Resumen

  • En RIPE 93, Muhammad Sangeen presentó una clasificación IoT/no IoT basada en los campos de un único TCP SYN, especialmente en la configuración del búfer de recepción. No necesita sondear el dispositivo ni reconstruir la conexión.
  • En treinta días del telescopio de red de UCSD, los dispositivos IoT fueron cerca del 6 % de las fuentes escaneadoras y menos del 1 % de los paquetes. Unos pocos emisores no IoT concentraron el volumen.

La lista de fuentes contradice al gráfico

El operador que vigila un enlace suele empezar por los paquetes. La ponencia original de RIPE 93 ofrece otra cuenta. El equipo de Sangeen estudió 3,2 billones de paquetes de 10,8 millones de fuentes distintas durante treinta días en el telescopio de UCSD. Clasificó aproximadamente el 6 % de las fuentes de escaneo como IoT, aunque esas fuentes produjeron menos del 1 % del tráfico de escaneo. El gráfico de volumen destacaba a pocos escáneres de propósito general. El recuento de emisores sacaba a la vista una población dispersa.

Sangeen partió del SYN, el primer paquete de una conexión TCP. La combinación de campos de cabecera, sobre todo los vinculados al búfer de recepción, sirve como huella del tipo de dispositivo. La base de referencia reunió 224 equipos IoT de seis bancos de prueba y huellas de sistemas no IoT. El método une coincidencias exactas y un clasificador que, según la evaluación, acertó con más del 90 % de los dispositivos inéditos y mantuvo los falsos positivos por debajo del 0,2 %. Es una medida del ensayo; una red real necesita conocer su propia mezcla de dispositivos.

Las máquinas lentas suman

El investigador describe muchos dispositivos que escanean despacio, un patrón compatible con botnets IoT. El paquete inicial permite estimar una clase, pero la huella no prueba que una cámara concreta esté infectada. En un borde CGNAT o un espejo de IXP, el valor está en detectar que aparece una clase inesperada y seguir qué destinos busca. Un umbral de paquetes que captura al emisor más ruidoso puede dejar fuera a miles de emisores modestos.

El perfil RACI identifica a Sangeen como investigador de medición de Internet en la Universidad de Twente. Su pregunta incomoda a un tablero cómodo: ¿se está contando la presión del tráfico o la cantidad de máquinas que participan?

Fuentes: resumen original RIPE 93; perfil RACI. Identidad y fuente del retrato: ficha del personal de la Universidad de Twente; fotografía de grupo identificada por la Universidad de Twente.