ML Detect

기계 학습 Detect(ML Detect)를 사용하면 기계 학습을 사용하여 기록 디바이스 데이터를 기반으로 모델을 자동으로 생성함으로써 예상되는 디바이스 동작을 학습하고 이러한 프로파일을 디바이스 그룹 또는 집합의 모든 디바이스에 할당하는 보안 프로파일을 생성할 수 있습니다. AWS IoT Device Defender에서는 이상 현상을 식별하고 ML 모델을 사용하여 경보를 트리거합니다.

ML Detect를 시작하는 방법에 대한 자세한 내용은 ML Detect 가이드 단원을 참조하세요.

ML Detect의 사용 사례

ML Detect를 사용하여 디바이스의 예상 동작을 설정하기가 어려울 때 플릿 디바이스를 모니터링할 수 있습니다. 예를 들어 연결 해제 지표 수를 모니터링하기 위해 허용되는 임계값으로 간주되는 것이 명확하지 않을 수 있습니다. 이 경우 ML Detect를 활성화하여 디바이스에서 보고된 기록 데이터를 기반으로 비정상적인 연결 해제 지표 데이터 포인트를 식별할 수 있습니다.

ML Detect의 또 다른 사용 사례는 시간이 지남에 따라 동적으로 변하는 디바이스 동작을 모니터링하는 것입니다. ML Detect는 디바이스의 데이터 패턴 변경을 기반으로 예상되는 동적 디바이스 동작을 주기적으로 학습합니다. 예를 들어, 디바이스 메시지 전송 볼륨은 평일과 주말에 따라 다를 수 있으며 ML Detect는 이러한 동적 동작을 학습합니다.

ML Detect 작동 방식

ML Detect를 사용하면 6가지 클라우드 측 지표 및 7개의 디바이스 측 지표 간에 운영 및 보안 이상을 식별하는 동작을 생성할 수 있습니다. 초기 모델 훈련 기간이 끝나면 ML Detect는 14일의 데이터를 기준으로 매일 모델을 새로 고칩니다. ML 모델을 사용하여 이러한 지표에 대한 데이터 포인트를 모니터링하고 예외 항목이 감지되면 경보를 트리거합니다.

ML Detect는 유사한 예상 동작을 가진 디바이스 컬렉션에 보안 프로파일을 연결하는 경우에 가장 적합합니다. 예를 들어 일부 디바이스가 고객의 가정과 사무실의 다른 디바이스에서 사용되는 경우 디바이스 동작 패턴이 두 그룹 간에 크게 다를 수 있습니다. 디바이스를 가정용 디바이스(home-device) 사물 그룹과 사무실 디바이스(office-device) 사물 그룹으로 구성할 수 있습니다. 최상의 이상 감지 효과를 얻으려면 각 사물 그룹을 별도의 ML Detect 보안 프로파일에 연결합니다.

ML Detect가 초기 모델을 빌드하는 동안 모델을 생성하려면 후행 14일 동안 지표당 최소 25,000개의 데이터 포인트가 필요합니다. 그런 다음 최소 수의 지표 데이터 포인트가 매일 모델을 업데이트합니다. 최소 요구 사항이 충족되지 않으면 ML Detect는 다음 날 모델을 만들려고 시도하며 모델 평가를 중단하기 전의 다음 30일 동안 매일 다시 시도합니다.

최소 요구 사항

초기 ML 모델 교육 및 생성을 위해 ML Detect에는 다음과 같은 최소 요구 사항이 있습니다.

최소 교육 기간

초기 모델을 제작하는 데 14일이 걸립니다. 그런 다음 모델은 14일의 후행 기간의 지표 데이터로 매일 새로 고쳐집니다.

최소 총 데이터 포인트

ML 모델을 빌드하는 데 필요한 최소 데이터 포인트는 지난 14일 동안 지표당 25,000개의 데이터 포인트입니다. 모델을 지속적으로 교육하고 새로 고치려면 ML Detect를 모니터링하는 디바이스에서 최소 데이터 포인트를 충족해야 합니다. 대략 다음 설정과 동일합니다.

• 45분의 간격으로 AWS IoT에서 연결 및 활동을 하는 디바이스 60개.

• 30분의 간격으로 디바이스 40개

• 10분의 간격으로 디바이스 15개.

• 5분의 간격으로 디바이스 7개.

디바이스 그룹 대상

데이터를 수집하려면 보안 프로파일의 대상 사물 그룹에 사물이 있어야 합니다.

초기 모델이 생성된 후 ML 모델은 매일 새로 고쳐지고 14일 후행 기간 동안 최소 25,000개의 데이터 포인트가 필요합니다.

제한 사항

다음 클라우드 측 지표의 차원과 함께 ML Detect를 사용할 수 있습니다.

• 권한 부여 실패(aws:num-authorization-failures)

• 수신된 메시지(aws:num-messages-received)

• 전송된 메시지(aws:num-messages-sent)

• 메시지 크기(aws:message-byte-size)

다음 지표는 ML Detect에서 지원되지 않습니다.

ML Detect에서 지원되지 않는 클라우드 측 지표:

• 소스 IP(aws:source-ip-address)

ML Detect에서 지원되지 않는 디바이스 측 지표:

• 대상 IP(aws:destination-ip-addresses)

• 수신 TCP 포트(aws:listening-tcp-ports)

• 수신 UDP 포트(aws:listening-udp-ports)

사용자 지정 지표는 번호유형만 지원합니다.

