[논문 리뷰] The Impact of DoS Attacks onResource-constrained IoT Devices:A Study on the Mirai Attack

Bhagyashri Tushir, Hetesh Sehgal외 3명|arXiv (Cornell University)|2021. 04. 19.

Network Security and Intrusion Detection인용 수 21

한 줄 요약

이 연구는 자원이 제한된 IoT 기기에서 Mirai DDoS 공격을 제어된 실기기 환경에서 분석하여 에너지, CPU, 메모리, SD 카드, 이더넷 I/O 사용량을 측정한다. UDP 폭격 공격은 악성 기기에서 최대 38.44%의 에너지 소비 증가를, 피해자 기기에서는 64.6%의 SD 카드 사용 증가를 초래하며, 이는 IoT 환경에서 심각한 자원 고갈 위험을 드러낸다.

ABSTRACT

Mirai is a type of malware that creates a botnet of internet-connected devices, which can later be used to infect other devices or servers. This paper aims to analyze and explain the Mirai code and create a low-cost simulation environment to aid in the dynamic analysis of Mirai. Further, we perform controlled Denial-of-Service attacks while measuring resource consumption on resource-constrained compromised and victim Internet-of-Things (IoT) devices, such as energy consumption, CPU utilization, memory utilization, Ethernet input/output performance, and Secure Digital card usage. The experimental setup shows that when a compromised device sends a User Datagram Protocol (UDP) flood, it consumes 38.44% more energy than its regular usage. In the case of Secure Digital usage, the victim, when flooded with Transmission Control Protocol (TCP) messages, uses 64.6% more storage for reading and 55.45% more for writing. The significant extra resource consumption caused by Mirai attacks on resource-constrained IoT devices can severely threaten such devices' wide adoption and raises great challenges for the security designs in the resource-constrained IoT environment.

연구 동기 및 목표

• 실기기 실험을 통해 자원이 제한된 IoT 기기에서 Mirai 악성코드의 행동과 영향을 동적 분석한다.
• 정확한 DDoS 공격 중 자원 소비 측정을 위한 저비용, 고립된 실험 환경을 구축한다.
• TCP 및 UDP 폭격 공격이 악성 기기 및 피해자 기기의 에너지, CPU, 메모리, SD 카드, 이더넷 I/O 사용량에 미치는 영향을 정량화한다.
• Mirai 공격으로 인한 자원 오버헤드에 대한 실증 데이터를 제공하여 IoT 환경에서 경량 보안 방식을 설계하는 데 기여한다.

제안 방법

• 가상 환경이 아닌 실제 IoT 기기를 사용하여 Mirai 악성코드의 정적 및 동적 분석을 수행한다.
• 라즈베리파이 기반 장치를 활용해 저비용, 인터넷 고립형 실험 환경을 구축하여 Mirai 봇넷 행동을 시뮬레이션한다.
• 악성 기기에서 피해자 기기로 제어된 TCP 및 UDP 폭격 공격을 수행하고 실시간 자원 소비를 측정한다.
• 에너지 소비(와트), CPU 및 메모리 사용률, 이더넷 I/O(Kbps), SD 카드 읽기/쓰기 사이클(Kbps) 등의 메트릭을 수집한다.
• tshark를 사용해 패킷 수를 로깅하고 TCP 및 UDP 폭격 공격 간 네트워크 행동의 차이를 분석한다.
• 비감염 상태, 악성 기기 상태(공격 중), 피해자 상태(수신 중), 공격을 받는 양측 상태의 네 가지 기기 상태 간 자원 사용량을 비교한다.

실험 결과

연구 질문

• RQ1 Mirai 봇넷이 TCP 및 UDP 폭격 공격 상황에서 악성 기기 및 피해자 기기의 에너지 소비에 어떤 영향을 미치는가?
• RQ2 자원이 제한된 IoT 기기에서 TCP 및 UDP 폭격 공격 간 CPU, 메모리, I/O 사용률의 차이는 무엇인가?
• RQ3 DDoS 공격 중 네트워크 프로토콜(TCP 대비 UDP)이 SD 카드 및 이더넷 I/O 사용에 어떤 영향을 미치는가?
• RQ4 TCP의 혼잡 제어 메커니즘이 UDP에 비해 자원 소비를 얼마나 줄이는가?
• RQ5 에뮬레이션 환경이 아닌 실제 기기에서 측정했을 때 Mirai 공격의 실제 자원 오버헤드는 어느 정도인가?

주요 결과

• UDP 폭격 공격을 수행하는 악성 기기는 정상 상태 대비 최대 38.44% 더 많은 에너지를 소비하며, 피해자 기기 역시 UDP 폭격 공격 시 정상 상태 대비 34.61% 더 많은 에너지를 소비한다.
• TCP 폭격 공격 시 피해자 기기는 정상 상태 대비 SD 카드 읽기 사이클이 64.6% 증가하고 쓰기 사이클이 55.45% 증가한다.
• UDP 폭격 공격 중 악성 기기는 정상 상태 대비 SD 카드 읽기 사이클이 32.03% 증가하고 쓰기 사이클이 29.22% 증가하여 더 높은 I/O 부하를 경험한다.
• 패킷 처리 오버헤드로 인해 UDP 폭격 공격 중 피해자 기기의 CPU 사용률은 1.6% 증가하지만, TCP 폭격 공격 시에는 6.42% 감소한다.
• 이더넷 I/O 분석 결과, 악성 기기는 특히 UDP 공격 시 더 많은 쓰기 작업을 수행하고, 피해자 기기는 특히 UDP 공격 시 더 많은 읽기 작업을 수행함으로써 네트워크 부하가 증가함을 확인한다.
• 본 연구는 UDP 폭격 공격이 혼잡 제어 기능이 없고 패킷 속도가 높아, TCP 폭격 공격에 비해 훨씬 더 높은 자원 소비를 유발함을 확인한다.