摘要

  • Muhammad Sangeen 在 RIPE 93 提出从单个 TCP SYN 的首部字段识别物联网与非物联网设备，关键线索包括接收缓冲区配置；不必主动探测源设备或重建整条连接。
  • 团队分析 UCSD 网络望远镜三十天的样本，估计物联网设备约占扫描来源的 6%，却贡献不到 1% 的扫描包量。少数非物联网扫描器主导了总包数。

包量榜的盲点

运营人员按包数给扫描地址排序，最响的几台机器自然冲到榜首。RIPE 93 的原始报告摘要换用“多少来源”作分母。Sangeen 团队在 UCSD 网络望远镜三十天的数据中观察到 3.2 万亿个包、1080 万个不同来源。分类结果把约 6% 的扫描来源归到物联网设备；它们产生的扫描包量不足 1%。两个数字并不打架：大量小设备可以各发一点，几个大扫描器则能淹没总量。

他的办法从 TCP 建连的 SYN 包取指纹。接收缓冲区等首部设置是设备实现留下的痕迹。研究用六个测试环境里的 224 台物联网设备和一套非物联网指纹建立参照，再把精确匹配与分类器合用。对训练时未见过的设备，报告称正确分类超过 90%，误报率低于 0.2%。这些是研究样本里的表现；实际网络需要拿自己的设备分布校验。

数量会藏在低速里

Sangeen 认为，物联网来源分散、单台扫描较慢的形态与僵尸网络活动相符。一个 SYN 能给出设备类别线索，不能替某一台摄像头定罪。CGNAT 出口或 IXP 镜像点可以先看是否出现不该在该网段的设备类别，再看目标端口与后续行为。只用“大流量”当报警线，会让安静的大军穿过去。

RIPE RACI 的研究者介绍记载了他在特文特大学的互联网测量方向。Sangeen 把仪表盘上的问题从“谁发了最多包”，改成“到底有多少机器加入了扫描”。

原始资料：RIPE 93 报告摘要；RIPE RACI 研究者资料。 身份与肖像来源: 特文特大学人员资料; 特文特大学附姓名说明的合影.