Profilování a detekce IoT útoků v telnetovém provozu

Abstract

IoT („Internet of Things“, internet věcí) se v běžném životě stává stále více populární. Najdeme jej nejenom v chytrých domácnostech, ale i v dalších odvětvích — od průmyslu po zdravotnictví. Mnoho těchto přístrojů využívá Telnet protokol, který nepodporuje žádné šifrování zasílaných dat. Jsou-li přihlašovací údaje kompromitovány, neexistuje žádná dodatečná uživatelská ochrana. V první části této práce jsme vytvořili metodu, pomocí které je možné číst telnetový provoz, porozumět mu a poskytnout náhled na všechna spojení, která přichází na telnetový server. V druhé části této práce navrhujeme metodu, jež vytvoří nový profil pro každého uživatele, který se připojí k telnetovému serveru. Na základě porovnání klíčových charakteristik chování klienta, včetně metody „keystroke dynamics“ v síti, dokáže navrhovaná metoda rozeznat, zda nové spojení přichází od jiného uživatele než předchozí spojení. Na základě tohoto porovnání můžeme poskytnout novou vrstvu ochrany pro každé zařízení připojené na internet a využívající Telnet.

The Internet of Things devices are getting more popular in everyday life. They can be found not only in smart homes but also in a variety of industries, from factories to health care. Many of those devices are using the Telnet protocol, which doesn't provide any encryption of the sent data. If the user's login credentials got compromised, there is no protection for the user. In the first part of this thesis, we created a method that can read and understand the Telnet traffic to provide an insight into all the connections coming to the Telnet server. In the second part of this thesis, we propose a method to create a new profile for every user connecting to the Telnet server. Based on comparing the key features of the client's behaviour, including the network-based keystroke dynamics, the proposed method can detect if a new connection is coming from a different user than the connections before. Based on this comparison, we can provide a new layer of security for every Telnet device connected to the Internet.