Résumé

  • Muhammad Sangeen a présenté à RIPE 93 une classification IoT/non-IoT fondée sur un seul paquet TCP SYN. Les paramètres de l'en-tête, surtout ceux du tampon de réception, suffisent à produire une empreinte sans sonder l'émetteur.
  • Sur trente jours de trafic du télescope UCSD, l'équipe estime que l'IoT représente environ 6 % des sources de scan et moins de 1 % du volume de paquets. Quelques scanneurs non-IoT dominent le compteur.

Compter les machines, pas seulement le bruit

Un centre d'exploitation voit d'abord les volumes. Cela pousse les gros émetteurs en haut de la file, même si une multitude de petites sources travaille plus lentement. L'abstract original de RIPE 93 décrit l'échantillon de Sangeen : 3 200 milliards de paquets, 10,8 millions de sources distinctes, trente jours. Son équipe classe les appareils IoT à environ 6 % des hôtes scanneurs. Ils émettent moins de 1 % des paquets. La même activité paraît marginale ou diffuse selon le dénominateur choisi.

Le chercheur ne demande pas un dialogue avec chaque appareil. Il lit le SYN qui ouvre une connexion TCP. Une poignée de champs, surtout la configuration du tampon de réception, sert d'empreinte. La base comprend 224 appareils IoT provenant de six bancs d'essai et une base d'empreintes non-IoT. Les correspondances exactes sont complétées par un classifieur : sur les appareils inconnus de l'entraînement, l'étude annonce plus de 90 % de bonnes classifications et moins de 0,2 % de faux positifs. Un réseau de production doit mesurer sa propre erreur avant de transformer ce résultat expérimental en règle d'alerte.

Le scanner discret n'est pas seul

Le faible volume individuel explique le piège. Un seuil réglé pour les gros scanneurs généralistes peut ignorer une foule d'objets connectés. Sangeen qualifie cette largeur et cette lenteur de compatibles avec une activité de botnet. Un en-tête SYN renseigne sur une classe d'appareil ; l'état compromis d'un appareil précis se démontre avec d'autres traces. À une frontière CGNAT ou sur un miroir d'IXP, le signal sert d'abord à chercher une classe inattendue et ses cibles.

Le profil RACI de RIPE situe ce travail dans les mesures Internet de l'université de Twente. Sangeen a déplacé la première question : combien de machines participent, avant de demander qui a envoyé le plus de paquets ?

Sources : présentation originale RIPE 93 ; profil RACI. Identité et source du portrait: fiche du personnel de l’Université de Twente; photo de groupe légendée par l’Université de Twente.