[論文レビュー] A First Step Towards Understanding Real-world Attacks on IoT Devices

Armin Ziaie Tabari, Xinming Ou|arXiv (Cornell University)|Mar 2, 2020

Network Security and Intrusion Detection参考文献 7被引用数 9

ひとこと要約

本論文は、実世界のサイバー攻撃を捉え、分析するための多様で段階的なハニーポットエコシステムを提示する。特に、IoTカメラを標的とし、低相互作用型ハニーポット「Honeycamera」を用いて、攻撃者を引きつけるために現実的なデバイス動作をエミュレートする。攻撃者は自動スクリプトと直接の人間の介入の両方を用いて、デフォルトの認証情報やコマンドインジェクションなどの脆弱性を悪用して、IoTデバイスを標的にしていることが明らかになった。

ABSTRACT

With the rapid growth of Internet of Things (IoT) devices, it is imperative to proactively understand the real-world cybersecurity threats posed to them. This paper describes our initial efforts towards building a honeypot ecosystem as a means to gathering and analyzing real attack data against IoT devices. A primary condition for a honeypot to yield useful insights is to let attackers believe they are real systems used by humans and organizations. IoT devices pose unique challenges in this respect, due to the large variety of device types and the physical-connectedness nature. We thus create a multiphased approach in building a honeypot ecosystem, where researchers can gradually increase a low-interaction honeypot's sophistication in emulating an IoT device by observing real-world attackers' behaviors. We deployed honeypots both on-premise and in the cloud, with associated analysis and vetting infrastructures to ensure these honeypots cannot be easily identified as such and appear to be real systems. In doing so we were able to attract increasingly sophisticated attack data. We present the design of this honeypot ecosystem and our observation on the attack data so far. Our data shows that real-world attackers are explicitly going after IoT devices, and some captured activities seem to involve direct human interaction (as opposed to scripted automatic activities). We also build a low interaction honeypot for IoT cameras, called Honeycamera, that present to attackers seemingly real videos. This is our first step towards building a more comprehensive honeypot ecosystem that will allow researchers to gain concrete understanding of what attackers are going after on IoT devices, so as to more proactively protect them.

研究の動機と目的

• 実世界のIoTデバイスに対するサイバー攻撃に関する体系的な理解の不足に対処すること。
• 攻撃者の行動を吸引し、分析できる多様なIoTデバイスを模倣するスケーラブルなハニーポットエコシステムの開発。
• 攻撃者の行動データに基づき、段階的に相互作用の忠実度を高めることで、ハニーポットの現実性を向上させること。
• 特に認証バイパスとコマンドインジェクションを通じて標的とされるIoTカメラを対象とした、特定の攻撃パターンと動機の同定。
• 実際の攻撃手法とツールを分析することで、IoTデバイスのセキュリティ強化に役立つ実用的知見の提供。

提案手法

• 多様な攻撃表面を捉えるために、オンプレミスおよびクラウドベースのハニーポットを展開。
• 攻撃者の相互作用データに基づき、段階的にエミュレートされたIoTデバイス応答の複雑さを段階的に向上させる多段階アプローチの採用。
• 実際の動画ストリーミングをエミュレートする低相互作用型ハニーポット「Honeycamera」の作成。
• DionaeaおよびKFSensorハニーポットからのデータを活用し、他のハニーポットのファイルシステムとサービスの現実性を向上。
• プロトコルレベルの分析（例：HTTP、SSH、SIP）を用いて、攻撃者のコマンドとファイルダウンロードをログ記録および分類。
• SSHバナー分析を用いて、ボット駆動の攻撃と人間による攻撃を区別。

実験結果

リサーチクエスチョン

• RQ1 生産ネットワークにおける実世界のIoTデバイスを標的にした攻撃の種別は何か？
• RQ2 自動化ボット活動と直接の人間の介入の両者において、攻撃者の行動はどのように異なるか？
• RQ3 攻撃者が最も頻繁に標的にするIoTデバイスの種別と脆弱性は何か？
• RQ4 低相互作用型ハニーポットは、本物の攻撃を引きつけるために、どの程度IoTデバイスを現実的にエミュレートできるか？
• RQ5 IoTを標的にした攻撃で一般的に使用される悪意あるツールやペイロードは何か？

主な発見

• 攻撃者はIoTデバイスを積極的に標的にしており、61％の攻撃が自動ボットに起因し、39％は直接の人間の介入が関与しているとされる。
• MiraiボットネットとShelldownloaderは、最も頻繁にダウンロードされた悪意あるファイルであり、IoTデバイスの継続的で悪用されていることが示された。
• IoTカメラデバイスが主な標的となっており、通信の74％がGETメソッド、23％がPOSTメソッドを用いており、構造的な攻撃試行がなされていることが示唆された。
• CVE-2013-1599（D-Link）、CVE-2018-9995（認証バイパス）、AIVIおよびFoscamカメラにおけるコマンドインジェクションなどの脆弱性が実際に悪用されていた。
• CoinMinerとMiraiが攻撃中に最も一般的にダウンロードされたマルウェアタイプであり、ボットネットの仲間入りと暗号通貨マイニングが主な目的であることが示された。
• 適切に設定され、現実性のある低相互作用型ハニーポットは、設定が不十分なものよりもはるかに多くの攻撃を引きつけた。これは、ハニーポット設計における忠実度の重要性を示している。