Кратко

  • На RIPE 93 Muhammad Sangeen представил распознавание IoT и не-IoT по одному TCP SYN. Отпечаток дают поля заголовка, прежде всего настройки приёмного буфера; активное зондирование источника не требуется.
  • За 30 дней наблюдений телескопа UCSD метод отнёс к IoT примерно 6% сканирующих источников, но менее 1% пакетов сканирования. Объём обеспечили немногочисленные источники другого класса.

У пакетов и машин разные лидеры

Оператор видит всплеск и сортирует адреса по числу пакетов. Оригинальный доклад RIPE 93 предлагает посчитать также сами источники. Команда Sangeen изучила 3,2 триллиона пакетов от 10,8 миллиона разных источников за 30 дней в UCSD Network Telescope. Класс IoT составил около 6% адресов, ведущих сканирование, и меньше 1% их пакетов. Несколько производительных сканеров перекрывают по объёму множество медленных устройств.

Метод смотрит на SYN в начале соединения. Настройки приёмного буфера и другие поля TCP-заголовка выдают особенности программной реализации. Исследователи собрали отпечатки 224 IoT-устройств в шести испытательных средах и отдельную базу не-IoT. Точные совпадения дополнили классификатором для новых устройств. В описанной оценке он верно относил более 90% ранее не встречавшихся устройств при доле ложных срабатываний менее 0,2%. На рабочей сети эту долю нужно проверить заново.

Медленно не значит редко

Широкое, но маломощное сканирование IoT Sangeen назвал картиной, согласующейся с активностью ботнетов. Отпечаток SYN определяет класс в модели; для вывода о взломе конкретного устройства нужны другие следы. На границе CGNAT или зеркале IXP такой признак помогает заметить неожиданную категорию устройств и изучить её цели. Порог по общему объёму такую популяцию легко пропускает.

Профиль RIPE RACI связывает исследователя с Университетом Твенте и измерениями Интернета. Sangeen предлагает к привычному вопросу «кто отправил больше?» добавить «сколько машин вообще участвует?».

Первоисточники: доклад RIPE 93; профиль RACI. Источник сведений о личности и портрета: профиль сотрудника Университета Твенте; подписанная групповая фотография Университета Твенте.