Zusammenfassung

  • Muhammad Sangeen stellte auf RIPE 93 eine IoT-Klassifikation anhand eines einzelnen TCP-SYN vor. Vor allem Einstellungen des Empfangspuffers liefern einen Fingerabdruck; die Quelle muss nicht aktiv abgefragt werden.
  • In 30 Tagen am UCSD Network Telescope entfielen nach der Klassifikation etwa 6 Prozent der Scan-Quellen auf IoT-Geräte, aber weniger als 1 Prozent des Scan-Paketvolumens. Wenige Nicht-IoT-Scanner schickten den Großteil der Pakete.

Die Rangliste hat einen blinden Fleck

Wer Scanverkehr nach Paketzahl sortiert, sieht zuerst die lautesten Sender. Sangeens Originalvortrag bei RIPE 93 stellt die Frage nach der Zahl der Absender. Sein Team untersuchte 3,2 Billionen Pakete von 10,8 Millionen unterschiedlichen Quellen in einer 30-Tage-Probe des UCSD Network Telescope. Rund 6 Prozent der Scan-Quellen wurden als IoT klassifiziert; sie erzeugten weniger als 1 Prozent der Pakete. Ein kleines Gerät kann selten senden, und trotzdem Teil einer großen Menge sein.

Der Forscher braucht dafür kein vollständiges Gespräch zwischen Client und Server. Er nutzt das SYN am Anfang einer TCP-Verbindung. Felder im Header, besonders die Konfiguration des Empfangspuffers, tragen Spuren des Geräte-Stacks. Die Referenzdaten umfassten 224 IoT-Geräte aus sechs Testumgebungen und eine Datenbank für Nicht-IoT-Fingerabdrücke. Exakte Treffer wurden mit einem Klassifikator ergänzt, der bei zuvor ungesehenen Geräten laut Studie mehr als 90 Prozent richtig zuordnete und unter 0,2 Prozent falsch positiv lag. Auf einem anderen Netz muss dieser Fehler neu gemessen werden.

Wenig Verkehr, viele Quellen

Sangeen beschreibt die breit verteilten, langsam scannenden IoT-Geräte als Muster, das zu Botnetz-Aktivität passt. Ein SYN-Fingerabdruck weist auf eine Geräteklasse; ob ein bestimmtes Gerät kompromittiert ist, entscheidet weiteres Material. An einer CGNAT-Grenze oder einem IXP-Spiegel kann die Klasse zuerst einen unerwarteten Gerätetyp markieren. Zielports und wiederholtes Verhalten geben dem Hinweis Gewicht. Eine reine Volumengrenze übersieht die kleinen Sender.

Das RIPE-RACI-Profil verortet Sangeen in der Internet-Messforschung an der Universität Twente. Seine Arbeit stellt der Paketstatistik eine zweite Rechnung gegenüber: Wie viele Maschinen machen mit?

Quellen: RIPE-93-Originalabstract; RACI-Forschungsprofil. Identität und Bildquelle: Personalseite der Universität Twente; beschriftetes Gruppenfoto der Universität Twente.