경보에서 거짓 양성 및 기타 확인 상태 표시

조사를 통해 ML Detect 경보가 거짓 긍정임을 확인하면 경보의 확인 상태를 거짓 긍정(False positive)으로 설정할 수 있습니다. 이를 통해 사용자와 팀이 응답할 필요가 없는 경보를 식별할 수 있습니다. 경보를 참 양성(True positive), 양성(Benign positive) 또는 알 수 없음(Unknown)으로 표시할 수도 있습니다.

AWS IoT Device Defender 콘솔을 통해 또는 PutVerificationStateOnViolation API 작업을 사용하여 경보를 표시할 수 있습니다.

지원되는 지표

ML Detect와 함께 다음과 같은 클라우드 측 지표를 사용할 수 있습니다.

• 권한 부여 실패(aws:num-authorization-failures)

• 연결 시도(aws:num-connection-attempts)

• 연결 해제(aws:num-disconnects)

• 메시지 크기(aws:message-byte-size)

• 전송된 메시지(aws:num-messages-sent)

• 수신된 메시지(aws:num-messages-received)

ML Detect와 함께 다음과 같은 디바이스 측 지표를 사용할 수 있습니다.

• 전송된 바이트(aws:all-bytes-out)

• 수신된 바이트(aws:all-bytes-in)

• 수신 TCP 포트 개수(aws:num-listening-tcp-ports)

• 수신 UDP 포트 수aws:num-listening-udp-ports)

• 전송된 패킷(aws:all-packets-out)

• 수신된 패킷(aws:all-packets-in)

• 설정된 TCP 연결 수(aws:num-established-tcp-connections)

서비스 할당량

ML Detect 서비스 할당량 및 제한에 대한 자세한 내용은 AWS IoT Device Defender 엔드포인트 및 할당량을 참조하세요.

ML Detect CLI 명령

다음 CLI 명령을 사용하여 ML Detect를 만들고 관리할 수 있습니다.

• create-security-profile

• attach-security-profile

• list-security-profiles

• describe-security-profile

• update-security-profile

• delete-security-profile

• get-behavior-model-training-summaries

• list-active-violations

• list-violation-events

ML Detect API

다음 API를 사용하여 ML Detect 보안 프로파일을 만들고 관리할 수 있습니다.

• CreateSecurityProfile

• AttachSecurityProfile

• ListSecurityProfiles

• DescribeSecurityProfile

• UpdateSecurityProfile

• DeleteSecurityProfile

• GetBehaviorModelTrainingSummaries

• ListActiveViolations

• ListViolationEvents

• PutVerificationStateOnViolation

ML Detect 보안 프로파일 일시 중지 또는 삭제

ML Detect 보안 프로파일을 일시 중지하여 디바이스 동작 모니터링을 일시적으로 중지하거나 ML Detect 보안 프로파일을 삭제하여 장시간 디바이스 동작 모니터링을 중지할 수 있습니다.

콘솔을 사용하여 ML Detect 보안 프로필 일시 중지

콘솔을 사용하여 ML Detect 보안 프로파일을 일시 중지하려면 먼저 빈 사물 그룹이 있어야 합니다. 빈 사물 그룹을 만들려면 AWS IoT Core 개발자 안내서의 정적 사물 그룹을 참조하세요. 빈 사물 그룹을 생성한 경우 빈 사물 그룹을 ML Detect 보안 프로파일의 대상으로 설정합니다.

참고

보안 프로파일의 대상을 30일 이내에 디바이스가 있는 디바이스 그룹으로 다시 설정해야 합니다. 그렇지 않으면 보안 프로파일을 다시 활성화할 수 없습니다.

콘솔을 사용하여 ML Detect 보안 프로필 삭제

보안 프로파일을 삭제하려면 다음 단계를 따릅니다.

1. AWS IoT 콘솔에서 사이드바로 이동하여 방어 섹션을 선택합니다.

2. 방어에서 감지를 선택하고 나서 보안 프로파일을 선택합니다.

3. 삭제하려는 ML 보안 프로파일을 선택합니다.

4. 작업(Actions)을 선택하고 옵션에서 삭제(Delete)를 선택합니다.

참고

ML Detect 보안 프로파일을 삭제한 후에는 보안 프롤파일을 다시 활성화할 수 없습니다.

CLI를 사용하여 ML Detect 보안 프로필 일시 중지

CLI를 사용하여 ML Detect 보안 프로파일을 일시 중지하려면 detach-security-security-profile 명령 사용

$aws iot detach-security-profile --security-profile-name SecurityProfileName --security-profile-target-arn arn:aws:iot:us-east-1:123456789012:all/registered-things

참고

이 옵션은 AWS CLI에서만 사용할 수 있습니다. 콘솔 워크플로와 마찬가지로 보안 프로파일의 대상을 30일 이내에 디바이스가 있는 디바이스 그룹으로 다시 설정해야 합니다. 그렇지 않으면 보안 프로파일을 다시 활성화할 수 없습니다. 보안 프로파일을 디바이스 그룹에 연결하려면 attach-security-profile 명령을 사용하세요.

CLI를 사용하여 ML Detect 보안 프로필 삭제

아래 delete-security-profile 명령을 사용하여 보안 프로파일을 삭제할 수 있습니다.

delete-security-profile --security-profile-name SecurityProfileName

참고

ML Detect 보안 프로파일을 삭제한 후에는 보안 프로파일을 다시 활성화할 수 없습니다.