[论文解读] A First Step Towards Understanding Real-world Attacks on IoT Devices

Armin Ziaie Tabari, Xinming Ou|arXiv (Cornell University)|Mar 2, 2020

Network Security and Intrusion Detection参考文献 7被引用 9

一句话总结

本文提出了一套多面向、多阶段的蜜罐生态系统，用于捕获并分析真实世界中针对物联网设备的网络攻击，重点聚焦于物联网摄像头，通过一种名为 Honeycamera 的专用低交互蜜罐实现。该系统通过模拟真实设备行为吸引攻击者，揭示出真实世界的攻击者不仅使用自动化脚本，还通过人工直接交互的方式主动针对物联网设备，利用默认凭证和命令注入等漏洞进行攻击。

ABSTRACT

With the rapid growth of Internet of Things (IoT) devices, it is imperative to proactively understand the real-world cybersecurity threats posed to them. This paper describes our initial efforts towards building a honeypot ecosystem as a means to gathering and analyzing real attack data against IoT devices. A primary condition for a honeypot to yield useful insights is to let attackers believe they are real systems used by humans and organizations. IoT devices pose unique challenges in this respect, due to the large variety of device types and the physical-connectedness nature. We thus create a multiphased approach in building a honeypot ecosystem, where researchers can gradually increase a low-interaction honeypot's sophistication in emulating an IoT device by observing real-world attackers' behaviors. We deployed honeypots both on-premise and in the cloud, with associated analysis and vetting infrastructures to ensure these honeypots cannot be easily identified as such and appear to be real systems. In doing so we were able to attract increasingly sophisticated attack data. We present the design of this honeypot ecosystem and our observation on the attack data so far. Our data shows that real-world attackers are explicitly going after IoT devices, and some captured activities seem to involve direct human interaction (as opposed to scripted automatic activities). We also build a low interaction honeypot for IoT cameras, called Honeycamera, that present to attackers seemingly real videos. This is our first step towards building a more comprehensive honeypot ecosystem that will allow researchers to gain concrete understanding of what attackers are going after on IoT devices, so as to more proactively protect them.

研究动机与目标

• 解决对物联网设备真实世界网络攻击缺乏系统性理解的问题。
• 开发可扩展的蜜罐生态系统，模拟多样化的物联网设备以吸引并研究攻击者行为。
• 通过根据观察到的攻击者行为逐步提升交互保真度，提高蜜罐的真实性。
• 识别针对物联网摄像头的特定攻击模式和动机，尤其是通过身份认证绕过和命令注入。
• 通过分析实际攻击技术与工具，为物联网设备安全提供可操作的见解。

提出的方法

• 在本地和云环境中部署蜜罐，以捕获多样化的攻击面。
• 采用多阶段方法，根据攻击者交互数据逐步提升所模拟物联网设备响应的复杂度。
• 开发 Honeycamera，一种低交互蜜罐，通过模拟真实视频流来模仿物联网摄像头。
• 利用 Dionaea 和 KFSensor 蜜罐的数据，增强其他蜜罐的文件系统和服务真实性。
• 采用协议级分析（如 HTTP、SSH、SIP）记录并分类攻击者命令及文件下载。
• 通过 SSH 服务标识分析，区分由僵尸网络驱动的攻击与人工发起的攻击。

实验结果

研究问题

• RQ1 在生产网络中，当前正在针对物联网设备主动发起哪些类型的现实世界攻击？
• RQ2 自动化僵尸网络活动与人工直接交互的攻击者行为有何不同？
• RQ3 哪些物联网设备类型和漏洞最常成为攻击者的目标？
• RQ4 低交互蜜罐在多大程度上能真实模拟物联网设备以吸引真实攻击？
• RQ5 在针对物联网设备的攻击中，哪些恶意工具和有效载荷被频繁使用？

主要发现

• 攻击者积极针对物联网设备，其中 61% 的攻击归因于自动化僵尸网络，39% 的攻击可能涉及人工直接参与。
• Mirai 僵尸网络和 Shelldownloader 是被下载频率最高的恶意文件，表明物联网设备持续遭受利用。
• 物联网摄像头是主要目标，74% 的通信使用 GET 方法，23% 使用 POST 方法，表明存在结构化的攻击尝试。
• 多个漏洞被积极利用，包括 CVE-2013-1599（D-Link）、CVE-2018-9995（身份认证绕过），以及 AIVI 和 Foscam 摄像头中的命令注入漏洞。
• CoinMiner 和 Mirai 是攻击期间最常见的下载恶意软件类型，表明攻击重点在于组建僵尸网络和加密挖矿。
• 配置良好且高度真实的低交互蜜罐吸引的攻击数量显著多于配置不佳的蜜罐，证明了蜜罐设计中保真度的重要性。