[论文解读] The Impact of DoS Attacks onResource-constrained IoT Devices:A Study on the Mirai Attack

Bhagyashri Tushir, Hetesh Sehgal+3 more|arXiv (Cornell University)|Apr 19, 2021

Network Security and Intrusion Detection被引用 21

一句话总结

本研究对资源受限的物联网设备上的Mirai DDoS攻击进行了受控的、基于真实设备的分析，测量了能量、CPU、内存、SD卡和以太网I/O的使用情况。研究发现，UDP洪水攻击会使被感染设备的能量消耗最高增加38.44%，受害设备的SD卡使用量增加64.6%，凸显了物联网环境中严重的资源耗尽风险。

ABSTRACT

Mirai is a type of malware that creates a botnet of internet-connected devices, which can later be used to infect other devices or servers. This paper aims to analyze and explain the Mirai code and create a low-cost simulation environment to aid in the dynamic analysis of Mirai. Further, we perform controlled Denial-of-Service attacks while measuring resource consumption on resource-constrained compromised and victim Internet-of-Things (IoT) devices, such as energy consumption, CPU utilization, memory utilization, Ethernet input/output performance, and Secure Digital card usage. The experimental setup shows that when a compromised device sends a User Datagram Protocol (UDP) flood, it consumes 38.44% more energy than its regular usage. In the case of Secure Digital usage, the victim, when flooded with Transmission Control Protocol (TCP) messages, uses 64.6% more storage for reading and 55.45% more for writing. The significant extra resource consumption caused by Mirai attacks on resource-constrained IoT devices can severely threaten such devices' wide adoption and raises great challenges for the security designs in the resource-constrained IoT environment.

研究动机与目标

• 通过动态的、基于真实设备的实验，分析Mirai恶意软件在资源受限物联网设备上的行为及其影响。
• 构建一种低成本、隔离的实验环境，以准确测量DDoS攻击期间的资源消耗。
• 量化TCP和UDP洪水攻击对能量、CPU、内存、SD卡和以太网I/O使用的影响，涵盖被感染设备和受害设备。
• 提供Mirai攻击导致的资源开销的实证数据，以支持物联网中轻量级安全防御措施的设计。

提出的方法

• 使用真实物联网设备而非虚拟化环境，对Mirai恶意软件进行静态和动态分析。
• 构建了一种成本效益高、与互联网隔离的测试平台，采用Raspberry Pi设备模拟Mirai僵尸网络行为。
• 从被感染设备向受害设备发起受控的TCP和UDP洪水攻击，实时测量资源消耗。
• 收集包括能量消耗（瓦特）、CPU和内存利用率、以太网I/O（千比特每秒）以及SD卡读写次数（千比特每秒）在内的指标。
• 使用tshark记录数据包数量，并分析TCP和UDP洪水攻击下网络行为的差异。
• 对比四种设备状态下的资源使用情况：未感染、被感染（正在攻击）、受害（正在接收）以及同时处于攻击状态。

实验结果

研究问题

• RQ1 在TCP和UDP洪水攻击下，Mirai僵尸网络对被感染和受害物联网设备的能量消耗有何影响？
• RQ2 在资源受限的物联网设备上，TCP和UDP洪水攻击在CPU、内存和I/O利用率方面有何差异？
• RQ3 在DDoS攻击期间，网络协议（TCP与UDP）如何影响SD卡和以太网I/O的使用？
• RQ4 与UDP相比，TCP中的拥塞控制机制在多大程度上降低了资源消耗？
• RQ5 当在物理设备上测量时，Mirai攻击的实际资源开销有多大，与仿真环境相比如何？

主要发现

• 在UDP洪水攻击下，被感染设备的能量消耗比正常状态高出38.44%；而受害设备的能量消耗则高出34.61%。
• 在TCP洪水攻击下，受害设备的SD卡读取次数比正常操作多64.6%，写入次数多55.45%。
• 在UDP洪水攻击下，被感染设备的SD卡读取次数比正常状态多32.03%，写入次数多29.22%，表明I/O负载更高。
• 由于数据包处理开销，受害设备在UDP洪水攻击下的CPU利用率比正常状态高1.6%，而在TCP洪水攻击下则下降6.42%。
• 以太网I/O显示，被感染设备发送的写入量更多（尤其是UDP），而受害设备接收的读取量更多（尤其是UDP），证实了更高的网络负载。
• 本研究证实，由于缺乏拥塞控制和更高的数据包速率，UDP洪水攻击导致的资源消耗显著高于TCP洪水攻击。