39、ATLAS：实用的物联网攻击检测与实时恶意软件分析系统

ATLAS：实用的物联网攻击检测与实时恶意软件分析系统

1. 引言

2020 年，物联网（IoT）连接数量首次超过非物联网连接数量。到 2025 年，预计将有超过 300 亿台设备通过传感器、处理器和软件连接到互联网。5G 网络的部署加速，为物联网应用提供了更高的数据速率和更低的延迟。同时，工业 4.0 将物理、数字和生物世界融合在一起，其解决方案高度依赖物联网设备作为关键数据来源。

然而，物联网的发展也带来了安全隐患。近年来，针对物联网设备的恶意软件日益猖獗。例如，2016 年 Mirai 恶意软件发动了臭名昭著的分布式拒绝服务（DDoS）攻击。相关数据显示，2020 年物联网恶意软件样本较 2019 年增加了 7%，Telnet 和 SSH 暴力登录尝试增加了 47%；2021 年，卡巴斯基报告的物联网设备违规次数从 2020 年的 6.39 亿次增加到 15.1 亿次。因此，一个能够提供最新威胁情报的检测系统对于早期检测和降低风险至关重要。

蜜罐是一种用于物联网威胁检测的安全资源，分为低交互蜜罐（为攻击者呈现模拟或仿真环境）和高交互蜜罐（向攻击者展示真实系统）。本文提出了 ATLAS 系统，它是一个用于物联网威胁情报的攻击检测和实时恶意软件分析系统，采用混合蜜罐架构，能够检测攻击、进行攻击归因并执行实时恶意软件分析。

ATLAS 系统的主要贡献包括：
- 设计并实现了一个混合、轻量级且可扩展的物联网蜜罐基础设施，能够接收攻击、进行攻击归因并下载针对物联网设备的恶意软件。
- 提出了一种新颖的自适应聚类技术，可用于实时恶意软件分析，通过提取每个恶意软件文件的二进制调用图来构建聚类并检测新型恶意软件。
- 对 204 个 ARM