[论文解读] SIPHON: Towards Scalable High-Interaction Physical Honeypots

Juan Guarnizo, Amit Tambe+5 more|arXiv (Cornell University)|Jan 10, 2017

Network Security and Intrusion Detection参考文献 23被引用 16

一句话总结

SIPHON 提出了一种可扩展的、高交互性的物联网设备物理蜜罐架构，通过地理分布的‘虫洞’隧道，将单个实验室部署的设备流量隧道转发至全球多个公网IP地址。在为期两个月的部署中，共使用16座城市的39个虫洞实例，模拟了85台真实的物联网设备，吸引了每日700MB的流量，并记录了超过400次暴力破解攻击，其中42次成功登录，证明了物理性、分布式蜜罐在捕捉真实攻击者行为方面的有效性。

ABSTRACT

In recent years, the emerging Internet-of-Things (IoT) has led to rising concerns about the security of networked embedded devices. In this work, we focus on the adaptation of Honeypots for improving the security of IoTs. Low-interaction honeypots are used so far in the context of IoT. Such honeypots are limited and easily detectable, and thus, there is a need to find ways how to develop high-interaction, reliable, IoT honeypots that will attract skilled attackers. In this work, we propose the SIPHON architecture - a Scalable high-Interaction Honeypot platform for IoT devices. Our architecture leverages IoT devices that are physically at one location and are connected to the Internet through so-called wormholes distributed around the world. The resulting architecture allows exposing few physical devices over a large number of geographically distributed IP addresses. We demonstrate the proposed architecture in a large scale experiment with 39 wormhole instances in 16 cities in 9 countries. Based on this setup, six physical IP cameras, one NVR and one IP printer are presented as 85 real IoT devices on the Internet, attracting a daily traffic of 700MB for a period of two months. A preliminary analysis of the collected traffic indicates that devices in some cities attracted significantly more traffic than others (ranging from 600 000 incoming TCP connections for the most popular destination to less than 50000 for the least popular). We recorded over 400 brute-force login attempts to the web-interface of our devices using a total of 1826 distinct credentials, from which 11 attempts were successful. Moreover, we noted login attempts to Telnet and SSH ports some of which used credentials found in the recently disclosed Mirai malware.

研究动机与目标

• 为解决缺乏可扩展、高交互性物联网蜜罐的问题，这些蜜罐能够真实模拟物理设备行为并吸引熟练攻击者。
• 克服低交互性蜜罐的局限性，后者容易被检测，且无法捕获复杂攻击技术。
• 通过安全隧道（虫洞）技术，仅使用少量物理硬件，实现真实物联网设备在全球范围内的地理分布暴露。
• 收集并分析跨不同地理位置和设备类型的现实世界攻击者行为。
• 提供一个可扩展、可重用的框架，用于监控物联网威胁并识别潜在漏洞，防止其被利用。

提出的方法

• SIPHON 架构使用位于单一实验室内的物理物联网设备（如网络摄像头、NVR、打印机）作为核心蜜罐基础设施。
• 在这些物理设备与全球多个位置分布的公网IP地址之间建立安全、双向的‘虫洞’隧道。
• 每个隧道将单个物理设备映射到多个远程IP地址，使其看起来像是部署在不同地理区域。
• 系统利用现有网络基础设施，无需增加物理硬件即可扩展虚拟蜜罐实例的数量。
• 攻击者流量通过隧道路由至物理设备，实现完整交互并记录真实攻击行为。
• 该框架支持来自不同厂商的异构物联网设备，并可与物联网测试平台集成，以增强监控与仿真能力。

实验结果

研究问题

• RQ1 如何仅使用少量物理硬件，实现高交互性、物理存在的物联网蜜罐在多个地理区域的可扩展部署？
• RQ2 攻击者在探测物联网设备时，对特定地理区域的靶向程度如何？哪些因素影响这种靶向行为？
• RQ3 高交互性物理蜜罐与低交互性模拟蜜罐在攻击者行为上存在哪些差异？
• RQ4 在分布式蜜罐部署环境下，哪些类型的现实攻击（如暴力破解、协议层漏洞利用）最为普遍？
• RQ5 虫洞隧道能否有效模拟全球设备分布，同时保持攻击交互的真实性？

主要发现

• SIPHON 架构仅使用实验室中的7台物理设备，成功在9个国家的16座城市中模拟了85台不同的物联网设备。
• 系统在为期两个月的期间内，每日平均吸引700MB的网络流量，各地区流量波动显著。
• 法兰克福和新加坡的设备吸引了最高流量，最热门的目标接收了超过60万次TCP连接，表明攻击者存在明显的地理偏好。
• 共记录到400余次暴力破解登录尝试，使用了1,826个不同的凭证，其中42次成功登录至Web界面。
• Telnet 和 SSH 端口也受到攻击，包括使用来自 Mirai 僵尸网络已知的凭证，表明对已知漏洞的主动利用。
• 攻击者对真实网络摄像头的兴趣明显高于对低交互性模拟设备的兴趣，表明物理真实性显著提升了攻击者的参与度。