[論文レビュー] 9-1-1 DDoS: Threat, Analysis and Mitigation

Mordechai Guri, Yisroel Mirsky+1 more|arXiv (Cornell University)|Sep 8, 2016

Network Security and Intrusion Detection参考文献 17被引用数 3

ひとこと要約

この論文は、移動体通信ネットワークプロトコルとベースバンドファームウェアルートキットを悪用することで、IMSI/IMEI識別子を隠匿し、ネットワークや緊急対応センターによるブロッキングが不可能な状態にすることで、スマートフォンのボットネットが911緊急通報サービスに対して匿名化されたDDoS攻撃を実行できることを示している。6,000台未満の改ざん済みデバイスがあれば、ノースカロライナ州のような1つの州全体の911サービスを数日間停止させることができ、緊急インフラにおける深刻な脆弱性を露呈している。

ABSTRACT

The 911 emergency service belongs to one of the 16 critical infrastructure sectors in the United States. Distributed denial of service (DDoS) attacks launched from a mobile phone botnet pose a significant threat to the availability of this vital service. In this paper we show how attackers can exploit the cellular network protocols in order to launch an anonymized DDoS attack on 911. The current FCC regulations require that all emergency calls be immediately routed regardless of the caller's identifiers (e.g., IMSI and IMEI). A rootkit placed within the baseband firmware of a mobile phone can mask and randomize all cellular identifiers, causing the device to have no genuine identification within the cellular network. Such anonymized phones can issue repeated emergency calls that cannot be blocked by the network or the emergency call centers, technically or legally. We explore the 911 infrastructure and discuss why it is susceptible to this kind of attack. We then implement different forms of the attack and test our implementation on a small cellular network. Finally, we simulate and analyze anonymous attacks on a model of current 911 infrastructure in order to measure the severity of their impact. We found that with less than 6K bots (or $100K hardware), attackers can block emergency services in an entire state (e.g., North Carolina) for days. We believe that this paper will assist the respective organizations, lawmakers, and security professionals in understanding the scope of this issue in order to prevent possible 911-DDoS attacks in the future.

研究の動機と目的

• モバイル電話ボットネットを用いて、匿名化されたDDoS攻撃を911緊急通報サービスに実行可能かどうかを調査すること。
• ネットワークや緊急対応センターによる検知やブロッキングを回避できるような、911インfraストラクチャの技術的および規制的脆弱性を分析すること。
• 匿名通話の洪水攻撃がネットワークの可用性および緊急対応に与える実世界の影響を評価すること。
• 小規模な移動体通信ネットワーク上で攻撃モデルのシミュレーションとテストに基づいた、緩和戦略を提案すること。

提案手法

• IMSIおよびIMEI識別子をランダム化またはマスキングしたデバイスからの緊急通話が可能になるよう、移動体通信ネットワークプロトコルを悪用すること。
• ベースバンドファームウェアにルートキットを実装し、ネットワークや緊急対応センターによる識別を不可能にするようにモバイルデバイスを匿名化すること。
• 攻撃の実現可能性と挙動を検証するため、小規模な移動体通信ネットワークに対して制御されたDDoS攻撃を実施すること。
• 米国911インfraストラクチャのモデルを用いて、大規模な匿名攻撃をシミュレートし、影響の深刻度を評価すること。
• ネットワークシミュレーションツールを用いて、攻撃状態下での通話ブロッキング率、サービス劣化、回復時間の測定を行うこと。
• 通話者識別子に関わらず即時ルーティングを義務付けるFCC規則が、攻撃ベクトルを可能にしていることの分析。

実験結果

リサーチクエスチョン

• RQ1 IMSIおよびIMEI識別子が匿名化されたモバイルボットネットは、ネットワークレベルでの緊急通話の検知やブロッキングを回避できるか？
• RQ2 現在の911インフラ構造は、匿名ソースからの大規模DDoS攻撃に対してどの程度脆弱であるか？
• RQ3 大規模地理的地域における911サービスを無効化するために必要な、改ざん済みデバイスの最小数は何か？
• RQ4 既存のFCC規則は、このような攻撃の実行可能性をどの程度促進しているか？
• RQ5 匿名DDoS攻撃が911通話処理および緊急対応時間に与える測定可能な影響は何か？

主な発見

• IMSIおよびIMEI識別子をランダム化またはマスキングするルートキットを搭載したスマートフォンを改ざんすることで、911への匿名化DDoS攻撃を実行可能である。
• FCC規則により、通話者識別子に関わらず即時ルーティングが義務付けられているため、このような攻撃はネットワークレベルでブロッキングできない。
• 6,000台未満の改ざん済みデバイスで、ノースカロライナ州のような1つの州全体の911サービスを複数日間無効化できる。
• 攻撃は技術的に実現可能であり、小規模な移動体通信ネットワーク上で実装により検証済みである。
• シミュレーション結果から、送信者認証およびレート制限の欠如により、911インfraストラクチャは大規模な匿名通話洪水攻撃に対して極めて脆弱であることが判明した。
• 現在のアーキテクチャには、匿名ソースからの繰り返し緊急通話の検知や緩和対策のメカニズムが欠如しており、深刻なセキュリティギャップを生じさせている。