[논문 리뷰] An Analysis of Home IoT Network Traffic and Behaviour

Yousef Amar, Hamed Haddadi외 4명|arXiv (Cornell University)|2018. 03. 14.

Advanced Malware Detection Techniques참고 문헌 5인용 수 31

한 줄 요약

이 논문은 제어된 가정용 IoT 테스트베드에서의 네트워크 트래픽을 분석하여 기기 행동을 특성화하고, 프라이버시 및 보안 위험을 규명하며, 데이터 흐름 모니터링을 위한 지문 기반 기법을 개발한다. 연구 결과, 암호화되지 않은 DNS 요청의 광범위한 사용, MAC 주소 랜덤화의 회피, 제3자 API를 통한 심각한 데이터 泄露가 드러나며, 조용한 상태일 때조차도 상당한 프라이버시 침해 성향을 보이는 트래픽 패턴이 생성됨을 입증한다.

ABSTRACT

Internet-connected devices are increasingly present in our homes, and privacy breaches, data thefts, and security threats are becoming commonplace. In order to avoid these, we must first understand the behaviour of these devices. In this work, we analyse network traces from a testbed of common IoT devices, and describe general methods for fingerprinting their behavior. We then use the information and insights derived from this data to assess where privacy and security risks manifest themselves, as well as how device behavior affects bandwidth. We demonstrate simple measures that circumvent attempts at securing devices and protecting privacy.

연구 동기 및 목표

• 실제 환경 조건에서 일반적인 가정용 IoT 기기의 네트워크 행동을 이해하기 위해.
• 규제되지 않은, 불안전한 기기 통신으로 인해 발생하는 프라이버시 및 보안 위험을 규명하기 위해.
• 네트워크 트래픽 분석을 통해 IoT 기기 행동을 지문화하는 방법을 개발하기 위해.
• IoT 기기 운영이 초래하는 대역폭 및 데이터 泄露 영향을 평가하기 위해.
• 간단한 공격이 MAC 주소 랜덤화와 같은 기본 프라이버시 보호 조치를 어떻게 우회할 수 있는지 보여주기 위해.

제안 방법

• 관리형 스위치의 포트 미러링을 사용하여 22일간의 14대의 일반 IoT 기기에서 네트워크 트래픽을 캡처하였다.
• tcpdump와 Bro 네트워크 보안 모니터를 사용하여 패킷을 로그 및 분석하였으며, 기기 매핑을 위한 DNS 및 DHCP 로그도 포함하였다.
• MAC 주소별로 트레이스를 분할하여 개별 기기의 행동 분석 및 통신 패턴 식별을 수행하였다.
• 맞춤형 스크립트를 적용하여 프로토콜 추출, 데이터 볼륨 분석, 연결 빈도 및 암호화 사용 여부를 분석하였다.
• 알려진 서비스(예: Apple의 HomeKit, Amazon Echo, Neato 클라우드)와 DNS 요청을 관련지어 기기 행동을 유추하였다.
• 조용한 상태에서의 트래픽 패턴을 평가하고, 예를 들어 example.com 도메인으로 반복적으로 요청하는 이상 징후를 식별하였다.

실험 결과

연구 질문

• RQ1 조용한 상태일 때 일반적인 가정용 IoT 기기들이 네트워크 프로토콜 사용, 데이터 볼륨, 전송 빈도 측면에서 어떻게 행동하는가?
• RQ2 IoT 기기 통신에서 프라이버시 유출의 주요 원인은 무엇이며, 이를 어떻게 악용할 수 있는가?
• RQ3 수동적 네트워크 모니터링을 통한 트래픽 패턴 분석으로 기기 지문화가 어느 정도 가능할 수 있는가?
• RQ4 MAC 주소 랜덤화 및 TLS 암호화와 같은 표준 보안 메커니즘이 추적 또는 데이터 유출을 방지하는 데 얼마나 효과적인가?
• RQ5 일반적인 IoT 기기 행동이 대역폭 및 전력 소모에 미치는 영향은 어떠한가?

주요 결과

• Amazon Echo는 실제로 이 도메인들과 통신하지 않음에도 불구하고, www.example.com으로 69,192개의 DNS 요청을 보냈으며, 이는 설정 오류 또는 추적 행동의 징후로 보인다.
• iPhone과 iPad를 포함한 Apple 기기들은 빈번히 Apple의 Bonjour Sleep Proxy 및 HomeKit 서비스를 사용하였으며, 조용한 상태일 때도 상당한 배경 트래픽을 발생시켰다.
• Philips Hue 브리지에는 암호화되지 않은 API 호출을 통해 무단 접근이 가능한 보안 취약점이 존재하여 스마트 조명의 원격 제어가 가능함을 발견하였다.
• MAC 주소 랜덤화는 일관된 DNS 및 SSL 지문 패턴을 관찰함으로써 우회되었으며, 이는 세션 간 기기 추적을 가능하게 하였다.
• Neato Botvac 진공 청소기 기기는 유일하게 두 대의 AWS 호스팅 RESTful API 서버와 통신하였으며, 전용 메시지 버스 프로토콜을 사용하였다.
• Amazon Echo는 device-metrics-us.amazon.com로 4,392개의 DNS 요청과 4,4973개의 NTP 연결을 수행하여, 메트릭스 및 시간 동기화를 위한 고주기 배경 풀링이 이루어지고 있음을 나타냈다.