Automatické vyhodnocování žebříčků zranitelností IoT

Abstract

Tato diplomová práce se zabývá automatizovaným vyhodnocováním žebříčků zranitelností v zařízeních internetu věcí (IoT). Navazuje na diplomovou práci (Tropková, 2023), v níž byl navržen základní postup tvorby žebříčků, avšak opakované a plně automatizované vyhodnocení nebylo umožněno z důvodu manuálních zásahů do procesu. V současné práci bylo navrženo a implementováno prostředí v Pythonu a frameworku Scrapy pro generování žebříčků IoT zranitelností, jehož hlavními parametry jsou udržitelnost a rozšiřitelnost. V rámci prostředí byly implementovány moduly pro sběr dat, zpracování dat a generování žebříčků. Dále byly zapojeny moduly využívající strojové učení pro klasifikaci IoT zranitelností a kategorizaci zařízení, vyvinuté v souběžné bakalářské práci (Macháček, 2025). Byly zpracovány veřejně dostupné databáze zranitelností, konkrétně NVD, Exploit-DB, Rapid7 Vulnerability & Exploit Database a Packet Storm Security, ze kterých byl vytvořený vlastní dataset zaměřený pouze na IoT. Hlavním výsledkem práce je funkční prostředí nasazené na fakultním clusteru, které opakovaně vyhodnocuje žebříčky IoT zranitelností. Dalšími výsledky jsou aktualizované žebříčky Top 10 IoT zranitelností podle vybraných kritérií - za celou dobu trvání, za jednotlivé roky, podle kategorií zařízení - a provedená analýza trendů IoT zranitelností v čase.

This master's thesis is focused on the automated evaluation of vulnerability rankings in Internet of Things (IoT) devices. It builds upon a master's thesis (Tropková, 2023), which proposed a basic approach to ranking generation but did not allow for repeated and fully automated evaluation due to manual intervention in the process. In the current work, an environment for generating IoT vulnerability rankings was designed and implemented in Python using the Scrapy framework, with particular focus on maintainability and extensibility. Modules for data gathering, data processing, and ranking generation were implemented within the environment. Additionally, machine learning modules for IoT vulnerability classification and device categorization, developed in a concurrent bachelor's thesis (Macháček, 2025), were integrated. Publicly available vulnerability databases were processed to create a custom dataset focused exclusively on IoT-specifically NVD, Exploit-DB, Rapid7 Vulnerability & Exploit Database, and Packet Storm Security. The main result of the thesis is a functional environment deployed on the faculty cluster, which repeatedly evaluates IoT vulnerability rankings. Additional outcomes include updated Top 10 IoT vulnerability rankings according to selected criteria-for the whole time, for individual years, and by device categories-as well as an analysis of IoT vulnerability trends over time.