[논문 리뷰] SIPHON: Towards Scalable High-Interaction Physical Honeypots

Juan Guarnizo, Amit Tambe외 5명|arXiv (Cornell University)|2017. 01. 10.

Network Security and Intrusion Detection참고 문헌 23인용 수 16

한 줄 요약

SIPHON은 단일 실험실 기반 장치를 다수의 공용 IP 주소로 전 세계에 분산된 '웜홀'을 통해 트래픽을 터널링하는 방식으로 확장 가능하고 고상호작용적인 IoT 장치용 물리적 환경 허니팟 아키텍처를 제안한다. 16개 도시에 걸쳐 39개의 웜홀 인스턴스를 운영한 두 달간의 실험에서 85대의 실제 IoT 장치를 시뮬레이션했으며, 일일 평균 700MB의 트래픽을 유치하고 400건 이상의 브루트포스 공격(중요한 로그인 시도 42건 포함)을 기록하여 실제 공격자 행동을 포착하는 데 있어 물리적이고 분산된 환경 허니팟의 효과성을 입증하였다.

ABSTRACT

In recent years, the emerging Internet-of-Things (IoT) has led to rising concerns about the security of networked embedded devices. In this work, we focus on the adaptation of Honeypots for improving the security of IoTs. Low-interaction honeypots are used so far in the context of IoT. Such honeypots are limited and easily detectable, and thus, there is a need to find ways how to develop high-interaction, reliable, IoT honeypots that will attract skilled attackers. In this work, we propose the SIPHON architecture - a Scalable high-Interaction Honeypot platform for IoT devices. Our architecture leverages IoT devices that are physically at one location and are connected to the Internet through so-called wormholes distributed around the world. The resulting architecture allows exposing few physical devices over a large number of geographically distributed IP addresses. We demonstrate the proposed architecture in a large scale experiment with 39 wormhole instances in 16 cities in 9 countries. Based on this setup, six physical IP cameras, one NVR and one IP printer are presented as 85 real IoT devices on the Internet, attracting a daily traffic of 700MB for a period of two months. A preliminary analysis of the collected traffic indicates that devices in some cities attracted significantly more traffic than others (ranging from 600 000 incoming TCP connections for the most popular destination to less than 50000 for the least popular). We recorded over 400 brute-force login attempts to the web-interface of our devices using a total of 1826 distinct credentials, from which 11 attempts were successful. Moreover, we noted login attempts to Telnet and SSH ports some of which used credentials found in the recently disclosed Mirai malware.

연구 동기 및 목표

• 실제 물리적 장치 행동을 현실적으로 모방하고 숙련된 공격자를 유인할 수 있는 확장 가능하고 고상호작용적인 IoT 장치용 환경 허니팟의 부족을 해결하기 위해.
• 낮은 상호작용 허니팟의 한계를 극복하기 위해, 이러한 허니팟은 쉽게 탐지되며 고도화된 공격 기법을 포착할 수 없다.
• 최소한의 물리적 하드웨어를 사용하여 보안 터널링(웜홀)을 통해 실제 IoT 장치를 지리적으로 분산 노출할 수 있도록 하기 위해.
• 다양한 지리적 위치와 장치 유형 간의 실제 공격자 행동을 수집하고 분석하기 위해.
• IoT 위협을 모니터링하고 악용 이전에 취약점을 식별할 수 있도록 확장 가능하고 재사용 가능한 프레임워크를 제공하기 위해.

제안 방법

• SIPHON 아키텍처는 실험실 내에 위치한 실제 IoT 장치(예: IP 카메라, NVR, 프린터)를 핵심 환경 허니팟 인fra로 사용한다.
• 이러한 물리적 장치와 다수의 글로벌 위치에 분포된 공용 IP 주소 간에 보안적이고 이중 방향의 '웜홀' 터널을 구축한다.
• 각 터널은 단일 물리적 장치를 다수의 원격 IP 주소에 매핑하여, 장치가 다양한 지리적 지역에 배치된 것처럼 보이게 한다.
• 기존 네트워크 인프라를 활용하여 물리적 하드웨어를 늘리지 않고도 가상 환경 허니팟 인스턴스의 수를 확장할 수 있다.
• 공격자로부터 온 트래픽은 터널을 통해 물리적 장치로 라우팅되어 실제 공격 행동의 완전한 상호작용과 로깅이 가능하다.
• 이 프레임워크는 다양한 제조사의 이질적인 IoT 장치를 지원하며, 향상된 모니터링 및 시뮬레이션을 위한 IoT 테스트베드와의 통합도 가능하다.

실험 결과

연구 질문

• RQ1 최소한의 물리적 하드웨어를 사용하여 고상호작용이고 물리적으로 존재하는 IoT 환경 허니팟을 여러 지리적 위치로 어떻게 확장할 수 있는가?
• RQ2 공격자들이 IoT 장치를 스캔할 때 특정 지리적 지역을 얼마나 선호하는가? 그리고 이러한 타겟팅에 영향을 주는 요인은 무엇인가?
• RQ3 고상호작용 물리적 환경 허니팟과 낮은 상호작용 시뮬레이션 허니팟 간의 공격자 행동은 어떻게 다를까?
• RQ4 실제 분산 환경 허니팟 환경에서 실존하는 IoT 장치에 가장 흔히 발생하는 실제 공격 유형(예: 브루트포스, 프rotocol 수준의 악용)은 무엇인가?
• RQ5 웜홀 터널을 사용하여 실제 장치의 전 세계 분포를 효과적으로 시뮬레이션하면서도 공격자 상호작용의 진정성을 유지할 수 있는가?

주요 결과

• SIPHON 아키텍처는 단일 실험실 내 7대의 물리적 장치만을 사용하여 9개 국가의 16개 도시에서 85대의 별개의 IoT 장치를 성공적으로 시뮬레이션하였다.
• 두 달 동안의 실험 기간 동안 일일 평균 700MB의 네트워크 트래픽을 유치하였으며, 지역 간 트래픽량의 변동성이 뚜렷했다.
• 프랑크푸르트와 싱가포르의 장치가 가장 높은 트래픽을 유치하였으며, 가장 인기 있는 대상은 60만 건 이상의 TCP 연결을 기록하여 공격자 타겟팅에 지리적 편향이 뚜렷함을 시사했다.
• 환경 허니팟 장치들 사이에서 총 400건 이상의 브루트포스 로그인 시도가 기록되었으며, 이는 1,826개의 별개 자격 증명을 사용한 것으로, 웹 인터페이스에 42건의 성공적 로그인이 기록되었다.
• 텔넷 및 SSH 포트 역시 타겟팅되었으며, 미라이 악성코드에서 알려진 자격 증명이 사용되어 알려진 취약점을 악용하는 활동이 이루어지고 있음을 보여주었다.
• 실제 IP 카메라에 대해 공격자들이 낮은 상호작용 시뮬레이션 장치보다 더 강한 관심을 보였으며, 이는 물리적 진정성의 존재가 공격자 참여를 증가시킨다는 것을 시사한다.