[论文解读] SoK: Beyond IoT MUD Deployments -- Challenges and Future Directions

Angelo Feraudo, Poonam Yadav+3 more|arXiv (Cornell University)|Apr 17, 2020

Network Security and Intrusion Detection参考文献 12被引用 6

一句话总结

本文提出了一种增强型MUD（制造商使用描述）框架，通过集成用户策略服务器（UPS），使终端用户和网络管理员能够定义超出制造商默认设置的自定义设备特定策略。通过扩展MUD以提供用户友好的策略管理界面，该解决方案在物联网部署中提升了灵活性与安全性，评估结果表明即使在高设备负载下，性能开销也处于可控范围。

ABSTRACT

Due to the advancement of IoT devices in both domestic and industrial environments, the need to incorporate a mechanism to build accountability in the IoT ecosystem is paramount. In the last few years, various initiatives have been started in this direction addressing many socio-technical concerns and challenges to build an accountable system. The solution that has received a lot of attention in both industry and academia is the Manufacturer Usage Description (MUD) specification. It gives the possibility to the IoT device manufacturers to describe communications needed by each device to work properly. MUD implementation is challenging not only due to the diversity of IoT devices and manufacturer/operator/regulators but also due to the incremental integration of MUD-based flow control in the already existing Internet infrastructure. To provide a better understanding of these challenges, in this work, we explore and investigate the prototypes of three implementations proposed by different research teams and organisations, useful for the community to understand which are the various features implemented by the existing technologies. By considering that there exist some behaviours which can be only defined by local policy, we propose a MUD capable network integrating our User Policy Server(UPS). The UPS provides network administrators and endusers an opportunity to interact with MUD components through a user-friendly interface. Hence, we present a comprehensive survey of the challenges.

研究动机与目标

• 解决MUD在处理需要本地用户自定义策略的设备行为时的局限性，超越制造商规格的限制。
• 提升终端用户和网络管理员在管理物联网设备流量策略方面的可用性与控制力。
• 克服高设备负载下MUD部署中的可扩展性与性能瓶颈问题。
• 将用户定义的策略与MUD兼容的流量过滤机制集成，以增强安全性并减少攻击面。
• 提供一个实用且可评估的原型，证明用户可扩展MUD架构的可行性与性能表现。

提出的方法

• 设计并实现一个基于Web的用户策略服务器（UPS），供管理员和终端用户定义与管理自定义访问控制策略。
• 通过集成UPS扩展标准MUD工作流，支持在制造商提供的MUD文件之外实现动态策略更新。
• 使用基于YANG的JSON MUD文件（依据RFC 8520）并采用公钥加密技术签名，以规范设备行为并保障完整性。
• 将MUD管理器与NAD（网络接入设备）集成，强制执行源自MUD文件和用户定义策略的ACL。
• 使用osMUD作为底层MUD实现，在不同设备负载下，评估集成UPS与不集成UPS的扩展MUD系统的性能表现。
• 在理想与真实网络条件下，测量ACL规则设置时间与文件下载性能，以评估可扩展性与响应能力。

实验结果

研究问题

• RQ1 如何扩展MUD以支持超越制造商提供的流量规范的用户自定义策略？
• RQ2 在高设备负载下，集成用户策略服务器会对MUD部署引入多大的性能开销？
• RQ3 网络不稳定如何影响基于MUD的系统在有无用户策略集成情况下的ACL规则强制执行时间？
• RQ4 在添加多个物联网设备时，MUD部署的可扩展性阈值是多少？UPS如何影响该阈值？
• RQ5 用户友好的策略管理界面是否能提升MUD在家庭和小型企业网络中的实际采用率与安全有效性？

主要发现

• 用户策略服务器（UPS）的引入使网络管理员和终端用户能够定义标准MUD文件无法表达的自定义白名单访问控制规则。
• 性能评估显示，当设备数量达到16台时，ACL规则设置时间显著增加——在真实网络条件下达到55秒，而在理想条件下为45秒，表明在超过8台设备后性能出现明显下降。
• 系统在8台设备以上表现出非线性性能增长，表明由于路由器处理能力和网络连接限制，存在实际可扩展性瓶颈。
• 在连接稳定的环境中，ACL强制执行时间保持在可接受范围内并合理扩展，表明在理想条件下UPS不会引入不可接受的性能开销。
• UPS显著缩短了用户自定义策略的获取与应用时间，提升了动态物联网环境下的响应速度。
• 结果表明，尽管MUD为物联网流量控制提供了坚实基础，但通过UPS集成用户策略管理，对于实际可用性以及适应本地网络策略的灵活性至关重要。