Resumo

  • Muhammad Sangeen apresentou no RIPE 93 uma forma de classificar origens IoT e não IoT a partir de um único TCP SYN. Campos de cabeçalho, sobretudo a configuração do buffer de recepção, fornecem a impressão digital sem sondar o aparelho.
  • Em trinta dias do telescópio de rede da UCSD, o método estimou IoT em aproximadamente 6% das origens de varredura e menos de 1% dos pacotes. Poucos scanners não IoT dominaram o volume.

O denominador muda a manchete

Um operador abre o painel de segurança e vê os maiores emissores. O resumo original apresentado no RIPE 93 propõe contar também as máquinas. A equipe de Sangeen analisou 3,2 trilhões de pacotes de 10,8 milhões de origens distintas, ao longo de trinta dias, no telescópio da UCSD. A classificação encontrou cerca de 6% das origens de varredura na classe IoT. Elas enviaram menos de 1% dos pacotes. O tráfego agregado é comandado por poucos scanners de uso geral; a lista de origens mostra outra população.

O método examina o SYN que inicia uma conexão TCP. Configurações do buffer de recepção e outros campos de cabeçalho deixam uma assinatura. O conjunto de referência reuniu 224 aparelhos IoT em seis ambientes de teste e uma base de assinaturas não IoT. Correspondências exatas são combinadas com um classificador para aparelhos inéditos. Na avaliação relatada, ele acertou mais de 90% desses casos com taxa de falso positivo inferior a 0,2%. Antes de aplicar uma regra de produção, cada rede precisa medir sua própria mistura de equipamentos.

O discreto também se espalha

Sangeen descreve a varredura IoT como ampla e lenta, um padrão compatível com atividade de botnet. A assinatura de um SYN indica uma classe de aparelho; a investigação de um dispositivo comprometido exige mais registros. Uma borda CGNAT ou um espelho de IXP pode usar a classificação para localizar uma classe inesperada e acompanhar os destinos que ela busca. O filtro que só enxerga picos perde a presença repetida de muitos emissores pequenos.

O perfil RACI do RIPE situa Sangeen na pesquisa de medições da Universidade de Twente. Sua pergunta cabe no primeiro pacote: o problema é quem envia mais, ou quantos aparelhos começaram a enviar?

Fontes: resumo original RIPE 93; perfil RACI. Identidade e fonte do retrato: perfil institucional da Universidade de Twente; fotografia de grupo identificada pela Universidade de Twente.