요약

  • Muhammad Sangeen은 RIPE 93에서 TCP SYN 한 개의 헤더 필드로 IoT와 비IoT 출발지를 분류하는 방법을 소개했다. 특히 수신 버퍼 설정이 단서이며, 출발지를 능동 탐사하거나 흐름 전체를 재구성하지 않는다.
  • UCSD 네트워크 망원경의 30일 표본에서 IoT는 스캔 출발지의 약 6%였지만 스캔 패킷은 1% 미만이었다. 소수의 비IoT 스캐너가 패킷량을 지배했다.

패킷 순위표가 놓친 출발지

운영자는 스캔 트래픽을 패킷 순서로 정렬한다. 가장 큰 막대가 먼저 대응을 부른다. Sangeen의 RIPE 93 원 발표 자료는 출발지 수를 함께 세었다. 연구팀은 UCSD 네트워크 망원경에 도달한 30일간의 패킷 3조 2천억 개와 서로 다른 출발지 1,080만 개를 분석했다. 분류된 IoT는 스캔 출발지의 약 6%, 패킷량에서는 1% 미만이었다. 많은 기기가 조금씩 보내면 총량 차트에는 작게 보인다.

방법은 TCP 연결을 여는 SYN의 헤더에 집중한다. 수신 버퍼와 관련된 설정 등이 기기 구현의 흔적을 남긴다. 여섯 시험 환경의 IoT 기기 224대와 비IoT 지문 데이터베이스를 바탕으로 정확히 일치하는 지문과 새로운 기기를 위한 분류기를 결합했다. 발표가 보고한 미학습 기기 분류 정확도는 90% 초과, 오탐률은 0.2% 미만이다. 실제 네트워크의 기기 구성에서도 이 수치가 나오는지는 현장 검증이 필요하다.

느린 기기도 모이면 많다

Sangeen은 넓고 느린 IoT 스캔을 봇넷 활동과 맞는 양상으로 설명했다. SYN 지문은 기기 부류를 가리키며 특정 기기의 침해 사실을 확정하지 않는다. CGNAT 경계나 IXP 미러에서 예상하지 못한 IoT 부류가 나타나면, 그 출발지의 대상 포트와 반복 패턴을 살필 수 있다. 총 패킷량만으로 만든 임계값은 작은 발신자들을 놓친다.

RIPE RACI 연구자 소개는 그를 트벤터 대학교의 인터넷 측정 연구자로 소개한다. Sangeen이 바꾼 질문은 단순하다. 누가 가장 많이 보냈는가에 앞서, 몇 대가 보냈는가.

원자료: RIPE 93 발표 초록; RACI 연구자 소개. 인물 확인 및 초상 원자료: 트벤터 대학교 인물 자료; 대학교가 이름을 밝힌 단체 사진.