要約

  • Muhammad SangeenはRIPE 93で、TCP SYN一つのヘッダー情報からIoT機器と非IoT機器を分類する手法を示した。主な手掛かりは受信バッファの設定で、送信元への能動的な探査は要らない。
  • UCSDネットワーク望遠鏡の30日分では、IoTはスキャン元の約6％を占めた一方、スキャンパケットの1％未満だった。少数の非IoTスキャナーが量を押し上げた。

大きな棒グラフの下にいる

運用者がパケット量で並べ替えると、大量送信する数台が先頭に来る。RIPE 93の原著発表でSangeenは分母を替えた。UCSDのネットワーク望遠鏡に届いた30日間の3.2兆パケットには、1080万の異なる送信元があった。分類したIoTはスキャン元の約6％だが、送信量では1％未満。数の多い低速の機器と、量の多い少数の機器が同じ図に重なっていた。

手法は接続の最初のSYNだけを見る。受信バッファ設定などのフィールドが実装の癖を残す。六つの試験環境にある224台のIoT機器と非IoTの指紋データを用い、一致検索に未知機器向けの分類器を加えた。発表は未知機器で90％超の正分類、0.2％未満の誤検知率を報告する。これは研究条件での性能であり、現場の機器構成でも同じ数字になるかは各運用者が測る必要がある。

遅い機器は集団になる

Sangeenは広く薄いIoTスキャンをボットネット活動と整合する形と説明した。SYNの指紋は機器の種類の手掛かりで、個々の端末が感染している証拠ではない。CGNATの境界やIXPのミラーで、想定外のIoT分類が現れる場所と宛先を見れば、調査先を絞れる。大量送信だけを捕まえる閾値では、その列を数えられない。

RIPEのRACI紹介は、Sangeenをトゥウェンテ大学のインターネット測定研究者として記す。彼が変えたのは警報の順番だ。誰が最もうるさいかの前に、何台が参加しているかを問う。

原資料：RIPE 93発表要旨；RACI研究者紹介。 本人確認と肖像の原資料: トゥウェンテ大学の職員紹介; 同大学が氏名を記した集合写真.