[논문 리뷰] Consumer, Commercial and Industrial IoT (In)Security: Attack Taxonomy and Case Studies

Christos Xenofontos, Ioannis Zografopoulos외 4명|arXiv (Cornell University)|2021. 05. 14.

Network Security and Intrusion Detection참고 문헌 70인용 수 11

한 줄 요약

이 논문은 소비자, 상업적, 산업용 IoT 시스템을 대상으로 한 계층적 공격 유형 분류 체계를 제안하며, 장치, 인프라, 통신, 서비스 계층에 걸쳐 위협을 분류한다. 9개의 실제 사례 연구를 통해 취약점, 공격 벡터, 완화 전략을 규명하며, 다양한 부문에서 사전에 IoT 보안을 대응할 수 있는 체계적인 프레임워크를 제공한다.

ABSTRACT

Internet of Things (IoT) devices are becoming ubiquitous in our lives, with applications spanning from the consumer domain to commercial and industrial systems. The steep growth and vast adoption of IoT devices reinforce the importance of sound and robust cybersecurity practices during the device development life-cycles. IoT-related vulnerabilities, if successfully exploited can affect, not only the device itself, but also the application field in which the IoT device operates. Evidently, identifying and addressing every single vulnerability is an arduous, if not impossible, task. Attack taxonomies can assist in classifying attacks and their corresponding vulnerabilities. Security countermeasures and best practices can then be leveraged to mitigate threats and vulnerabilities before they emerge into catastrophic attacks and ensure overall secure IoT operation. Therefore, in this paper, we provide an attack taxonomy which takes into consideration the different layers of IoT stack, i.e., device, infrastructure, communication, and service, and each layer's designated characteristics which can be exploited by adversaries. Furthermore, using nine real-world cybersecurity incidents, that had targeted IoT devices deployed in the consumer, commercial, and industrial sectors, we describe the IoT-related vulnerabilities, exploitation procedures, attacks, impacts, and potential mitigation mechanisms and protection strategies. These (and many other) incidents highlight the underlying security concerns of IoT systems and demonstrate the potential attack impacts of such connected ecosystems, while the proposed taxonomy provides a systematic procedure to categorize attacks based on the affected layer and corresponding impact.

연구 동기 및 목표

• 소비자, 상업적, 산업 분야에서 IoT 기기의 급격한 확산으로 인한 증가하는 보안 위험을 해결하기 위해.
• 장치, 인프라, 통신, 서비스 계층의 취약점을 악용하는 IoT 전용 공격 벡터를 식별하고 분류하기 위해.
• 실제로 발생한 사이버 공격 사례를 분석하여 IoT 생태계를 대상으로 한 공격 패tern과 체계적 약점을暴露하기 위해.
• 각 IoT 부문의 고유한 운영 제약 조건과 위협 표면을 고려해 맞춤형으로 적용 가능한 완화 전략과 보안 대응 조치를 제안하기 위해.
• 다양한 IoT 생태계에서의 사전 위협 모델링을 가능하게 하고 새로운 IoT 위협에 대한 대응 속도를 가속화할 수 있는 통합된 체계적 분류 체계를 수립하기 위해.

제안 방법

• IoT 스택의 장치, 인프라, 통신, 서비스 계층에 위협을 매핑하는 4계층 공격 유형 분류 체계를 개발하였다.
• 소비자, 상업적, 산업 부문에서 발생한 9건의 실제 IoT 사이버 사고를 수집하고 분석하여 공격 체인과 근본적인 취약점을 추출하였다.
• 각 사고를 제안된 분류 체계에 매핑하여 계층별 공격 패턴과 영향 벡터를 시각화하였다.
• 모든 부문에서 공통적으로 나타나는 취약점으로는 기본 암호, 암호화되지 않은 통신, 네트워크 세분화 부재를 확인하였다.
• 사고 분석 기반으로 보안 설계 원칙, 프로토콜 강화, 네트워크 세분화와 같은 타겟팅된 완화 전략을 제안하였다.
• 이전 연구 및 산업 관행의 통찰을 통합하여 종합적인 IoT 보안을 위한 정책 및 기술 프레임워크를 제안하였다.

Figure 1: Overview of commercial, consumer, and industrial Internet of Things (IoT) sectors.

실험 결과

연구 질문

• RQ1 소비자, 상업적, 산업적 맥락에서 IoT 아키텍처의 다양한 계층에 걸쳐 IoT 공격을 어떻게 체계적으로 분류할 수 있는가?
• RQ2 세 가지 주요 IoT 부문에서 실제 발생한 IoT 공격에서 가장 흔히 악용된 취약점은 무엇인가?
• RQ3 소비자, 상업적, 산업용 IoT 환경 간 공격 체인과 공격 기법은 어떻게 다를까?
• RQ4 이러한 공격을 방지하거나 완화하기 위해 가장 효과적인 기술적 및 정책 수준의 대응 조치는 무엇인가?
• RQ5 기본 암호나 암호화되지 않은 데이터 전송과 같은 공통된 취약점이 다양한 IoT 생태계에 얼마나 오랫동안 지속되고 있는가?

주요 결과

• 연구에서 2020년에 발생한 모바일 및 무선 네트워크 공격 중 30%가 IoT 기기를 대상으로 하여 그들의 위협 프로파일이 점점 증가하고 있음을 확인하였다.
• 블루투스 저전력(BLE) 프로토콜은 평문 전송과 잘못된 페어링 메커니즘으로 인해 데이터 유출 및 인증 우회 공격에 취약한 것으로 밝혀졌다.
• 기본 암호와 네트워크 세분화 부재는 소비자, 상업적, 산업용 IoT 시스템 전반에서 반복적으로 나타나는 취약점이었다.
• 실제 사례 분석을 통해 손상된 의료 기기와 산업 제어 시스템이 심각한 안전 사고와 운영 장애를 초래할 수 있음을 확인하였다.
• 제안된 공격 유형 분류 체계는 계층별로 위협를 체계적으로 분류할 수 있게 하여 개별 공격에 대한 비체계적 분석의 필요성을 줄였다.
• 기술적 강화와 규제 집행을 결합한 통합된 정책 기반 접근이 이질적인 생태계 전반에서 IoT 보안을 향상시키기 위해 필수적이다.

Figure 2: A tree diagram of attacks and threats on Internet of Things (IoT) and cyber-physical systems (CPS) [ 18 ] .