ویروس‬،‫فایروال‬IDS‫ها‬‫در‬‫حوزه‬‫اینترنت‬‫اشیا‬‫کافی‬‫نیستند‬!
•‫در‬‫این‬‫مقاله‬‫یک‬‫روش‬‫فرایند‬‫کاوی‬‫برای‬‫تشخیص‬‫بدرفتاری‬(misbehavior)‫و‬‫تشخیص‬‫سایر‬‫حمالت‬‫روی‬‫اینترنت‬‫اشیا‬‫پرداخته‬‫می‬‫شود‬.
•‫این‬‫روش‬‫برای‬‫پروتکل‬‫ها‬‫و‬‫پلتفرم‬‫های‬‫ناهمگن‬(heterogeneous)‫مناسب‬‫است‬‫و‬‫میتواند‬‫راه‬‫حل‬‫قابل‬‫استفاده‬‫برای‬‫دیتاست‬‫های‬‫بدون‬
‫نظارت‬(unsupervised)‫را‬‫فراهم‬‫کند‬.
•‫هدف‬‫اصلی‬‫این‬‫متدولوژی‬‫تشخیص‬‫هشدار‬‫های‬‫کاذب‬(false alert)‫و‬‫تجزیه‬‫و‬‫تحلیل‬‫اقدامات‬‫امنیتی‬‫است‬.

5. Related Works
Title Methodology
Performance Analysis ofWindTurbine
Monitoring Mechanism
Machine learning
Detect Botnet Behavior Behavior clustering
Optimized Route Selection inWireless
Sensor Network
Neural networks
From event logs to goals: a systematic
literature review
PM Approach + Machine learning

6. Proposed method
• Main block:
• misbehavior detection block
• model building block
• data pre-processing block

7. Methodology
•‫در‬‫این‬‫روش‬‫برای‬‫یافتن‬‫حمالت‬‫از‬‫مدل‬‫رفتاری‬(behavioral model)‫استفاده‬‫می‬‫شود‬‫و‬‫خروجی‬‫آن‬‫در‬Prom‫ذخیره‬‫و‬‫مورد‬‫بررسی‬‫قرار‬
‫میگیرد‬.
•‫این‬‫متدولوژی‬‫از‬3‫بالک‬‫اصلی‬‫تشکیل‬‫شده‬‫است‬‫که‬‫بالک‬‫های‬misbehavior‫و‬model building block‫به‬‫بالک‬pre-processing
‫وابسته‬‫میباشند‬.
•‫ورودی‬‫های‬‫سیستم‬‫داده‬‫های‬‫مانیتور‬‫شده‬‫در‬‫زمان‬‫اجرا‬(runtime)‫و‬training dataset‫های‬‫است‬‫که‬‫از‬‫بلوک‬‫های‬‫قبلی‬(Feedback)
‫می‬‫آیند‬.
•‫اولین‬‫مرحله‬‫گرفتن‬‫دیتای‬‫خام‬‫و‬‫تبدیل‬‫آن‬‫به‬‫دیتای‬‫قابل‬‫استفاده‬‫است‬‫که‬‫که‬‫این‬‫کار‬‫به‬‫کمک‬‫بالک‬‫پیش‬‫پردازش‬‫انجام‬‫می‬‫شود‬.
•‫سپس‬‫در‬‫مرحله‬‫بعد‬‫داده‬‫ها‬‫به‬‫کمک‬‫الگوریتم‬‫های‬‫فرایند‬‫کاوی‬‫به‬‫مدل‬‫رفتاری‬‫تبدیل‬‫می‬‫شود‬.

8. PM Architecture
Building of behavioral models
‫داده‌های‌خام‌با‌استفاده‌از‌پیش‌پردازش‌به‌داده‌های‌قابل‌استفاده‌در‌پروسس‌ماینینگ‌تبدیل‌می‌شوند‬.
Data Pre-processing block
‫شامل‌بخش‌های‌نرمال‌سازی،‌خوشه‌بند‌و‌تقسیم‌داده‌ها‌می‌شود‌که‌کار‌پیش‌پردازش‌داده‌ها‌را‌انجام‌میدهد‬.
Process mining block
‫برای‌داده‌های‌تصفیه‌شده‌توسعه‌یافته،‌گرافی‌بر‌اساس‌الگ‌های‌وقایع‬(Event Logs)‫تنظیم‌می‌شود‬.‌‫بر‌اساس‌این‌گراف‌یک‌درخت‌فرایندبا‬
‫استفاده‌عملگر‌های‌کافی‌برای‌انشار‌گراف‌شکل‌میگیرد‬.
‌‫سپس‌فرایند‌هابه‬2‌‫زیرمجموعه‌تقسیم‌می‌شوند‌وتا‌زمانیکه‌تعداد‌عناصر‌داخل‌هر‌مجموعه‌به‌یک‬1‫برسد‌این‌الگوریتم‌تکرار‌می‌شود‬.

