[논문 리뷰] A First Step Towards Understanding Real-world Attacks on IoT Devices

Armin Ziaie Tabari, Xinming Ou|arXiv (Cornell University)|2020. 03. 02.

Network Security and Intrusion Detection참고 문헌 7인용 수 9

한 줄 요약

이 논문은 실제 세계의 사이버 공격을 캡처하고 분석하기 위해 IoT 기기, 특히 IoT 카메라를 대상으로 하는 특화된 저상호작용 허니팟인 Honeycamera를 포함한 다각적이고 다단계적인 허니팟 생태계를 제시한다. 이 시스템은 공격자를 유인하기 위해 실제 기기의 동작을 모방하며, 실제 공격자들이 자동 스크립트와 직접적인 인간 상호작용을 통해 기본 설정 비밀번호와 명령어 삽입 공격 같은 취약점을 악용하여 IoT 기기를 공격하고 있음을 드러낸다.

ABSTRACT

With the rapid growth of Internet of Things (IoT) devices, it is imperative to proactively understand the real-world cybersecurity threats posed to them. This paper describes our initial efforts towards building a honeypot ecosystem as a means to gathering and analyzing real attack data against IoT devices. A primary condition for a honeypot to yield useful insights is to let attackers believe they are real systems used by humans and organizations. IoT devices pose unique challenges in this respect, due to the large variety of device types and the physical-connectedness nature. We thus create a multiphased approach in building a honeypot ecosystem, where researchers can gradually increase a low-interaction honeypot's sophistication in emulating an IoT device by observing real-world attackers' behaviors. We deployed honeypots both on-premise and in the cloud, with associated analysis and vetting infrastructures to ensure these honeypots cannot be easily identified as such and appear to be real systems. In doing so we were able to attract increasingly sophisticated attack data. We present the design of this honeypot ecosystem and our observation on the attack data so far. Our data shows that real-world attackers are explicitly going after IoT devices, and some captured activities seem to involve direct human interaction (as opposed to scripted automatic activities). We also build a low interaction honeypot for IoT cameras, called Honeycamera, that present to attackers seemingly real videos. This is our first step towards building a more comprehensive honeypot ecosystem that will allow researchers to gain concrete understanding of what attackers are going after on IoT devices, so as to more proactively protect them.

연구 동기 및 목표

• 실제 세계의 IoT 기기 위의 사이버 공격에 대한 체계적인 이해 부족을 해결하기 위해.
• 다양한 IoT 기기를 모방하여 공격자 행동을 유인하고 연구할 수 있는 확장 가능한 허니팟 생태계를 개발하기 위해.
• 관찰된 공격자 행동에 기반해 상호작용의 정교함을 점진적으로 증가시켜 허니팟의 현실성과 신뢰도를 향상시키기 위해.
• 특히 인증 무시 및 명령어 삽입을 통한 공격 패tern과 동기를 특정 IoT 카메라를 대상으로 규명하기 위해.
• 실제 공격 기법과 도구를 분석하여 IoT 기기 보안에 실질적인 통찰을 제공하기 위해.

제안 방법

• 다양한 공격 표면을 캡처하기 위해 온프레미스 및 클라우드 기반 허니팟을 배포하기 위해.
• 공격자 상호작용 데이터를 기반으로, 점진적으로 모의된 IoT 기기 응답의 정교함을 높이는 다단계 접근법을 사용하기 위해.
• 실제 영상 스트리밍을 시뮬레이션하여 IoT 카메라를 모방하는 저상호작용 허니팟인 Honeycamera를 구축하기 위해.
• Dionaea 및 KFSensor 허니팟의 데이터를 활용하여 다른 허니팟의 파일 시스템과 서비스의 현실성 향상시키기 위해.
• HTTP, SSH, SIP 등 프로토콜 수준의 분석을 통해 공격자 명령어와 파일 다운로드를 로그 기록하고 분류하기 위해.
• SSH 배너 분석을 통해 봇 기반 공격와 인간이 주도한 공격를 구분하기 위해.

실험 결과

연구 질문

• RQ1 생산 네트워크에서 IoT 기기 위에 실제로 시행되고 있는 공격 유형은 무엇인가?
• RQ2 자동화된 봇 활동과 직접적인 인간 상호작용 간의 공격자 행동은 어떻게 다름가?
• RQ3 어떤 IoT 기기 유형과 취약점이 적대자에 의해 가장 자주 공격받는가?
• RQ4 저상호작용 허니팟이 실제 공격을 유인하기 위해 얼마나 현실적으로 IoT 기기를 모방할 수 있는가?
• RQ5 IoT를 대상으로 하는 공격에서 일반적으로 사용되는 악성 도구와 패킷은 무엇인가?

주요 결과

• 공격자들은 IoT 기기를 적극적으로 공격하며, 공격의 61%는 자동화된 봇에 의해 발생하고 39%는 직접적인 인간 상호작용으로 추정된다.
• Mirai 봇넷과 Shelldownloader는 가장 자주 다운로드된 악성 파일이었으며, 이는 IoT 기기의 지속적인 악용을 시사한다.
• IoT 카메라 기기들이 주요 표적이었으며, 통신의 74%는 GET 메서드를 사용하고 23%는 POST 메서드를 사용하여 체계적인 공격 시도가 있음을 시사한다.
• CVE-2013-1599(D-Link), CVE-2018-9995(인증 무시), AIVI 및 Foscam 카메라의 명령어 삽입 취약점 등 일부 취약점들이 실제로 공격당했다.
• CoinMiner와 Mirai는 공격 중 가장 흔하게 다운로드된 악성코드 유형이었으며, 봇넷 확보와 암호화폐 채굴에 초점이 맞춰져 있음을 시사한다.
• 적절하게 구성된 현실적인 저상호작용 허니팟은 잘못 구성된 허니팟보다 훨씬 더 많은 공격을 유치했으며, 이는 허니팟 설계에서 정교함의 중요성을 입증한다.