リソース制約のあるハードウェアへの実世界エッジ展開による、IoTネットワーク向けの不確実性認識型ゼロデイ・ボットネット検出
Uncertainty-Aware Zero-Day Botnet Detection for IoT Networks with Real-World Edge Deployment on Resource-Constrained Hardware
IoTセンサーネットワークのボットネット攻撃検出研究では、学習時に遭遇した攻撃ファミリーのみで分類器をテストする閉鎖セット評価が一般的だが、実環境での未知のゼロデイマルウェア検出に失敗することが多い。本研究では、既知クラス予測のためのXGBoost勾配ブースト木分類器と、独立した不確実性推定器としてのモンテカルロ(MC)ドロップアウト多層パーセプトロン(MLP)を組み合わせたキャリブレーション済み2段階検出パイプラインを評価する。不確実性モデルは、ゼロデイ通信の可能性のある未知のトラフィックをフラグ付けするために使用される。分類器はBot-IoTデータセットで学習・キャリブレーションされ、未知のMiraiおよびBASHLITEマルウェアファミリーを含むN-BaIoTでゼロデイ汎化性能を評価した。データ準備中に、学習/テストの重複問題が特定され、単純な分割の約97%が重複していたため削除された。ベース分類器は既知クラス検出で99.4%の精度を達成したが、信頼度スコアはゼロデイ通信と負の相関を示し、AUROCは0.32であった。提案された不確実性ゲートは、Miraiに対して13.75%の検出率で、ゼロデイ識別をAUROC 0.66に改善した。SHAPを用いた説明可能なAI分析は、パケットサイズ統計にこのギャップを関連付けた。実用性を評価するため、フレームワーク全体を組み込みRaspberry Pi Compute Module 5(CM5)エッジデバイスに展開し、平均推論遅延は15.03 ms/サンプルであった。これらの結果は、不確実性認識型ゲートがリソース制約のあるIoTセンシング環境において、従来の閉鎖セット分類よりもゼロデイ耐性を向上させることができることを示している。
- XGBoost分類器とMCドロップアウトMLPの不確実性推定器を組み合わせたキャリブレーション済み2段階検出パイプラインを、Bot-IoTで学習しN-BaIoT(未知のMirai/BASHLITE)でゼロデイ汎化評価した
- ベース分類器の既知クラス検出精度は99.4%だが信頼度スコアはゼロデイ通信と負の相関(AUROC 0.32)、不確実性ゲートでMirai検出率13.75%・ゼロデイ識別AUROC 0.66に改善
- データ準備段階で学習/テストの重複を特定し、単純分割の約97%が重複していたため削除した
- フレームワークをRaspberry Pi Compute Module 5(CM5)エッジデバイスに展開し、平均推論遅延15.03 ms/サンプルを確認
- SHAPによる説明可能AI分析で、ゼロデイ識別ギャップがパケットサイズ統計に起因することを示した
IoTボットネットのゼロデイ検出という実運用課題に対し、XGBoostとMCドロップアウトMLPを組み合わせた不確実性認識型2段階パイプラインをRaspberry Pi CM5上で15.03ms/サンプルで動かした点が実務的。既知クラス99.4%精度でもAUROC 0.32とゼロデイに弱いという「閉鎖セット評価の限界」を定量的に示し、不確実性ゲートでAUROC 0.66まで改善したのは、エッジ組み込みセキュリティ製品の差別化指標になり得る。投資家としては、この精度改善幅とレイテンシが商用エッジIDSにそのまま載る水準か、学習データ重複除去後の実質性能を追加検証したい。