9. Detection of misbehaviors
‫تشخیص‌رفتار‌نادرست‌در‌سیستم‌اینترنت‌اشیا‌شامل‌مشاهده‌و‌تجزیه‌و‌تحلیل‌داده‌های‌جمع‌آوری‌شده‌در‌طول‌زمان‌اجرا‌و‌مقایس‬‌‫ه‌آنها‌با‬
‫مدل‌رفتاری‌پیشنهادی‌است‬.
‫معیار‌تعیین‌کمیت‌اختالف‌با‌مدل‌پیشنهادی‬:
Deviation Quantification:
‫کمک‌به‌تعیین‌عملکرد‌و‌کمک‌در‌شناسایی‌رفتار‌نادرست‌احتمالی‌مدل‌رفتاری‬
‫قدم‌اول‌همگام‌سازی‌وقایع‬(synchronization of the events)‫می‌باشد‬.
‫نکته‬:‫این‌مرحله‌زمانی‌امکان‌پذیر‌است‌که‌دیتاست‌ما‌با‌مدل‌رفتاری‌مطابقت‌داشته‌باشد‬.
Detection Mechanism:
‌‫خروجی‌مرحله‌ی‌پیش‌پردازش‌به‌این‌بالک‌ارسال‌می‌شود‌که‌از‌آن‌برای‌ساخت‬Sub-Logs‌‫و‌نگهداری‬state identifiers , timestamps
‫استفاده‌می‌شود‬.

10. Results and Discussion
•‫بر‬‫اساس‬‫مشاهادات‬‫و‬‫آزمایشات‬‫بهترین‬‫کارایی‬‫در‬‫شناسایی‬(Detection Performance)‫را‬k=8
‫در‬k-mean clustering‫می‬‫باشد‬.
•‫آستانه‬‫تشخیص‬(Detection Threshold)‫بین‬0-1‫می‬‫باشد‬.

11. ROC Curve
•‌،‫‌بندی‌دو‌دویی‬‫ه‬‫‌های‌بررسی‌و‌ارزیابی‌عملکرد‌دست‬‫ش‬‫یکی‌از‌رو‬«‫نمودار‌مشخصه‌عملکرد‬»(Receiver Operating Characteristic)‌‫که‌به‌اختصار‌منحنی‬ROC
‫است‬.
•‌‫‌های‬‫م‬‫کارایی‌الگوریت‬«‫‌بندهای‌دو‌دویی‬‫ه‬‫دست‬»(Binary Classifier)‌‫‌هایی‌به‌نام‬‫ص‬‫معموال‌توسط‌شاخ‬«‫حساسیت‬»(Sensitivity)‌‫یا‬«‫بازیابی‬»(Recall)‌‫سنجیده‬
‫‌شود‬‫ی‬‫م‬.‌‫اما‌در‌نمودار‬ROC‫‌شوند‬‫ی‬‫‌ها‌ترکیب‌شده‌و‌به‌صورت‌یک‌منحنی‌نمایش‌داده‌م‬‫ص‬‫هر‌دوی‌این‌شاخ‬.
•‌‫منحنی‬ROC‌‫توسط‌ترسیم‌نسبت‌یا‬«‫نرخ‌مثبت‌صحیح‬»True Positive Rate))‌‫که‌به‌اختصار‬TPR‌‫‌شود‌برحسب‬‫ی‬‫نامیده‌م‬«‫نرخ‌مثبت‌کاذب‬»False
Positive Rate‌‫با‬‌‫نام‌اختصاری‬FPR،‫‌شود‬‫ی‬‫ایجاد‌م‬.
•‫‌ای‌با‌مختصات‬‫ه‬‫‌بندی‌در‌این‌نمودار‌در‌نقط‬‫ه‬‫بهترین‌عملکرد‌دست‬(0،1)‫رخ‌خواهد‌داد‌که‌در‌آن‌کمترین‌نرخ‌اشتباه‌و‌بیشترین‌نرخ‌بازیابی‌یا‌حساسیت‌را‌داریم‬.‫ای‬‌‫ن‬
‌‫نقطه‌بیانگر‬«‫‌بندی‬‫ه‬‫بهترین‌دست‬»(Perfect Classification)‫است‬.
•‫‌ای‌روی‌این‌خطوط‌منقطع‌قرار‌گرفته‌باشد،‌تشخیص‌درستی‌نسبت‌به‌قرارگیری‌در‌هر‌گروه،‌برایش‌وجود‌ندارد‬‫ه‬‫اگر‌نقط‬.

