الملخص

  • عرض Muhammad Sangeen في RIPE 93 طريقة تمييز مصادر إنترنت الأشياء من غيرها باستخدام حقول حزمة TCP SYN واحدة، ولا سيما إعدادات مخزن الاستقبال، من دون فحص نشط للجهاز أو إعادة بناء الاتصال.
  • في عينة مدتها ثلاثون يوماً من مرصد UCSD للشبكات، قُدرت أجهزة إنترنت الأشياء بنحو 6% من مصادر المسح، لكنها أرسلت أقل من 1% من حزم المسح. سيطر عدد قليل من الماسحات غير المصنفة ضمن إنترنت الأشياء على الحجم.

حين يتغير المقام تتغير الصورة

يرتب فريق التشغيل عناوين المسح بحسب عدد الحزم، فتتقدم المصادر الصاخبة. في الملخص البحثي الأصلي لـRIPE 93 اختار Sangeen عدّ المرسلين أيضاً. درس فريقه 3.2 تريليون حزمة من 10.8 مليون مصدر مختلف خلال ثلاثين يوماً في مرصد UCSD. صنّف نحو 6% من مصادر المسح ضمن إنترنت الأشياء، بينما لم تتجاوز مساهمتها 1% من الحزم. الأجهزة الصغيرة كثيرة العدد، والماسحات العامة القليلة كثيرة الإرسال.

تبدأ الطريقة من حزمة SYN التي تفتح اتصال TCP. تترك إعدادات مخزن الاستقبال وبعض حقول الترويسة بصمة لتنفيذ الجهاز. جمع الفريق بيانات 224 جهاز إنترنت أشياء من ست بيئات اختبار، وأضاف قاعدة بصمات لأجهزة أخرى. المطابقة الدقيقة تعمل مع مصنف يتعامل مع أجهزة لم تدخل التدريب؛ وأعلن التقييم صحة تصنيف تتجاوز 90% ومعدل إيجابيات كاذبة أقل من 0.2%. هذه نتيجة اختبار محدد، وعلى المشغل قياس أداء التصنيف في شبكته قبل تحويله إلى إنذار.

الضجيج الضعيف قد يأتي من جيش

وصف Sangeen نمط إنترنت الأشياء بأنه واسع الانتشار وبطيء لكل جهاز، ومتسق مع نشاط شبكات الروبوت. بصمة SYN تدل على فئة الجهاز؛ إثبات إصابة جهاز بعينه يتطلب أدلة أخرى. عند حدود CGNAT أو نسخة مراقبة من حركة نقطة تبادل، يمكن رصد فئة غير متوقعة ثم مراجعة الأهداف التي تقصدها. حد الإنذار المبني على حجم الحزم وحده سيترك كثيراً من المرسلين الهادئين خارج الشاشة.

يذكر ملف الباحث في برنامج RACI عمله في قياس الإنترنت بجامعة تفينتي. غيّر Sangeen السؤال التشغيلي من «من أرسل أكبر عدد من الحزم؟» إلى «كم جهازاً شارك في المسح؟».

المصادر الأصلية: ملخص عرض RIPE 93؛ ملف RACI. مصدر الهوية والصورة: صفحة الموظفين في جامعة تفينتي; الصورة الجماعية المعرّفة من جامعة تفينتي.