12. Results and Discussion
•‌‫این‌تصویر‌نشان‌دهنده‌امنیت‌اینترنت‬‫اش‬‫ی‬‌‫ا‬‫با‌استفاده‌از‌منحنی‬ROC‫می‌باشد‬.
•AUC(Area Under Curve)‫یا‌همان‌سطح‌زیر‌نمودار‌است‬.
•AUC‌‫‌تواند‌مقداری‌بین‬‫ی‬‫م‬۰‌‫و‬۱‌‫داشته‌باشد‌که‌در‌آن‬۱‫بهترین‌مقدار‌است‬.
•‌‫این‌راهکاری‌مناسب‌برای‌تبدیل‬ROC‌‫به‌یک‌عدد‌یکتا‌به‌منظور‌ارزیابی‌مدل‬
‫است‬.

13. Conclusion
•‫یکی‬‫از‬‫چالش‬‫های‬‫اصلی‬‫در‬‫امنیت‬‫محافظت‬‫از‬‫دستگاه‬‫های‬‫اینترنت‬‫اشیا‬‫با‬‫منابع‬‫محدود‬‫می‬‫باشد‬.
•‫در‬‫این‬‫مقاله‬‫برای‬‫غلبه‬‫بر‬‫این‬‫چالش‬‫از‬‫رویکرد‬Process mining‫استفاده‬‫شده‬‫است‬‫که‬‫میتواند‬‫تعداد‬‫بسیاری‬‫از‬‫پروتکل‬‫ها‬‫و‬‫دستگاه‬‫ها‬‫ر‬‫ا‬
‫برای‬‫نظارت‬‫امنیتی‬‫مدیریت‬‫کند‬.
•‫در‬‫این‬‫طرح‬‫عالوه‬‫بر‬PM‫از‬‫رویکرد‬data pre-processing‫نیز‬‫برای‬‫بهبود‬‫عملکرد‬‫آن‬‫استفاده‬‫شده‬‫است‬.
•‫در‬‫این‬‫تکنیک‬‫میتوان‬‫داده‬‫ها‬‫را‬‫در‬‫زمان‬‫اجرا‬(Runtime)‫مشاهده‬‫کرد‬‫و‬‫حمالت‬‫احتمالی‬‫و‬‫همچنین‬‫رفتار‬‫های‬‫نادرست‬‫سیستم‬‫را‬‫مدیریت‬
‫کرد‬.
•‫در‬‫این‬‫مقاله‬‫یک‬prototype‫با‬‫بهره‬‫گیری‬‫از‬‫ابزار‬Prom‫ارائه‬‫می‬‫شود‬‫که‬‫راه‬‫حلی‬‫برای‬‫افزایش‬‫امنیت‬‫دستگاه‬‫های‬‫اینترنت‬‫اشیا‬
‫است،تمامی‬‫مراحل‬‫کار‬‫طی‬‫ازمایش‬‫های‬‫دقیق‬‫انجام‬‫شده‬‫و‬‫خروجی‬‫آن‬‫قابل‬‫مشاهده‬‫و‬‫ارزیابی‬‫است‬.

14. My Idea
•‫تشخیص‬Botnet‫ها‬‫توسط‬learning + Process miningDeep‫با‬‫اضافه‬‫کردن‬‫مرحله‬pre-processing
•‫تغییر‬‫الگوریتم‬‫های‬classifier‫برای‬‫گرفتن‬‫بهترین‬performance
•‫مشاهده،بررسی‬‫و‬‫انالیز‬‫معیار‬‫های‬‫مختلف‬‫مثل‬‫مصرف‬CPU, memory, energy‫و‬‫پیداکردن‬‫اینکه‬‫کدام‬‫معیار‬‫در‬‫تشخیص‬‫درست‬‫بات‬‫نت‬
‫کارا‬‫تر‬‫است‬.
•‫پیداکردن‬‫مجرم‬‫توسط‬Botnet Signal‫با‬‫رویکرد‬Process mining

15. Thank You For Your Attention